Yeni Gelişme
Kişisel Verileri Koruma Kurulu (“Kurul”), işverenler tarafından çalışanlara tahsis edilen kurumsal e-posta hesapları başta olmak üzere, işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetlenmesine ilişkin bir ilke kararı yayımladı.
Kurul’un işverenler tarafından çalışanlara sağlanan iletişim kanalları ve cihazların inceleme ve denetimine ilişkin değerlendirmelerde bulunduğu 16/09/2026 tarihli ve 2026/2035 sayılı ilke kararı (“İlke Karar”), 8 Ekim 2026 tarihli ve 33394 sayılı Resmi Gazete’de yayımlandı.
Kurul; 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) kapsamında, söz konusu denetimlere ilişkin olarak, denetimin hukuki niteliğini ve hukuki dayanağı, aydınlatma ve ölçülülük gereklilikleri, içerik incelemesine başvurulabilecek hâller ve iş ilişkisinin sona ermesinden sonraki süreçlere ilişkin usul ve esasları ayrıntılı biçimde ele alıyor.
İlke Kararı’na buradan ulaşabilirsiniz.
İlke Karar’ın Detayları
| Kapsam | Kurul, çalışanlara tahsis edilen kurumsal e-posta hesabının bir iletişim aracının ötesinde; çalışanın mesleki ve zaman zaman kişisel ilişki ağını, çalışma örüntüsünü ve yazışma içeriklerini barındıran bir veri kaynağı olduğunu belirtti. Bu doğrultuda, hesapların işveren tarafından denetlenmesi; işverenin yönetim hakkı ile çalışanın Anayasa’nın 20. ve 22. maddelerinde güvence altına alınan kişisel verilerin korunmasını isteme hakkı ve haberleşme hürriyeti arasındaki dengenin gözetilmesini gerektiren bir kişisel veri işleme faaliyetidir. Bu kapsamda İlke Karar, denetimi yalnızca kurumsal e-posta hesaplarıyla sınırlı tutmayıp, işin yürütülmesi amacıyla kullanılan diğer iletişim kanallarını da kapsamaktadır. Bu çerçevede, (i) kurum içi mesajlaşma uygulamaları, (ii) kurumsal anlık iletişim hesapları, (iii) müşteri ilişkileri veya (iv) talep yönetim sistemleri ile (v) toplantı platformlarındaki sohbet ve kayıt alanları gibi kanallar da somut olayın özelliklerine göre denetime konu olabilmektedir. Kişisel kullanıma da elverişli uygulamalarda ise hesabın işveren tarafından iş amacıyla tahsis edilip edilmediği, çalışanın kişisel hesabı üzerinden kullanılıp kullanılmadığı ve çalışanın makul mahremiyet beklentisi ayrıca değerlendirilecektir. Kurul, içeriğe hiç erişilmeksizin yalnızca trafik/log kayıtlarının incelenmesini dahi kişisel veri işleme faaliyeti olduğunu belirtti. Bu nedenle hem trafik verisine hem de içeriğe yönelik denetimlerin Kanun’daki genel ilkeler, işleme şartları ile aydınlatma ve veri güvenliği yükümlülükleri çerçevesinde yürütülmesi gerektiğini ve iletişim araçlarının işverene ait olmasının sınırsız bir denetim yetkisi tanımadığını değerlendirdi. |
| Özel Amaçlı Kullanım ve Kişisel Hesaplar | İlke Kararı’na göre, iletişim araçlarının özel amaçlı kullanımına ilişkin kuralların açık ve anlaşılır şekilde belirlenerek çalışanlara duyurulması gerekmektedir. Ancak, özel kullanımın yasaklanmış olması da denetimin ölçülü yürütülmesi gerekliliğini ortadan kaldırmamaktadır. Kurul’a göre kullanım yasağının ihlali içerik dışı bilgilerden anlaşılabiliyorsa yazışma içeriğine ayrıca erişilmesi gerekli ve orantılı kabul edilmemektedir. Özel