Yazımızda Kişisel Verileri Koruma Kurulunun 8 Ekim 2026 tarihli Resmî Gazete'de yayımlanan 2026/2035 sayılı İlke Kararı değerlendirilmekte; kurumsal e-posta denetiminin kişisel veri işleme niteliği, aydınlatma yükümlülüğü, ölçülülük, kademeli denetim, açık rızanın yetersizliği ve işverenlerin alması gereken tedbirler anlatılmaktadır.
Kişisel Verileri Koruma Kurulunun 16 Eylül 2026 tarihli ve 2026/2035 sayılı İlke Kararı, 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete'de yayımlanmıştır. Karar, işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları başta olmak üzere, işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetlenmesinde uyulması gereken esasları belirlemektedir. Uygulamada yaygın olan anlayış, iletişim aracının mülkiyetinin işverende bulunmasının bu araç üzerindeki her türlü denetime cevaz verdiği yönündeydi. Karar bu anlayışı açıkça reddetmekte ve mülkiyet ile veriye erişim yetkisini birbirinden ayırmaktadır. Düzenlemenin pratik etkisi geniştir; iç soruşturmalar, bilgi sızıntısı incelemeleri, rekabet yasağı ihlali araştırmaları ve disiplin süreçleri, bundan böyle bu çerçeveye uygun yürütülmediğinde hem idari yaptırım hem de elde edilen delilin hukuka aykırılığı riskini taşıyacaktır. Bu yazıda kararın kapsamı, denetim faaliyetinin kişisel veri işleme niteliği, aydınlatma yükümlülüğü, ölçülülük ve kademelilik ilkeleri, açık rızanın konumu, iş ilişkisinin sona ermesinden sonraki dönem ve işverenlerin alması gereken somut tedbirler değerlendirilmektedir.
1. Kararın Kapsamı
İlke Kararı yalnızca kurumsal e-posta hesaplarıyla sınırlı değildir. Karar, işin yürütülmesi amacıyla kullanılan iletişim kanallarını genel olarak kapsamakta ve bu kanallar üzerinde gerçekleştirilen izleme, yazışma içeriklerine erişme, trafik ve log kayıtlarını inceleme, filtreleme ve rutin denetim yapma gibi işlemleri değerlendirme konusu yapmaktadır. Kapsamın bu genişliği uygulamada önem taşır; kurumsal mesajlaşma uygulamaları, şirket içi iletişim platformları, işverene ait cihazlar üzerinden yürütülen iletişim ve bu cihazlarda tutulan kayıtlar da bu çerçeve içinde değerlendirilmelidir. Bir işverenin yalnızca e-posta politikası düzenlemiş olması, diğer kanallar bakımından aynı yükümlülüklerden muaf olduğu anlamına gelmez. Kararın kapsamına ilişkin bir diğer önemli nokta, işverenin teknik olarak erişebiliyor olmasının hukuki erişim yetkisi doğurmamasıdır; çalışanın kişisel e-posta hesabı, özel mesajlaşmaları veya sosyal medya iletileri, işverenin cihazı ya da ağı üzerinden erişilebilir durumda olsa dahi serbestçe incelenemez.
2. Mülkiyet ile Erişim Yetkisinin Ayrılması
Kararın temel çıkış noktası, kurumsal e-posta hesabının veya diğer iletişim araçlarının işverene ait olmasının, işverene çalışanların iletişim faaliyetleri üzerinde sınırsız bir denetim yetkisi sağlamadığıdır. Bu tespit, uygulamada en yaygın yanılgıyı doğrudan hedef almaktadır. Bir hesabın, bilgisayarın, ağın veya kurumsal sistemin işverene ait olması, çalışanların bu sistemler üzerinden gerçekleştirdiği bütün iletişimin herhangi bir sınırlama olmaksızın denetlenebileceği anlamına gelmemektedir. Aynı doğrultuda, işverenin kurumsal e-postanın yalnızca iş amacıyla kullanılabileceğine ilişkin bir kural belirlemiş olması da tek başına sürekli gözetim hakkı doğurmamaktadır. Bu ayrım, kişisel verilerin korunması hukukunun temel mantığını yansıtır; verinin bulunduğu aracın mülkiyeti ile o veri üzerindeki koruma birbirinden bağımsızdır. İşveren, kendi sistemi üzerinde dahi olsa, çalışana ait kişisel verileri ancak Kanunun öngördüğü şartlar çerçevesinde işleyebilir.
