Kişisel Verileri Koruma Kurulu (KVKK), işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları başta olmak üzere, işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetlenmesine ilişkin usul ve esasları belirledi. Kurulun 16 Eylül 2026 tarihli ve 2026/2035 sayılı kararı, 8 Ekim 2026 tarihli Resmî Gazete’de yayımlandı.

Kararda, işverenin iletişim araçlarının sahibi olmasının tek başına sınırsız bir denetim yetkisi sağlamadığı vurgulandı. Kurumsal e-posta hesaplarının denetlenmesi, çalışanın kişisel verilerinin korunması ve haberleşme hürriyeti açısından da değerlendirilmesi gereken bir veri işleme faaliyeti olarak ele alındı.

İşverenler tarafından çalışanlara tahsis edilen kurumsal e-posta hesaplarının yanı sıra işyerinde kullanılan diğer iletişim kanallarının denetiminde de aynı ilkeler gözetilecek. Denetimin trafik ve log kayıtlarıyla sınırlı kalması halinde dahi bunun kişisel veri işleme faaliyeti olduğu kabul edilecek. Bu nedenle veri işleme şartları, aydınlatma ve veri güvenliğine ilişkin yükümlülüklere uyulması gerekecek.

Denetimin amacı ve kapsamı önceden bildirilecek

Kurul, çalışanın denetim hakkında önceden bilgilendirilmesini temel şartlardan biri olarak ortaya koydu. İşveren tarafından yapılacak bilgilendirmenin genel ifadelerle sınırlı kalmaması; denetimin amacı, kapsamı, yöntemi, hangi verilerin incelenebileceği ve verilerin ne kadar süreyle saklanacağı gibi konularda açık bilgi içermesi gerekecek.

Sadece kurumsal e-posta hesabının işveren tarafından denetlenebileceğinin belirtilmesi yeterli olmayacak. Çalışanın hangi koşullarda ve ne şekilde denetime tabi tutulabileceğini anlayabilmesi gerekiyor. İş ilişkisindeki güç dengesizliği nedeniyle çalışanın açık rızasının da kural olarak e-posta denetiminde öncelikli hukuki dayanak olarak görülmemesi gerektiği belirtildi. Veri işlemenin somut olayın koşullarına göre kanunda öngörülen diğer hukuki şartlardan birine dayanması gerekecek.

İş ve özel amaçlı kullanım birbirinden ayrılacak

Denetim yapılırken iletişim araçlarının iş amaçlı mı yoksa özel amaçlı mı kullanıldığı dikkate alınacak. İşveren özel kullanımı yasaklayabilir veya belirli sınırlar getirebilir ancak bu kuralların çalışan tarafından bilinebilir ve anlaşılabilir olması gerekiyor. İş ve özel amaçlı iletişim birbirinden ayrılabiliyorsa denetim yalnızca iş amaçlı iletişimle sınırlandırılacak. Özel amaçlı iletişimin iş amaçlı iletişimden ayrılamadığı durumlarda ise işverenin denetim yetkisi daha dar yorumlanacak. Kurul ayrıca teknik olarak erişilebilen her veriye hukuken de erişilebileceği sonucuna varılamayacağını belirtti. Özellikle kişisel e-posta hesapları ve özel iletişim alanlarına erişim bakımından teknik erişim imkânı ile hukuki erişim yetkisinin birbirinden ayrılması gerekecek.

E-posta içeriğine erişim daha sıkı şartlara bağlandı

Kurula göre e-posta içeriğinin incelenmesi, yalnızca trafik verilerinin denetlenmesine kıyasla çalışanın özel hayatı ve haberleşme hürriyeti üzerinde daha ağır bir müdahale oluşturuyor. Bu nedenle içerik denetimi için daha güçlü ve somut bir gerekçe bulunması gerekecek. Denetimde daha az müdahaleci yöntemlerle aynı amaca ulaşılabiliyorsa e-posta içeriğine erişilemeyecek. Örneğin kötüye kullanımın filtreleme veya engelleme gibi teknik yöntemlerle önlenebildiği durumlarda genel bir içerik denetimine başvurulamayacak.

İçerik incelemesi yapılması gereken hallerde ise denetimin somut şüpheyle ve ileri sürülen iddiayla sınırlı tutulması, kapsamı belirsiz ve sürekli içerik incelemelerinden kaçınılması gerekecek. İnceleme sırasında özel nitelikli kişisel veriler ile yazışmalarda yer alan üçüncü kişilere ait verilerin de bulunabileceği dikkate alınacak.

Gizli ve sınırsız izleme yapılamayacak

Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleriyle veya tüm faaliyetlerini ayrım gözetmeksizin kaydeden araçlarla yürütülen denetim hukuka uygun kabul edilmeyecek. Kurumsal iletişim kanallarından elde edilen verilere erişim de görevle sınırlı tutulacak. Erişim yetkileri belirlenerek yalnızca yetkilendirilmiş kişilerin verilere ulaşmasına izin verilecek, erişimler kayıt altına alınacak ve verilere erişen kişiler gizlilik yükümlülüğü altında olacak.

İşten ayrılan çalışanın e-posta hesabı da ayrıca değerlendirilecek

İş ilişkisinin sona ermesinden sonra çalışana tahsis edilen kurumsal e-posta hesabıyla ilgili veri işleme faaliyetlerinin hukuki dayanağı ayrıca değerlendirilecek. Hesabın aktif kullanıma ve yeni erişimlere kapatılması, hesaba gelen iletilerin ilgisiz kişiler tarafından görüntülenmesinin önlenmesi ve hukuki dayanağı kalmayan kişisel verilerin imha edilmesi gerekecek. İş sürekliliğinin sağlanması veya hukuki yükümlülüklerin yerine getirilmesi gibi durumlarda ise yönlendirme, otomatik yanıt, arşivleme ya da muhafaza gibi uygulamalar somut olayın koşullarına göre değerlendirilebilecek. Bu uygulamalarda erişimlerin sınırlandırılması ve kayıt altına alınması gerekecek.

Kurul, belirlenen kurallara uyulmaması halinde 6698 sayılı Kanun kapsamında gerekli incelemelerin yapılabileceğini ve ilgili veri sorumluları hakkında idari işlem uygulanabileceğini bildirdi.