İşveren Kurumsal E-Postaları Okuyabilir mi? KVKK’nın 2026 İlke Kararı
Kurumsal e-posta hesabının işverene ait olması, hesaptaki bütün yazışmaların her zaman okunabileceği anlamına gelmez. İşin yürütülmesi ve bilgi güvenliği için denetim yapılması mümkün olsa da denetimin hangi amaçla, hangi kapsamda ve hangi güvencelerle yapıldığı belirleyicidir. Bir yöneticinin veya bilgi işlem çalışanının hesaba teknik olarak ulaşabilmesi, tek başına hukuki erişim yetkisi yaratmaz.
Kişisel Verileri Koruma Kurulunun 16 Eylül 2026 tarihli ve 2026/2035 sayılı ilke kararı, 8 Ekim 2026 tarihli Resmî Gazete’de yayımlandı. Karar; kurumsal e-posta başta olmak üzere işin yürütülmesinde kullanılan iletişim kanallarının denetlenmesini, çalışanların kişisel verilerinin korunması açısından ele alıyor. Yalnızca belirli bir çalışanın işten çıkarılmasını değerlendiren bireysel bir uyuşmazlık kararı değildir.
Karar hangi soruna cevap veriyor?
Kurul, kendisine ulaşan ihbar ve şikâyetlerde yazışmaların izlendiğini, içeriklere erişildiğini, trafik ve kayıt bilgilerinin incelendiğini, elde edilen verilerin disiplin veya fesih süreçlerinde kullanıldığını belirledi. Buna karşılık çalışanların bu işlemler hakkında yeterince açık ve somut biçimde bilgilendirilmediği görüldü. İlke kararı bu nedenle hem denetimin dayanağına hem uygulanma biçimine odaklanıyor.
E-posta kutusu yalnızca iş belgelerinden oluşmayabilir. Kiminle ne sıklıkla iletişim kurulduğu, yazışma saatleri, kişisel ilişkiler ve eklerdeki bilgiler de veri niteliğindedir. Bu nedenle sadece mesajın içeriğini okumak değil, iletişim kayıtlarını incelemek de kişisel veri işleme faaliyeti olabilir. “Mesajı açmadık, sadece kayıtları inceledik” açıklaması bütün yükümlülükleri ortadan kaldırmaz.
Şirket cihazı ile kişisel hesap aynı şey değildir
İşveren, kurumsal araçların iş dışında kullanımına ilişkin kurallar koyabilir. Ancak bu kuralların açık, anlaşılır ve çalışan tarafından bilinebilir olması gerekir. Özel kullanım yasaklanmış olsa bile denetim ölçülü yürütülmelidir. İş ve özel kullanımın kesin biçimde ayrılamadığı durumlarda denetimin kapsamı daha dar değerlendirilir.
Örneğin şirket bilgisayarında kişisel e-posta oturumunun açık unutulması, bütün özel yazışmaların okunmasını haklı kılmaz. Kurul, kişisel e-posta, özel mesajlaşma uygulaması ve sosyal medya hesapları bakımından teknik imkân ile hukuki yetkinin ayrılmasını özellikle vurguluyor. Cihazın mülkiyeti, özel iletişim alanındaki bütün veriler üzerinde sınırsız tasarruf yetkisi sağlamaz.
Önceden bilgilendirme nasıl yapılmalı?
Çalışanın “hesaplar denetlenebilir” biçiminde genel bir cümleyle karşılaşmış olması her durumda yeterli değildir. Kurul, Anayasa Mahkemesi içtihadındaki önceden bilgilendirme ile 6698 sayılı Kanun’un 10. maddesindeki aydınlatma yükümlülüğünü birbirinden ayırıyor. Her bildirim usulüne uygun aydınlatma sayılmaz; buna karşılık gerekli unsurları taşıyan somut bir aydınlatma önceden bilgilendirme ihtiyacını da karşılayabilir.
Açıklamada denetimin hukuki sebebi, amacı, kapsamı ve yöntemi; içeriklere hangi durumlarda erişileceği, verilerin ne kadar saklanacağı ve çalışanın Kanun’un 11. maddesindeki hakları anlaşılır biçimde belirtilmelidir. Böylece çalışan yalnızca denetimin mümkün olduğunu değil, pratikte neyle karşılaşabileceğini de öğrenir.