3. Denetimin Kişisel Veri İşleme Niteliği
Karar, işverenin yürüttüğü denetim faaliyetlerini kişisel veri işleme faaliyeti olarak nitelendirmektedir. Bu niteleme, uygulamada gözden kaçan bir hususu netleştirmektedir; denetimin kişisel veri işleme sayılması için yazışma içeriğine erişilmiş olması gerekmemektedir. Çalışanlara tahsis edilen kurumsal e-posta hesaplarının yalnızca trafik veya log kayıtlarının incelenmesi dahi kişisel veri işleme faaliyeti oluşturmaktadır. Bunun sonucu şudur; içeriğe hiç bakılmaksızın, kimin kiminle ne zaman yazıştığına ilişkin kayıtların incelenmesi, bağlantı kayıtlarının toplanması veya iletişim trafiğinin analiz edilmesi de Kanunun kapsamındadır ve veri işleme şartlarına uyulmasını gerektirir. Bu tespit, bilgi güvenliği araçlarının kullanımını da doğrudan ilgilendirir; veri sızıntısı önleme sistemleri, e-posta arşivleme çözümleri ve ağ izleme araçları, içerik okumasa dahi kişisel veri işlemektedir ve bu işleme için hukuki dayanak ile aydınlatma gereklidir.
4. Genel İlkelere Uygunluk
Karar, denetim faaliyetlerinin Kanunun genel ilkelerini düzenleyen hükmüne uygun yürütülmesi gerektiğini vurgulamaktadır. Bu çerçevede veri işlemenin hukuka ve dürüstlük kurallarına uygun olması, belirli, açık ve meşru bir amaca dayanması, işleme amacıyla bağlantılı, sınırlı ve ölçülü olması aranmaktadır. Bu ilkelerin denetim bağlamındaki karşılığı somuttur. Belirli ve açık amaç şartı, işverenin denetimi hangi amaçla yürüttüğünü önceden tanımlamasını gerektirir; genel nitelikte bir güvenlik veya verimlilik gerekçesi bu şartı karşılamaz. Bağlantılılık ve sınırlılık şartı, denetimin yalnızca belirlenen amaca hizmet eden verilerle sınırlı tutulmasını gerektirir. Ölçülülük şartı ise amaca ulaşmak için birden fazla yöntem bulunduğunda, kişisel verilere en az müdahale eden yöntemin tercih edilmesini gerektirir. İşverenin meşru bir amacının bulunması, uygulanacak yöntemin bu amaçla bağlantılı ve ölçülü olması, kararın tekrar ettiği temel ölçütlerdir.
5. Aydınlatma Yükümlülüğü ve Genel Bildirimlerin Yetersizliği
Kararın uygulamada en çok iş yükü doğuracak bölümü, aydınlatma yükümlülüğüne ilişkindir. Denetimin hukuka uygun kabul edilebilmesi için çalışanların önceden ve açık biçimde bilgilendirilmesi gerekmektedir. Karar bu noktada somut bir sınır çizmektedir; yalnızca kurumsal e-posta hesabının işveren tarafından denetlenebileceği şeklindeki genel nitelikli bildirimler bilgilendirme koşulunu sağlamamakta ve Kanunun aydınlatma yükümlülüğünü düzenleyen hükmü yerine getirilmiş sayılmamaktadır. Bunun pratik sonucu, mevcut iş sözleşmelerinde ve işyeri politikalarında yaygın olarak bulunan tek cümlelik denetim kayıtlarının yetersiz kalmasıdır. Aydınlatmanın, denetimin hangi kanallarda, hangi amaçla, hangi yöntemlerle ve hangi sıklıkla yapılacağını, hangi verilerin işleneceğini, kimlerin erişebileceğini ve saklama sürelerini anlaşılır biçimde ortaya koyması beklenmektedir. İşverenlerin mevcut aydınlatma metinlerini ve işyeri yönergelerini bu ölçüte göre gözden geçirmesi gerekmektedir.
