KVKK ilke kararı: İşveren kurumsal e-postayı nasıl denetleyebilir?

Kişisel Verileri Koruma Kurulu'nun 16 Eylül 2026 tarihli ve 2026/2035 sayılı ilke kararı, 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete'de yayımlandı. Karar, işverenin çalışanlara verdiği kurumsal e-posta hesaplarını ve işte kullanılan diğer iletişim kanallarını hangi koşullarda denetleyebileceğini çiziyor. Bu yazıda kararın ana ilkelerini ve işverenler için pratik bir kontrol listesini özetliyoruz. Kaynak: Resmî Gazete, 8 Ekim 2026, Sayı 33394.

Karar neyi kapsıyor?

Karar yalnızca e-postayla sınırlı değil. Kurul; kurum içi mesajlaşma uygulamalarını, kurumsal anlık iletişim hesaplarını, müşteri ilişkileri (CRM) ve talep yönetim sistemlerini, toplantı platformlarındaki sohbet ve kayıt alanlarını da somut olayın özelliklerine göre denetime konu olabilecek kanallar arasında sayıyor.

Kurul'a göre kurumsal e-posta hesabı, bir iletişim aracından fazlası: çalışanın mesleki, zaman zaman da kişisel ilişki ağını, çalışma örüntüsünü ve yazışmalarını barındıran bir veri kaynağı. Bu nedenle hesabın denetlenmesi, işverenin yönetim hakkı ile çalışanın kişisel verilerin korunması hakkı ve haberleşme hürriyeti arasında denge gözetilmesi gereken bir kişisel veri işleme faaliyeti.

Kararın ana ilkeleri

Cihaz şirketin diye denetim sınırsız değil

İletişim araçlarının işverene ait olması ya da işyerinde kullanılması, tek başına işverene sınırsız ve mutlak bir denetim yetkisi vermiyor. Teknik erişim imkânı ile hukuki erişim yetkisi ayrı şeyler: İşverenin bir cihaz, ağ ya da sistem üzerinde teknik yetkisi olması, çalışanın kişisel e-posta hesabına, kişisel mesajlaşma uygulamasına veya sosyal medya mesaj kutusuna serbestçe erişebileceği anlamına gelmiyor.

Log kayıtları da kişisel veri

İçeriğe hiç bakmadan yalnızca trafik/log kayıtlarını incelemek de başlı başına bir kişisel veri işleme faaliyeti. Yani log incelemesi de 6698 sayılı Kanun'un genel ilkelerine (md. 4), işleme şartlarına (md. 5 ve 6), aydınlatma yükümlülüğüne (md. 10) ve veri güvenliği yükümlülüklerine (md. 12) tabi.

İş amaçlı ve özel kullanım ayrımı

İşveren, iş araçlarının özel amaçla kullanımına kural koyabilir. Ancak kurallar açık, anlaşılır ve çalışanın bilebileceği nitelikte olmalı ve çalışana açıkça duyurulmalı. Özel kullanım yasaklanmış olsa bile denetim ölçülülükle sınırlı. Özel kullanıma izin verilmişse ve iş yazışmaları özel yazışmalardan ayrılabiliyorsa, denetim yalnızca iş yazışmalarıyla sınırlı tutulmalı; özel yazışmalar denetim dışında kalmalı. İkisi ayrılamıyorsa işverenin denetim yetkisi daha dar yorumlanmalı. Özel kullanım yasağının ihlali içerik dışı unsurlardan anlaşılabiliyorsa, yazışma içeriğine ayrıca erişmek gerekli ve orantılı sayılmıyor.

Önceden ve somut bilgilendirme

Çalışanın denetimden önceden haberdar edilmesi, hukuka uygunluğun belirleyici unsurlarından biri. "Kurumsal e-posta hesabı işveren tarafından denetlenebilir" gibi genel bir cümle ne bilgilendirme koşulunu karşılıyor ne de aydınlatma yükümlülüğünü. Kurul'a göre aydınlatma, soyut ifadelerin ötesine geçmeli ve şunları açık, anlaşılır ve somut biçimde içermeli:

• işlemenin hukuki sebebi ve amacı,
• denetimin kapsamı,
• denetimin trafik/log kayıtlarıyla mı yoksa içerik denetimiyle mi yürütüleceği,
• içeriğe hangi hallerde erişilebileceği,
• verilerin saklama süresi,
• çalışanın 6698 sayılı Kanun'un 11. maddesindeki hakları.