İşveren açısından uygulanabilir bir yöntem, e-posta kullanım politikasını gerçek teknik süreçlerle karşılaştırmaktır. Metinde yalnızca güvenlik kaydı tutulacağı söylenip uygulamada bütün içerikler yöneticilere açılıyorsa kâğıt üzerindeki politika yeterli olmaz. Bildirimin ne zaman ve hangi yöntemle yapıldığının belgelenmesi de sonradan doğabilecek uyuşmazlık bakımından önemlidir.
Çalışanın imzası veya açık rızası yeterli mi?
İş ilişkisinde bağımlılık ve güç dengesi bulunduğundan, çalışanın açık rızası her durumda öncelikli hukuki dayanak kabul edilemez. Rızaya dayanılıyorsa bunun gerçekten özgür iradeyle verilip verilmediği somut koşullarda değerlendirilmelidir. İş sözleşmesindeki imza, sınırsız ve belirsiz bir gözetim yetkisine dönüştürülemez.
Ayrıca geçerli bir açık rıza veya başka bir veri işleme şartı bulunsa dahi amaçla sınırlılık ve ölçülülük devam eder. Hukuki dayanağın varlığı, bütün e-posta arşivini süresiz inceleme izni değildir. İşveren önce hangi veri işleme şartına dayandığını belirlemeli, ardından seçtiği yöntemin bu amaç için gerçekten gerekli olup olmadığını değerlendirmelidir.
Kademeli denetim ne anlama geliyor?
Kurulun yaklaşımına göre meşru amaca daha az müdahaleci bir yöntemle ulaşılabiliyorsa daha ağır yönteme geçilmemelidir. İlk aşamada belirli tarih aralığı veya teknik kayıt yeterli olabilecekse, yıllara yayılan bütün mesajların içeriğini incelemek ayrıca gerekçelendirilmesi gereken çok daha geniş bir müdahaledir. Kayıt incelemesi de hukuki dayanak ve ölçülülük koşullarına tabidir.
Varsayımsal bir örnekte, belirli bir gün şirket dışına yüksek miktarda veri gönderildiğine ilişkin somut güvenlik uyarısı alınmış olsun. İncelemeyi ilgili olay, zaman aralığı ve gerekli veriyle sınırlamak; ilgisiz kişisel yazışmaları dışarıda tutmak daha ölçülü bir yaklaşım olabilir. Buna karşılık “çalışanların neler konuştuğunu görmek” amacıyla sürekli içerik taraması yapılması aynı gerekçeye dayanmaz. Bu örnek bir işlemin peşinen hukuka uygun olduğu garantisi değildir.
Mesaj içeriği hangi koşullarda incelenebilir?
İlke kararı, içerik incelemesine kural olarak somut şüphe veya belirli bir olayla bağlantılı meşru bir amaç bulunması hâlinde ve o amaçla sınırlı biçimde başvurulmasını öngörüyor. Kapsamı belirsiz, genel ve sürekli içerik incelemelerinden kaçınılması gerekiyor. Denetim kararı alınırken neden içerik incelemesine ihtiyaç duyulduğunun açıklanabilmesi bu yüzden önem taşıyor.
İçeriklerde sağlık bilgisi gibi özel nitelikli veriler veya müşterilere, aile üyelerine ve başka çalışanlara ait bilgiler de bulunabilir. Yalnızca hesabı kullanan kişinin mahremiyeti söz konusu değildir. Denetimde tesadüfen görülen ilgisiz verilerin gereksiz yere çoğaltılması ve geniş bir yönetici grubuyla paylaşılması, ilk amaçtan ayrı sorunlara yol açabilir.
Kim erişmeli, kayıtlar ne kadar tutulmalı?