6. Gizli İzleme ve Ayrım Gözetmeyen Kayıt Yasağı
Karar, iki denetim yöntemini açıkça hukuka aykırı saymaktadır. Birincisi, çalışanın önceden bilgilendirilmediği gizli izleme yöntemleridir. İkincisi, çalışanın tüm işlemlerini ayrım gözetmeden kaydeden araçlarla yapılan denetimdir. Bu iki yasağın ortak paydası, ölçülülük ve öngörülebilirlik ilkelerinin ihlalidir. Gizli izleme, çalışanın kendi davranışını buna göre düzenleme imkanını ortadan kaldırır; ayrım gözetmeyen kesintisiz kayıt ise amaçla sınırlılık ilkesini boşa çıkarır. Uygulamada bu yasaklar, iç soruşturma pratiklerini doğrudan etkiler. Bir bilgi sızıntısı şüphesi üzerine çalışanın haberi olmaksızın geçmişe dönük tüm yazışmalarının taranması, karar çerçevesinde ciddi risk taşır. Aynı şekilde, tuş kaydı alan yazılımlar, ekran görüntüsü toplayan araçlar ve tüm iletişimi ayrım gözetmeksizin arşivleyen sistemler, önceden bilgilendirme ve ölçülülük süzgecinden geçmeden kullanıldığında hukuka aykırılık oluşturacaktır.
7. Kademeli Denetim ve İçeriğe Erişimin İstisnai Niteliği
Karar, çalışanların iletişim kanallarının denetlenmesinde kademeli bir yöntem izlenmesi gerektiğini öngörmektedir. Bu yaklaşıma göre içeriğe erişim, denetimin ilk basamağı değil son basamağıdır. Önce daha az müdahaleci yöntemlerle sonuca ulaşılıp ulaşılamayacağı değerlendirilmeli, içeriğe ancak somut bir şüphenin bulunduğu ve erişimin zorunlu olduğu hallerde başvurulmalıdır. Bu kademelilik, pratikte şu sıralamayı gerektirir; öncelikle çalışanla görüşme ve bilgi talebi gibi doğrudan yöntemler, ardından içerik dışı verilerin incelenmesi, en son aşamada ise sınırlı ve hedefli içerik incelemesi. İçerik incelemesine geçildiğinde dahi, incelemenin konu, zaman aralığı ve kişi bakımından mümkün olduğunca dar tutulması beklenir. Özel kullanıma izin verilen işyerlerinde ise ek bir sınır devreye girer; iş yazışmaları ile kişisel yazışmalar birbirinden ayrılabiliyorsa, denetim yalnızca işle ilgili iletişimle sınırlandırılmalıdır.
8. Açık Rızanın Tek Başına Yeterli Olmaması
Karar, iş ilişkisinde açık rızanın konumuna ilişkin önemli bir tespit içermektedir. Kararda işçi ile işveren arasındaki güç eşitsizliğine dikkat çekilmekte ve çalışanın rızasının tek başına yeterli sayılamayacağı belirtilmektedir. Bu yaklaşım, kişisel verilerin korunması hukukunda yerleşik olan bir ilkeyi yansıtır; açık rızanın geçerli olabilmesi için özgür iradeyle verilmiş olması gerekir, oysa iş ilişkisindeki bağımlılık ilişkisi bu özgürlüğü tartışmalı hale getirir. Pratik sonucu şudur; işe giriş aşamasında çalışandan alınan ve denetime rıza gösterdiğini belirten matbu belgeler, denetimin hukuki dayanağını tek başına oluşturamaz. İşverenin, veri işlemesini Kanunda öngörülen diğer işleme şartlarından birine dayandırması ve bu şartın somut olayda gerçekten bulunduğunu ortaya koyabilmesi gerekir. Ayrıca kararda, bu şartlardan birinin bulunmasının dahi işverene sınırsız denetim hakkı tanımadığı vurgulanmaktadır; hukuki dayanağın varlığı, ölçülülük ve amaçla sınırlılık denetimini ortadan kaldırmaz.