kullanıma izin verilen hallerde ise iş amaçlı ve özel yazışmalar ayrılabiliyorsa denetim yalnızca iş amaçlı yazışmalarla sınırlı tutulmalı, ayrım yapılamıyorsa denetim yetkisi daha dar yorumlanmalıdır. Kurul, işverenin belirli bir cihaz, oturum, ağ veya kurumsal sistem üzerinde teknik erişim imkanına sahip olmasının, çalışanın kişisel e-posta hesabı, kişisel anlık mesajlaşma uygulaması, sosyal medya hesabı veya benzeri özel iletişim alanlarında bulunan yazışma içeriklerine serbestçe erişebileceği anlamına gelmediğini belirtip, teknik olarak erişebilir olma ile hukuken erişebilir olma yetkilerinin birbirinden ayrılması gerektiğini vurguladı. |
| Çalışanların Önceden Bilgilendirilmesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesi | İlke Karar, denetimin hukuka uygun olabilmesi için çalışanların denetim hakkında önceden ve açıkça bilgilendirilmesi gerektiğini belirtti. Bu kapsamda işverenin denetim yetkisi, Anayasa Mahkemesi ve Avrupa İnsan Hakları Mahkemesi içtihadındaki ilkeler çerçevesinde; (i) önceden bilgilendirme, (ii) meşru amaç, (iii) amaçla sınırlılık ve (iv) ölçülülük ile daha az müdahaleci yöntemlerin önceliği ölçütlerine bağlanmaktadır. Ayrıca Kurul, Anayasa Mahkemesi’nin aradığı bilgilendirme ile Kanun’un 10. maddesindeki aydınlatmanın aynı kavramlar olmadığını, ancak usulüne uygun bir aydınlatmanın önceden bilgilendirme şartını da karşılayabileceğini değerlendirdi. Kurul, buna karşılık “kurumsal e-posta hesapları denetlenebilir” gibi genel ifadelerin yeterli olmadığını belirtti. Bu kapsamda işveren tarafından yapılacak aydınlatmada; (i) denetimin hukuki sebebi, (ii) amacı ve kapsamı, (iii) yalnızca trafik/log kayıtlarının mı yoksa içeriğin de mi inceleneceği, (iv) içeriğe erişim koşulları, (v) verilerin saklama süresi ve (vi) çalışanların Kanun kapsamındaki haklarına açık, anlaşılır ve somut şekilde yer verilmelidir. |
| Denetimin Hukuki Dayanağı ve Sınırları | Kurul, denetimin, somut olayın koşullarına göre (i) veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için veri işlemenin zorunlu olması, (ii) bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması ya da (iii) ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için veri işlemenin zorunlu olması şartlarına dayalı olarak gerçekleştirilebileceğini belirtti. Kurul, ayrıca, açık rızayı e-posta denetiminde her durumda öncelikli hukuki dayanak olarak görmeyip, rızaya dayanılan hâllerde rızanın özgür iradeyle verilip verilmediği somut olay özelinde ayrıca değerlendirileceğini ifade etti. Kurul, hukuki sebebe dayanılmış olmasının dahi işverene sınırsız bir denetim yetkisi tanımadığını ve denetim faaliyetlerinin Kanun’un 4. maddesinde düzenlenen genel ilkelere uygun yürütülmesi gerektiğini belirtti. Kurul, ayrıca, denetimde kademeliliğin esas olduğunu, meşru amaca daha az müdahaleci bir yöntemle ulaşılabiliyorsa daha ağır bir yönteme başvurulamayacağını değerlendirdi. Bu kapsamda, içeriğe erişimin yalnızca trafik verilerinin yetersiz kaldığı ve içeriğe erişimin zorunlu olduğu istisnai hâllerde, somut şüpheye dayanarak ve ilgili iddiayla sınırlı olarak mümkün olduğunu belirtti. Sürekli gözetimden ve kapsamı belirsiz, genel içerik incelemelerinden de kaçınılması gerektiğini vurguladı. Ek olarak, Kurul, denetim kapsamında işlenen kişisel veriler arasında özel nitelikli kişisel veriler bulunabileceğinin ve denetlenen iletişimlerin, iletişimin karşı taraflarına veya başka üçüncü taraflara ait kişisel verileri içerebileceğinin göz önünde bulundurulması gerektiğini belirtti. |