Erişim, görev ve yetki verilmiş sınırlı sayıdaki personelle sınırlandırılmalıdır. Yetkiler görev tanımlarına uygun düzenlenmeli, erişim işlemleri kayda alınmalı ve gizlilik yükümlülükleri güvence altına alınmalıdır. E-posta kutusunu birden fazla yöneticinin sürekli erişimine açmak yerine, olayla bağlantılı ve denetlenebilir bir yetkilendirme süreci kurulması gerekir.
Veriler amaç için gerekli süreden daha uzun tutulmamalıdır. İlke kararı bütün işyerleri için tek bir saklama süresi belirlemiyor. Dolayısıyla “her e-posta şu kadar yıl saklanabilir” şeklinde kaynaksız genel bir süre vermek doğru olmaz. Saklama ihtiyacı, ilgili yükümlülükler ve somut amaç birlikte değerlendirilmelidir.
Çalışan ayrıldıktan sonra hesaba erişim devam edebilir mi?
İş ilişkisinin bitmesi, eski çalışanın hesabındaki verilere süresiz erişim hakkı doğurmaz. Kurul, ayrılık sonrasındaki veri işleme faaliyetlerinin hukuki dayanağının ayrıca değerlendirilmesini istiyor. İşin devamlılığına ilişkin ihtiyaç ile eski çalışanın bütün yazışmalarını belirsiz süreyle açık tutmak aynı şey değildir.
Uygulamada görev devri, kurumsal belgelerin uygun alana aktarılması, hesap yetkilerinin kapatılması ve gerekiyorsa sınırlı bir otomatik bilgilendirme düzeninin kurulması birlikte planlanabilir. Bunlar kararda her işyeri için tek biçimde emredilmiş teknik adımlar değil, belirtilen ilkeleri uygulamaya yönelik örneklerdir. Her yöntemin veri işleme sonuçları ayrıca değerlendirilmelidir.
Çalışan ve işveren somut olayda neyi kontrol etmeli?
Çalışan açısından kullanım politikası, aydınlatma metni, bunların bildirim tarihi, denetime ilişkin açıklama ve varsa disiplin veya fesih belgeleri önemlidir. Hangi verilerin, hangi amaçla ve kimler tarafından işlendiğine ilişkin sorular somutlaştırılabilir. Delil koruma amacı, başkasının hesabına izinsiz giriş veya şirket verilerini yetkisiz biçimde kopyalama hakkı vermez.
İşveren açısından kontrol sırası; amaç ve hukuki dayanağın belirlenmesi, daha sınırlı yöntemin değerlendirilmesi, çalışanın bilgilendirilmesi, erişim yetkisinin sınırlandırılması, incelemenin kayda alınması ve saklama süresinin yönetilmesidir. İnsan kaynakları, hukuk ve bilgi işlem uygulamalarının birbirini tutması gerekir. Yalnızca örnek bir metin imzalatılması, fiilî denetim sürecindeki eksikleri kapatmaz.
Denetimde aykırılık varsa fesih otomatik geçersiz mi?
Bu ilke kararı her işten çıkarmanın sonucunu peşinen belirlemiyor. Kişisel veri işlemenin hukuka uygunluğu ile fesih sebebinin ve işçilik taleplerinin değerlendirilmesi bağlantılı fakat ayrı incelemelerdir. Kullanılan delilin elde ediliş biçimi de somut uyuşmazlıkta önem taşıyabilir. Aynı şekilde Kurul, her olay için tek bir para cezası tutarı ilan etmiş değildir; aykırılıklar bakımından Kanun’un 18. maddesi çerçevesinde somut değerlendirme yapılacağını bildiriyor.
Bu nedenle kararın pratik mesajı, işyerinde hiçbir denetim yapılamayacağı değildir. Denetimin önceden açıklanabilir, meşru amaçla bağlantılı, gerekli ve ölçülü olması; erişim ile saklamanın sınırlarının bulunmasıdır. Çalışanın mahremiyeti ve işverenin bilgi güvenliği ihtiyacı bu çerçevede birlikte ele alınmalıdır.
Resmî kaynaklar
İnceleme, 8 Ekim 2026’da yayımlanan ilke kararına dayanır. Örnek senaryolar açıklama amaçlıdır; bireysel bir uyuşmazlığa ilişkin kesin sonuç içermez.