9. Erişim Yetkisinin Sınırlandırılması ve Veri Güvenliği
Karar, denetim sonucunda elde edilen verilere erişim bakımından da sınır getirmektedir. Bu verilere yalnızca bu işle görevlendirilmiş sınırlı sayıdaki personel erişebilecektir. Bu düzenleme, denetim faaliyetinin kurum içinde yayılmasını ve elde edilen bilgilerin ilgisiz kişilerce görülmesini önlemeyi amaçlar. Uygulamada bu, denetim yetkisinin kurum içinde kimlere tanındığının yazılı olarak belirlenmesini, erişim loglarının tutulmasını ve görevlendirilmiş personelin gizlilik yükümlülüğü altına sokulmasını gerektirir. Karar ayrıca işverenlerin denetim faaliyetleri kapsamında gerekli teknik ve idari tedbirleri alması gerektiğini bildirmektedir. Bu tedbirler arasında elde edilen verilerin güvenli ortamda saklanması, saklama sürelerinin belirlenmesi ve süre sonunda imha edilmesi, erişim kontrolleri ve denetim sürecinin kayıt altına alınması sayılabilir. Bu yükümlülükler, veri sorumlusunun genel veri güvenliği yükümlülüğünün denetim faaliyetine özgü görünümünü oluşturur.
10. İş İlişkisinin Sona Ermesinden Sonraki Dönem
Karar, çalışan ile işveren arasındaki iş ilişkisinin sona ermesinden sonraki dönemi de düzenlemektedir. İşten ayrılan çalışana tahsis edilmiş kurumsal e-posta hesabına ilişkin veri işleme faaliyetinin hukuki dayanağının yeniden değerlendirilmesi gerekmektedir. Bu tespit, uygulamada yaygın olan iki pratiği doğrudan ilgilendirir. Birincisi, ayrılan çalışanın hesabının süresiz olarak aktif tutulması ve gelen iletilerin izlenmesidir. İkincisi, hesabın başka bir çalışana yönlendirilmesi ya da içeriğinin devredilmesidir. Her iki pratik de, iş ilişkisi sona erdikten sonra veri işlemenin hukuki dayanağının değiştiği gözetilerek yeniden kurgulanmalıdır. Uygulamada benimsenebilecek yaklaşım, hesabın makul bir süre sonunda kapatılması, bu süre boyunca gönderenlere otomatik bilgilendirme yapılması ve iş gereği saklanması zorunlu içeriğin ayrıştırılarak arşivlenmesidir. Sürenin ve yöntemin önceden belirlenip çalışana çıkış aşamasında bildirilmesi, sonradan doğacak uyuşmazlıkları önler.
11. İç Soruşturmalara ve Delil Elde Edilmesine Etkisi
Kararın en kritik pratik etkisi, iç soruşturma süreçleri üzerindedir. Ticari sır sızıntısı, rekabet yasağı ihlali, usulsüzlük ve dürüstlüğe aykırı davranış iddialarının araştırılmasında işverenin başvurduğu temel kaynak, çalışanın kurumsal iletişim kayıtlarıdır. Karar bu kaynağa erişimi ortadan kaldırmamakta, ancak sıkı usul kurallarına bağlamaktadır. Bir soruşturma başlatılmadan önce somut şüphenin belgelenmesi, denetim kararının gerekçesiyle birlikte yazılı hale getirilmesi, kapsamın kişi, konu ve zaman bakımından sınırlandırılması ve sürecin kayıt altına alınması gerekir. Bu adımların atlanması iki ayrı riski doğurur. Birincisi, idari para cezasıyla karşılaşma riskidir. İkincisi ve işveren bakımından çoğu zaman daha ağır olanı, hukuka aykırı yöntemle elde edilen bilginin yargılamada delil olarak kullanılamaması riskidir. Bir fesih ya da tazminat davasında dayanılan delilin bu sebeple değerlendirme dışı bırakılması, esasen haklı olan işvereni dahi sonuçsuz bırakabilir.
