1. Giriş

08 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete’de yayımlanan Kişisel Verileri Koruma Kurulunun (“Kurul”) 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı (“Karar”) ile çalışanlara tahsis edilen kurumsal e-posta hesapları ve işin yürütülmesi amacıyla kullanılan diğer iletişim kanallarının denetlenmesinde uyulması gereken usul ve esaslar ortaya konulmuştur.

Karar, işverenin yönetim hakkı ve denetim yetkisi ile çalışanın özel hayatının gizliliği, kişisel verilerinin korunması ve haberleşme hürriyeti arasında gözetilmesi gereken dengeyi ele almaktadır. Bu bültende Karar’ın kapsamı, denetim faaliyetinin hukuki dayanağı ve sınırları ile uygulamada dikkat edilmesi gereken hususlar değerlendirilmektedir.

2. Karar’ın Kapsamı

Karar, kurumsal e-posta hesapları başta olmak üzere, işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetlenmesi suretiyle gerçekleştirilen kişisel veri işleme faaliyetlerini kapsamaktadır. Kurum içi mesajlaşma uygulamaları ve çevrim içi toplantı platformları gibi araçlar üzerinden yürütülen iş iletişiminin denetlenmesi de bu esaslar doğrultusunda değerlendirilmelidir.

Kurumsal iletişim hesapları, iş yazışmalarının yanı sıra çalışanın iletişim kurduğu kişilere, çalışma düzenine ve kimi durumlarda kişisel yaşamına ilişkin bilgiler de içerebilmektedir. Bu nedenle yazışma içeriklerine erişilmesi, iletişim faaliyetlerine ilişkin trafik ve log kayıtlarının incelenmesi, filtreleme ve rutin denetim uygulamaları, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) kapsamında kişisel veri işleme faaliyeti niteliğindedir.

Denetimin kapsamı belirlenirken iletişim aracının hangi amaçla tahsis edildiği ve kullanımına ilişkin kurallar dikkate alınmalıdır. İletişim aracının işverene ait olması veya işyerinde kullanılması, çalışanların iletişim faaliyetleri üzerinde sınırsız bir denetim yetkisi sağlamamaktadır.

5. Aydınlatma ve Önceden Bilgilendirme :

Karar’da, Anayasa Mahkemesi içtihadında aranan denetime ilişkin önceden bilgilendirme ile KVKK’da[1] düzenlenen aydınlatma yükümlülüğünün birbirinden farklı olduğu belirtilmiştir. Çalışana yapılan her bilgilendirme, KVKK kapsamında aydınlatma niteliği taşımamaktadır. Bununla birlikte, yasal unsurları içeren ve denetimin amacı, kapsamı ve yöntemi hakkında açık ve somut bilgi veren usulüne uygun bir aydınlatma, denetime ilişkin önceden bilgilendirme şartını da karşılayabilecektir.

Çalışana yalnızca kurumsal e-posta hesabının denetlenebileceğine ilişkin genel bir bildirim yapılması, somut olayın özelliklerine göre önceden bilgilendirme bakımından yeterli olmayabileceği gibi aydınlatma yükümlülüğünün yerine getirildiği sonucunu da kendiliğinden doğurmamaktadır.

Bu kapsamda yapılacak aydınlatmada veri sorumlusunun ve varsa temsilcisinin kimliği, kişisel verilerin işlenme amacı, aktarılabileceği kişiler ve aktarım amacı, veri toplamanın yöntemi ve hukuki sebebi ile ilgili kişinin KVKK’da[2] düzenlenen hakları açıklanmalıdır.

Ayrıca denetimin kapsamı ve yöntemi, iletişim içeriklerine hangi hâllerde erişilebileceği, verilerin saklama süresi ve denetimin muhtemel sonuçları açık, anlaşılır ve somut biçimde ortaya konulmalıdır. Denetim yoluyla elde edilen verilerin disiplin veya iş sözleşmesinin sona erdirilmesi süreçlerinde kullanılmasının öngörüldüğü durumlarda, önceden bilgilendirme bu hususu da kapsamalıdır.