Önceden bilgilendirilmemiş ve usulüne uygun aydınlatılmamış bir çalışanın, kişisel verilerine ve haberleşmesine müdahale edilmeyeceği yönünde makul bir beklenti taşıyacağı da gözetilmeli.

Açık rıza ana dayanak değil

İş ilişkisindeki bağımlılık ve güç dengesizliği nedeniyle çalışanın açık rızası, e-posta denetiminde kural olarak öncelikli hukuki dayanak olarak esas alınmamalı. Rızaya dayanılıyorsa, özgür iradeyle verilip verilmediği ayrıca değerlendirilmeli. Kurul, somut olaya göre şu işleme şartlarını işaret ediyor: hukuki yükümlülüğün yerine getirilmesi (md. 5/2-ç), bir hakkın tesisi, kullanılması veya korunması (md. 5/2-e) ve veri sorumlusunun meşru menfaati (md. 5/2-f). Bu şartların bulunması da işverene sınırsız denetim yetkisi vermiyor.

Kademeli ve ölçülü denetim

Denetimde kademelilik esas. Amaca daha az müdahaleci bir yolla ulaşılabiliyorsa daha ağır bir yönteme başvurulamaz. İçeriğe erişim ancak trafik verisi denetimi yetersiz kaldığında ve içeriğe erişim zorunlu olduğunda, istisnai olarak gündeme gelebilir. İçerik denetimi yalnızca somut bir şüphe varsa ve iddiayla sınırlı yapılmalı; kapsamı belirsiz, genel ve sürekli içerik incelemesinden kaçınılmalı. Kötüye kullanım filtreleme, engelleme gibi teknik yollarla önlenebiliyorsa işverenin genel bir denetim hakkı doğmuyor.

İçerik incelenirken e-postanın gövdesinde veya eklerinde özel nitelikli kişisel veri bulunabileceği ve yazışmaların karşı tarafların kişisel verilerini de içerdiği hesaba katılmalı.

Gizli ya da sürekli izleme hukuka aykırı

Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleriyle ya da çalışanın tüm işlemlerini ayrım gözetmeden kaydeden araçlarla yapılan denetim hukuka aykırı sayılıyor. Sürekli ve aralıksız gözetim de ölçülü kabul edilmiyor. Denetim, çalışanın bilgisi dahilinde ve öngörülebilir bir çerçevede yürütülmeli. Elde edilen veriler yalnızca amacın gerektirdiği süre kadar saklanmalı.

Sınırlı ve kayıt altına alınan erişim

Denetimde elde edilen verilere erişim, bu görevle yetkilendirilmiş sınırlı sayıda personelle sınırlanmalı. Yetkiler görev tanımlarıyla belirlenmeli, erişim kayıtları tutulmalı ve verilere erişen kişiler gizlilik yükümlülüğü altına alınmalı.

İşten ayrılan çalışanın hesabı

İş ilişkisi bittiğinde hesaba ilişkin veri işlemenin hukuki dayanağı ayrıca değerlendirilmeli. Kural olarak hesap çalışanın kullanımına ve yeni erişimlere kapatılmalı, gelen iletiler ilgisiz kişilerce görüntülenmemeli ve hukuki dayanağı kalmayan kişisel veriler imha edilmeli. İş sürekliliği, kurumsal iletişimin aksamaması, hukuki uyuşmazlıklarda savunma hakkı veya mevzuattan doğan yükümlülükler için sınırlı, süreli, erişim yetkileri belirlenmiş ve kayıt altına alınmış yönlendirme, otomatik yanıt, arşivleme veya muhafaza uygulamaları somut olaya göre değerlendirilebilir.

Uyulmazsa ne olur?

Kurul, bu yükümlülüklere uyulmadığını tespit ederse somut olayın özelliklerine göre inceleme yapacağını ve 6698 sayılı Kanun'un 18. maddesi uyarınca ilgili veri sorumluları hakkında idari işlem tesis edeceğini belirtiyor.