12. İşverenlerin Alması Gereken Tedbirler
Karar, işverenlerin kurumsal e-posta ve diğer işyeri iletişim araçları üzerindeki denetim politikalarını hukuki dayanak, önceden bilgilendirme, ölçülülük, amaçla sınırlılık ve veri güvenliği ilkeleri çerçevesinde yeniden değerlendirmeleri gerektiğine işaret etmektedir. Bu çerçevede atılması gereken somut adımlar şunlardır. Birincisi, mevcut iş sözleşmelerindeki ve işyeri yönetmeliklerindeki genel nitelikli denetim kayıtlarının gözden geçirilmesi ve ayrıntılı bir iletişim araçları kullanım ve denetim politikasının hazırlanmasıdır. İkincisi, aydınlatma metinlerinin denetim faaliyetini kapsayacak biçimde güncellenmesidir. Üçüncüsü, denetimin hukuki dayanağının belirlenmesi ve açık rızaya dayanmayan bir dayanağın tespit edilmesidir. Dördüncüsü, kullanılan izleme ve kayıt araçlarının envanterinin çıkarılması ve ölçülülük bakımından değerlendirilmesidir. Beşincisi, erişim yetkilerinin sınırlandırılması ve yazılı olarak belirlenmesidir. Altıncısı, iç soruşturma usulünün yazılı bir prosedüre bağlanmasıdır. Yedincisi, çalışan çıkış süreçlerinde hesap kapatma ve arşivleme kurallarının belirlenmesidir.
13. Sonuç ve Değerlendirme
İlke Kararı, işverenin denetim yetkisini ortadan kaldırmamakta, bu yetkiyi kişisel verilerin korunması hukukunun genel çerçevesine oturtmaktadır. Kararın getirdiği temel çerçeve şu şekilde özetlenebilir. İletişim aracının mülkiyeti ile içeriğine erişim yetkisi birbirinden ayrıdır; araç işverene ait olsa dahi denetim sınırsız değildir. Denetim, içeriğe erişilmese ve yalnızca trafik ile log kayıtları incelense dahi kişisel veri işleme faaliyetidir ve Kanunun genel ilkelerine tabidir. Çalışanların önceden ve açık biçimde bilgilendirilmesi zorunludur; genel nitelikli bildirimler aydınlatma yükümlülüğünü karşılamaz. Gizli izleme ve ayrım gözetmeksizin kayıt alan sistemler hukuka aykırıdır. Denetimde kademeli yöntem izlenmeli, içeriğe erişim somut şüphe ve zorunluluk hallerine özgülenmelidir. Açık rıza, iş ilişkisindeki güç eşitsizliği sebebiyle tek başına dayanak oluşturmaz. Elde edilen verilere erişim sınırlı sayıda görevlendirilmiş personelle sınırlandırılmalı, teknik ve idari tedbirler alınmalıdır. İş ilişkisi sona erdiğinde hesaba ilişkin veri işlemenin dayanağı yeniden değerlendirilmelidir. Kurul, belirlenen yükümlülüklere uyulmadığının tespiti halinde somut olayın özelliklerini dikkate alarak gerekli incelemenin yapılacağını bildirmektedir. Bu sebeple işverenlerin mevcut politikalarını gecikmeksizin gözden geçirmesi isabetli olacaktır.
Karar, çalışan ilişkilerinin ve ticari bilgilerin korunmasına ilişkin diğer alanlarla yakından ilişkilidir. Çalışan çıkışlarında gündeme gelen yükümlülükleri ele aldığımız rekabet yasağı sözleşmeleri yazımız ve bilgi sızıntılarının tespiti ile korunmasına ilişkin ticari sırların ve know-how'ın korunması incelememiz, bu kararla bağlantılı konuları ele almaktadır.
İşyeri iletişim araçları denetim politikalarının hazırlanması, aydınlatma metinlerinin güncellenmesi, iç soruşturma süreçlerinin yapılandırılması ve kişisel verilerin korunması uyum çalışmaları konularında danışmanlık almak için info@guzeloglu.legal adresinden bize ulaşabilirsiniz.