5. Açık Rıza ve Diğer Kişisel Veri İşleme Şartları :

Karar’da, iş ilişkisindeki bağımlılık ve taraflar arasındaki güç dengesi dikkate alındığında, çalışanın açık rızasının denetim bakımından her durumda öncelikli hukuki dayanak olarak kabul edilemeyeceği belirtilmiştir. Açık rızaya dayanılan hâllerde, rızanın özgür iradeyle verilip verilmediği somut olayın koşulları çerçevesinde ayrıca değerlendirilmelidir.

Somut olayın koşullarına göre, denetim kapsamında gerçekleştirilen kişisel veri işleme faaliyetleri KVKK’da[3] düzenlenen açık rıza dışındaki işleme şartlarına dayanabilir. Bu kapsamda, bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması ya da veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için veri işlemenin zorunlu olması değerlendirmeye alınabilir.

Ayrıca bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması yahut ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için veri işlemenin zorunlu olması da hukuki dayanak oluşturabilir. Ancak iş sözleşmesinin varlığı veya işverenin genel denetim ihtiyacı, tek başına bu şartların gerçekleştiği anlamına gelmemektedir.

Geçerli bir açık rızanın veya diğer bir kişisel veri işleme şartının bulunması, işverene sınırsız bir denetim yetkisi tanımamaktadır. Denetim kapsamında gerçekleştirilecek veri işleme faaliyetlerinin, KVKK’da düzenlenen genel ilkelere uygun olarak belirli, açık ve meşru amaçlarla, bu amaçlarla bağlantılı, sınırlı ve ölçülü şekilde yürütülmesi gerekmektedir.

5. İçerik İncelemesinin Sınırları :

Denetim faaliyetlerinde kademelilik esas alınmalı ve daha az müdahaleci yöntemlere öncelik verilmelidir. Denetimle ulaşılmak istenen meşru amaca daha az müdahaleci bir yöntemle ulaşılması mümkünse, daha ağır bir denetim yöntemine başvurulmamalıdır. Bu nedenle iletişim faaliyetlerine ilişkin trafik ve log kayıtlarının incelenmesi ile yazışma içeriklerine erişilmesi, müdahalenin kapsamı bakımından ayrı ayrı değerlendirilmelidir.

Yazışma içeriklerinin denetimi yalnızca somut şüphe bulunan hâllerde ve ilgili olayla sınırlı olarak yürütülmelidir. Genel kapsamlı ve süreklilik arz eden içerik incelemelerinden kaçınılmalıdır.

İşverenin cihaz, oturum, ağ veya kurumsal sistem üzerinde teknik erişim imkânına sahip olması, çalışanın kişisel e-posta, anlık mesajlaşma veya sosyal medya hesaplarındaki yazışmalarına serbestçe erişebileceği anlamına gelmemektedir. Teknik olarak erişilebilir olan bir içeriğe erişimin hukuken mümkün olup olmadığı ayrıca değerlendirilmelidir.

Çalışanlara önceden bildirimde bulunulmaksızın gerçekleştirilen gizli izleme faaliyetleri ile herhangi bir ayrım gözetilmeksizin tüm iletişim ve işlemleri sistematik olarak kaydeden araçlar vasıtasıyla yapılan denetimler hukuka aykırılık teşkil etmektedir. Kötüye kullanımın teknik önlemlerle engellenebildiği hâllerde de işveren açısından genel bir denetim hakkı doğmamaktadır.

5. İş Amaçlı ve Özel İletişimin Ayrılması :

Denetimin kapsamı belirlenirken iletişim aracının iş amaçlı kullanımı ile özel amaçlı kullanımı arasındaki ayrım gözetilmelidir. İşveren, iletişim araçlarının özel amaçlı kullanımına ilişkin açık ve anlaşılır kurallar belirlemeli ve bu kuralların çalışanlar tarafından bilinmesini sağlamalıdır.