| Verilere Erişim ve Saklama | Kurul, denetim kapsamında elde edilen verilere erişimin (i) görev tanımlarıyla yetkilendirilmiş sınırlı sayıdaki personelle sınırlandırılması, (ii) erişim kayıtlarının tutulması ve (iii) ilgili kişilerin gizlilik yükümlülüğü altına alınması gerektiğini belirtti. Bu kapsamda, veriler yalnızca denetimin amacının gerektirdiği süre boyunca saklanabilecektir. |
| İş İlişkisinin Sona Ermesinden Sonra Hesapların Yönetimi | Kurul, iş ilişkisinin sona ermesinin ardından kurumsal e-posta hesabına ilişkin veri işleme faaliyetlerinin hukuki dayanağının ayrıca değerlendirilmesi gerektiğini belirtti. Buna göre işveren; iş ilişkisi sona eren çalışanın hesabını kural olarak aktif kullanıma ve yeni erişimlere kapatmakla, gelen iletilerin ilgisiz kişilerce görüntülenmesini önlemekle ve hukuki dayanağı kalmayan kişisel verileri imha etmekle yükümlüdür. Bununla birlikte Kurul, iş sürekliliğinin sağlanması, kurumsal iletişimin aksamaması, hukuki uyuşmazlıklarda savunma hakkının kullanılması veya mevzuattan kaynaklanan yükümlülüklerin yerine getirilmesi amacıyla yönlendirme, otomatik cevap, arşivleme veya muhafaza uygulamalarının somut olayın koşullarına göre değerlendirilebileceğini; bu uygulamaların ise sınırlı ve süreli olarak, erişim yetkileri belirlenmiş ve kayıt altına alınmış şekilde yürütülmesi gerektiğini ifade etti. Dolayısıyla işverenlerin, iş ilişkisi sona eren çalışanların hesaplarına ilişkin süreçleri; hesabın kapatılması, yönlendirme veya arşivleme uygulamalarının kapsamı ve verilerin imhası bakımından saklama ve imha politikalarıyla uyumlu hâle getirmesi önemlidir. |
Sonuç
İlke Karar ile Kurul’un çalışanlara sağlanan iletişim kanalları ve cihazların denetimi ve incelenmesine ilişkin yaklaşımı tek bir çerçevede toplanmış ve işverenlerin denetim faaliyetlerinde dikkate alması gereken usul ve esaslar netleştirmiştir. İlke Karar, işverenlerin mevcut izleme uygulamalarının gözden geçirilmesini gerektirmektedir.
İlke Karar’nda özel bir uyum süresi öngörülmemiş olup, yükümlülüklere uyulmadığının tespiti hâlinde somut olayın özellikleri dikkate alınarak Kanun’un 18. maddesi uyarınca ilgili veri sorumluları hakkında idari işlem tesis edileceği açıklandı. Bu kapsamda işverenlerin, çalışan izleme ve işyeri iletişim araçlarının kullanımına ilişkin politika ve metinlerini İlke Karar doğrultusunda gözden geçirmesi gerekmektedir. Öte yandan, İlke Karar, çalışanlara sağlanan iletişim kanalları ve cihazların denetimi ve incelenmesini yalnızca kişisel verilerin korunması mevzuatı çerçevesinde ele almaktadır. Denetim ve inceleme faaliyetlerinde, iş hukuku ve ceza hukukunun ilgili hükümleri dikkate alınarak bütüncül bir yaklaşım benimsenmesi iş verenler için önem arz etmektedir.
