KVKK ilke kararı: işveren çalışanın e-postasını nasıl denetleyebilir?

Bu yazı genel bilgilendirme içindir, hukuki danışmanlık değildir. Kurallar Kişisel Verileri Koruma Kurulu'nun 16.09.2026 tarihli ve 2026/2035 sayılı ilke kararından (Resmî Gazete, 08.10.2026, sayı 33394) alındı.

Kişisel Verileri Koruma Kurulu, işverenin çalışana verdiği e-posta hesabını ve iş için kullanılan yazışma kanallarını nasıl denetleyebileceğine dair bir ilke kararı yayımladı. Karar 8 Ekim 2026'da Resmî Gazete'de çıktı. Çalışanı olan her işletmeyi ilgilendirir: kurumsal e-posta, kurum içi mesajlaşma uygulamaları, müşteri ve talep sistemleri ile toplantı platformlarındaki sohbet ve kayıtlar da kapsamda.

Kararın özü

• Yalnızca kayıtlara bakmak da veri işlemektir. İçeriği açmadan kimin kime ne zaman yazdığına (trafik ve log kayıtları) bakmak bile kişisel veri işlemedir ve Kanun'un bütün kurallarına tabidir.
• Araç işverenin diye sınırsız denetim olmaz. Hesabın ya da cihazın işverene ait olması tek başına denetim yetkisi vermez.
• Önceden, somut aydınlatma şart. "Kurumsal e-postalar denetlenebilir" gibi genel bir cümle yetmez. Çalışana önceden şunlar açıkça söylenir: denetimin hukuki sebebi ve amacı, neyi kapsadığı, yalnızca kayıtlara mı yoksa içeriğe de mi bakılacağı, içeriğe hangi durumlarda erişileceği, verilerin ne kadar saklanacağı ve çalışanın hakları.
• Açık rıza kural olarak dayanak değildir. İşçi ile işveren arasındaki güç dengesizliği nedeniyle Kurul, denetimin çalışanın açık rızasına dayandırılmamasını ister. Dayanak, somut duruma göre hukuki yükümlülük, bir hakkın korunması ya da işverenin meşru menfaatidir.
• Önce en hafif yol. Kötüye kullanım filtreleme ya da engelleme gibi teknik önlemlerle önlenebiliyorsa genel bir denetim hakkı doğmaz. İçeriğe ancak somut bir şüphe varsa ve o iddiayla sınırlı olarak bakılabilir.
• Gizli ve sürekli izleme hukuka aykırı. Çalışanın bilmediği gizli izleme ya da bütün işlemlerini ayrımsız kaydeden araçlarla yapılan denetim hukuka aykırı sayılır.
• Kişisel hesaplar ayrı. İşverenin bir bilgisayar ya da ağ üzerinde teknik yetkisinin olması, çalışanın kişisel e-postasına, kişisel mesajlaşma uygulamasına ya da sosyal medya mesajlarına erişebileceği anlamına gelmez.
• İşten ayrılınca hesap kapanır. Ayrılan çalışanın kurumsal hesabı kural olarak kullanıma kapatılır, gelen iletiler ilgisiz kişilerce görülmez, dayanağı kalmayan veriler imha edilir. İşin sürmesi için yönlendirme ya da otomatik cevap ancak sınırlı, süreli ve kayıt altında olabilir.

Kurul, bu kurallara uyulmadığının tespiti hâlinde Kanun'un 18. maddesine göre işlem yapılacağını belirtti.

Küçük bir işletme ne yapmalı?

1. Kısa bir kullanım kuralı yazın: iş e-postası ve iş için kullanılan WhatsApp grupları özel amaçla kullanılabilir mi, hangi sınırlarla? Kuralı çalışanlara yazılı duyurun.
2. Aydınlatma metnine denetimi ekleyin: ne zaman, neye, nasıl bakılacağını ve verilerin ne kadar saklanacağını somut yazın. İşe girişte iş sözleşmesiyle birlikte verilebilir; iş sözleşmesi örneğimizden yararlanabilirsiniz.
3. Erişimi sınırlayın: kayıtlara yalnızca bu işle görevli bir iki kişi erişsin; kimin eriştiği kayıt altında olsun.
4. Ayrılan çalışan için bir adım listesi tutun: hesabı kapatın, gerekiyorsa süreli bir otomatik cevap koyun, gereksiz verileri silin.

Panasis Personel çalışanın belgelerini ve imzaladığı metinleri kartında saklar; aydınlatma metnini işe girişte imzalatıp orada tutabilirsiniz.