İletişim araçlarının özel amaçlı kullanımı yasaklanmış olsa dahi sürekli gözetim ölçülü kabul edilmemektedir. Bu durumda da denetimin amacı, kapsamı ve yöntemi ölçülülük ilkesi çerçevesinde sınırlandırılmalıdır.

Özel kullanıma izin verilen hâllerde, teknik olarak ayrıştırılabilen özel yazışmalar denetim dışında tutulmalıdır. İş amaçlı ve özel iletişimin birbirinden ayrılamadığı hâllerde ise denetim yetkisi daha dar değerlendirilmelidir.

5. Veri Güvenliği ve İş İlişkisinin Sona Ermesi:

Denetim yoluyla elde edilen verilere erişim, bu konuda görev ve yetki verilmiş sınırlı sayıdaki personelle sınırlandırılmalıdır. Erişim yetkileri görev tanımlarına uygun olarak belirlenmeli, erişim işlemlerine ilişkin kayıtlar tutulmalı ve verilere erişen kişilerin gizlilik yükümlülükleri güvence altına alınmalıdır.

İncelenen yazışmalarda ve eklerinde üçüncü kişilere ait veriler ile özel nitelikli kişisel veriler bulunabileceği dikkate alınmalıdır. Denetimin üçüncü kişiler üzerindeki etkileri gözetilmeli; özel nitelikli kişisel veriler bakımından KVKK’da[4] düzenlenen işleme şartları ayrıca değerlendirilerek Kurul tarafından belirlenen yeterli önlemler alınmalıdır.

İş ilişkisinin sona ermesinden sonra, çalışana tahsis edilmiş kurumsal e-posta hesabı ve bu hesapta bulunan verilere ilişkin kişisel veri işleme faaliyetlerinin hukuki dayanağı ayrıca değerlendirilmelidir. Bu kapsamda, hesabın kural olarak aktif kullanıma ve yeni erişimlere kapatılması ve çalışanın erişim yetkilerinin kaldırılması gerekmektedir.

Hesabın kullanıma kapatılması ile mevcut verilerin muhafaza edilmesi farklı hususlardır. Saklanmasını gerektiren geçerli bir işleme şartı bulunan veriler, ilgili amacın ve uygulanabilir mevzuatın gerektirdiği süreyle sınırlı olarak muhafaza edilmelidir. İşlenmesini gerektiren sebeplerin ortadan kalktığı veriler ise KVKK uyarınca silinmeli, yok edilmeli veya anonim hâle getirilmelidir.

İş sürekliliği veya hukuki uyuşmazlık gibi sınırlı amaçlarla hesaba ya da bu hesapta bulunan verilere erişilmesinin gerekli olduğu hâllerde, erişim ayrıca somut bir hukuki dayanağa dayanmalı ve ilgili amaçla sınırlı tutulmalıdır. Erişimin süresi ve kapsamı ile erişime yetkili kişiler belirlenmeli, gerçekleştirilen erişimler kayıt altına alınmalıdır.

3. Sonuç

Karar, işverenin yönetim hakkı ile çalışanların kişisel verilerinin korunması, özel hayatın gizliliği ve haberleşme hürriyeti arasında gözetilecek dengeyi somutlaştırmaktadır. Denetimin hukuka uygunluğu; geçerli bir veri işleme şartının bulunması, önceden bilgilendirme ve aydınlatma yükümlülüğünün yerine getirilmesi, gereklilik, ölçülülük ve veri güvenliği unsurları birlikte ele alınarak değerlendirilmelidir.

Bu kapsamda işverenlerin, iletişim araçlarının kullanımına ve denetimine ilişkin mevcut politikalarını, çalışan aydınlatma metinlerini ve fiilî denetim uygulamalarını Karar’da belirtilen esaslar doğrultusunda gözden geçirmeleri önerilmektedir.

Kurul, belirtilen yükümlülüklere uyulmadığının tespiti hâlinde somut olayın özelliklerine göre inceleme ve değerlendirme yapılacağını ve ilgili veri sorumluları hakkında KVKK[5] uyarınca işlem tesis edileceğini belirtmiştir.

Saygılarımızla,

 Gülaç Hukuk Bürosu