İşveren kurumsal e-postayı denetleyebilir mi? 2026 ilke kararı

Yeni ilke kararı hangi sınırları açıklıyor?

KVKK, 8 Ekim 2026 tarihli duyurusunda Kurulun 16 Eylül 2026 tarihli ve 2026/2035 sayılı ilke kararını açıkladı. Karar, iş için kullanılan iletişim kanallarının denetimini işverenin yönetim hakkıyla birlikte çalışanların kişisel verileri ve haberleşme güvenceleri bakımından ele alıyor.

Teknik olarak posta kutusuna erişebilmek ile hukuken erişim yetkisine sahip olmak farklıdır. İşin yürütülmesi veya bilgi güvenliği amacı, kapsamı belirsiz ve sürekli içerik incelemesini kendiliğinden haklı kılmaz. Her denetimin hangi ihtiyaca cevap verdiği açıklanabilmelidir.

Çalışan önceden nasıl bilgilendirilmeli?

İletişim araçlarının iş ve özel amaçlı kullanım kuralları açık ve erişilebilir olmalıdır. Denetimin amacı, hukuki sebebi, yöntemi, kapsamı, hangi durumlarda içeriğe bakılabileceği, saklama süresi ve çalışanın hakları anlaşılır biçimde belirtilmelidir. Yalnızca hesapların denetlenebileceğini söyleyen soyut ifade yeterli görülmeyebilir.

Önceden bilgilendirme ile 6698 sayılı Kanun’un 10. maddesindeki aydınlatma yükümlülüğü ayrı değerlendirmelerdir. İşyeri politikası, aydınlatma metni ve çalışana yapılan duyurunun birbiriyle tutarlı olması gerekir. Başka bir işleme şartına dayanılması da ölçülülük incelemesini ortadan kaldırmaz.

İçerik incelemesinde kademeli yaklaşım ne demek?

Amaç daha az müdahaleci verilerle karşılanabiliyorsa doğrudan bütün mesaj içeriklerini okumaya geçilmemelidir. İncelemenin belirli olay, ilgili dönem ve gerekli kişilerle sınırlandırılması; erişimin görevli personelle tutulması ve işlem kayıtlarının korunması değerlendirilir.

Örneğin tek bir iş dosyasının izinsiz gönderildiği iddiası, bütün çalışanların yıllarca süren yazışmalarının taranmasıyla aynı kapsamda değildir. Müşterilerin veya diğer çalışanların bilgileriyle karşılaşılması da koruma gerektirir. Özel nitelikli bilgiler yönünden ek koşullar gündeme gelebilir.

İşten ayrılma ve uyuşmazlık hâlinde ne hazırlanmalı?

Çalışanın ayrılması, posta kutusuna süresiz ve sınırsız erişim yetkisi oluşturmaz. İş devamlılığı için gereken kayıtlar, erişim kapsamı ve saklama planı ayrıca belirlenmelidir. Denetimde elde edilen verinin başka amaçlarla kullanılması da ayrı değerlendirme gerektirebilir.

Uyuşmazlıkta sözleşme, iletişim politikası, aydınlatma metni, bunların bildirim tarihi ve denetimin gerekçesi önemlidir. Verinin elde edilme biçimi ile buna dayanılarak uygulanan disiplin veya fesih işlemi ayrı incelenir. Denetim yapılmış olması tek başına feshin haklılığını kanıtlamaz.

Sık sorulan sorular

Kurumsal hesapta mahremiyet beklentisi olabilir mi?

Olabilir. Kullanım kuralları, bilgilendirme ve denetimin kapsamı birlikte değerlendirilir; hesabın mülkiyeti tek başına belirleyici değildir.

Genel rıza belgesi bütün denetimleri geçerli kılar mı?

Hayır. Rızanın geçerliliği yanında amaç, gereklilik, kapsam ve diğer veri koruma yükümlülükleri incelenmelidir.

Ayrılan çalışanın bütün e-postaları süresiz tutulabilir mi?

İşten ayrılma tek başına böyle bir yetki vermez. Saklama amacı ve süresi ile erişim ihtiyacı ayrıca belirlenir.