Blog

Kişisel Verileri Koruma Kurulu, işverenlerin çalışanlarına tahsis ettiği kurumsal e-posta hesaplarını ve iş için kullanılan diğer iletişim kanallarını nasıl denetleyebileceğine dair bir ilke kararı yayımladı. 16 Eylül 2026 tarihli ve 2026/2035 sayılı karar, Kurum tarafından 8 Ekim 2026'da duyuruldu. Karar, "hesap şirketin, istediğim zaman bakarım" yaklaşımının hukuken geçerli olmadığını açıkça ortaya koyuyor.

Karar neden alındı?

Kurula ulaşan şikâyetlerde; çalışan hesaplarının izlendiği, yazışmalara erişildiği, log kayıtlarının incelendiği ve elde edilen bilgilerin disiplin ya da işten çıkarma süreçlerinde kullanıldığı, buna karşın çalışanların bu konuda yeterince bilgilendirilmediği görüldü. Kurul da işverenlere yol gösteren usul ve esasları belirledi.

Kararın öne çıkan noktaları

• Cihazın sahibi olmak sınırsız yetki vermez. E-posta hesabının ya da bilgisayarın şirkete ait olması, denetimin sınırsız yapılabileceği anlamına gelmiyor.
• Teknik erişim, hukuki erişim demek değildir. Teknik olarak bir hesaba erişebilmeniz, çalışanın kişisel e-postası, özel mesajları ya da sosyal medyası gibi alanlara girebileceğiniz anlamına gelmiyor.
• Genel bir uyarı yetmez. "Kurumsal hesaplar denetlenebilir" gibi genel bir cümle aydınlatma yükümlülüğünü karşılamıyor. Çalışana amaç, kapsam, yöntem, içeriğe hangi durumlarda erişileceği, saklama süresi ve hakları açıkça anlatılmalı.
• Açık rıza ana dayanak değil. İşveren–çalışan ilişkisindeki güç dengesizliği nedeniyle, e-posta denetiminde açık rıza kural olarak öncelikli hukuki dayanak kabul edilmiyor.
• Kademeli ve ölçülü denetim. Daha az müdahaleci bir yöntemle amaca ulaşılabiliyorsa, daha ağır bir yönteme başvurulmamalı. İçeriğin incelenmesi kural olarak somut bir şüpheye ya da belirli bir olaya dayanmalı; sürekli ve kapsamı belirsiz incelemelerden kaçınılmalı.
• Log kayıtları da kişisel veridir. Yalnızca trafik ve log kayıtlarının incelenmesi bile kişisel veri işleme sayılıyor.
• Erişim sınırlı ve kayıtlı olmalı. Denetim yetkisi görev tanımına göre belirlenen az sayıda personele verilmeli, erişimler kayıt altına alınmalı.
• İşten ayrılan çalışan. İş ilişkisinin sona ermesi, eski çalışanın hesabına ve verilerine süresiz erişim hakkı vermiyor.

İşletmeler şimdi ne yapmalı?

1. Kullanım kurallarını yazılı hale getirin. Kurumsal e-posta, mesajlaşma ve diğer araçların hangi amaçla verildiğini ve özel kullanımın sınırlarını açıkça belirleyin.
2. Aydınlatma metninizi güncelleyin. Denetimin amacını, kapsamını, yöntemini ve saklama sürelerini somut biçimde anlatan bir metin hazırlayın ve çalışanlarınıza ulaştırın.
3. Teknik ayarları gözden geçirin. E-posta sunucusu ve güvenlik yazılımlarında hangi kayıtların ne kadar süre tutulduğunu, kimlerin erişebildiğini kontrol edin; gereksiz geniş yetkileri daraltın.
4. Ayrılan çalışan sürecini tanımlayın. Hesabın kapatılması, iş yazışmalarının devri ve verilerin silinmesi için yazılı bir prosedür oluşturun.

Kurul, bu yükümlülüklere uyulmadığının tespiti halinde somut olayın özelliklerine göre yaptırım uygulanacağını belirtiyor.

ZYON olarak kurumsal e-posta ve sunucu altyapınızı; yetkilendirme, log saklama ve erişim kaydı ayarlarıyla birlikte KVKK'ya uygun şekilde yapılandırıyoruz. Ayrıntılar için Bilgi Teknolojileri (IT) sayfamıza göz atabilir ya da bizimle iletişime geçebilirsiniz.

Not: Bu yazı genel bilgilendirme amaçlıdır; işletmenize özel durumlar için bir hukuk danışmanına başvurmanızı öneririz.

Kaynaklar

• KVKK – Kurulun 16/09/2026 tarihli ve 2026/2035 sayılı İlke Kararı