İşverenler için kontrol listesi

1. Kullanım politikası: E-posta, mesajlaşma, CRM, talep ve toplantı araçlarında özel kullanıma izin verilip verilmediğini, izin varsa sınırlarını yazılı ve anlaşılır biçimde belirleyin. Politikayı çalışanlara duyurun.
2. Denetime özgü aydınlatma metni: Genel bir "denetlenebilir" cümlesi yerine hukuki sebebi, amacı, kapsamı, log mu içerik mi inceleneceğini, içeriğe hangi hallerde bakılacağını, saklama süresini ve 11. madde haklarını yazan bir metin hazırlayın. Metni denetimden önce çalışana ulaştırın ve bunu belgeleyin.
3. Kademeli inceleme prosedürü: Önce teknik önlemler (filtreleme, engelleme), sonra log incelemesi; içerik incelemesi yalnızca somut şüphe varsa ve iddiayla sınırlı. İncelemeye kimin, hangi gerekçeyle karar verdiğini kayda geçirin.
4. Rol bazlı erişim: Posta kutusu içeriğine ve arama/eDiscovery araçlarına erişebilecek kişileri görev tanımlarıyla sınırlayın. Yönetici hesaplarındaki geniş yetkileri ve kalıcı tam erişim (Full Access) yetkilerini gözden geçirin. Erişen kişileri gizlilik yükümlülüğü altına alın.
5. Erişim günlükleri: Microsoft 365'te posta kutusu denetimini (mailbox auditing) ve Microsoft Purview denetim günlüğünü, Google Workspace'te Yönetici konsolundaki denetim ve inceleme (audit and investigation) kayıtlarını açık tutun. Kimin hangi posta kutusuna eriştiğini düzenli olarak kontrol edin.
6. Saklama süreleri: Log kayıtları, inceleme çıktıları ve arşivler için amaçla orantılı saklama süreleri belirleyin. Araçlardaki saklama ilkelerini (retention policies) buna göre ayarlayın ve süresi dolan verileri imha edin.
7. İşten ayrılma prosedürü: Hesabın kapatılması, gelen iletilerin kime ve ne kadar süreyle yönlendirileceği, otomatik yanıt, arşivleme ve imha adımlarını yazılı hale getirin. Yönlendirmeyi ve arşive erişimi süreli ve kayıtlı tutun.
8. İzleme araçlarını gözden geçirin: Kullanıcıların tüm işlemlerini ayrım gözetmeden kaydeden yazılımları envantere alın. Çalışanın bilgisi dışında ya da sürekli çalışan izlemeleri kaldırın.

ISO 27001 ile bağlantı

Kararın beklentileri, ISO/IEC 27001:2022 Ek A'daki bazı kontrollerle doğal biçimde örtüşüyor:

• 5.10 Bilgi ve ilgili varlıkların kabul edilebilir kullanımı: iş araçlarının özel kullanım kuralları ve kullanım politikası.
• 5.15 Erişim kontrolü ve 5.18 Erişim hakları: içerik ve log verilerine rol bazlı, görev tanımına bağlı erişim ve yetkilerin düzenli gözden geçirilmesi.
• 5.34 Gizlilik ve kişisel verilerin korunması: aydınlatma, hukuki sebep ve saklama gibi KVKK gerekliliklerinin belirlenip karşılanması.
• 6.5 İstihdamın sona ermesi veya değişmesinden sonraki sorumluluklar: işten ayrılma prosedürü ve hesabın kapatılması.
• 8.15 Kayıt tutma (logging): posta kutusu erişimlerinin ve yönetici işlemlerinin kaydı.

Sertifikayı akredite bir belgelendirme kuruluşu verir. Doğa Network danışmanlık yapar, belgelendirme yapmaz.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki görüş yerine geçmez.

Doğa Network nasıl yardımcı olabilir?

Microsoft 365 ve Google Workspace'te posta kutusu erişim yetkilerinin gözden geçirilmesi, denetim günlüklerinin açılması, saklama ilkeleri, işten ayrılma prosedürü ve ISO 27001 uyum çalışmaları konusunda ekibimiz destek verebilir. Aydınlatma metninin hukuki içeriği için hukuk danışmanınızla birlikte çalışmanızı öneririz. Bize 0850 888 3642 numaralı telefondan veya hi@doga.network adresinden ulaşabilirsiniz.

Kaynak

• Resmî Gazete, 8 Ekim 2026, Sayı 33394 – KVKK Kurul Kararı 2026/2035