Makaleler

Daha fazla bilgi için,
lütfen bizimle iletişime geçin

Selenay ESEN

---

Stajyer Avukat

Kişisel Verileri Koruma Kurulu’nun İşyeri İletişim Kanallarının Denetimine İlişkin İlke Kararı ve Hukuki Esasları

1. Giriş ve Kararın Hukuki Niteliği

Kişisel Verileri Koruma Kurulu (Kurul), 16 Eylül 2026 tarihli ve 2026/2035 sayılı İlke Kararı ile işverenler tarafından çalışanlara tahsis edilen kurumsal e-posta hesapları başta olmak üzere, işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetlenmesinde uyulması gereken usul ve esasları belirlemiştir. Söz konusu karar, 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete’de yayımlanarak yürürlüğe girmiştir.

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (Kanun) 15’inci maddesinin altıncı fıkrası uyarınca alınan bu karar, münferit bir uyuşmazlığın çözümüyle sınırlı olmayıp, uygulamada yaygın şekilde karşılaşılan ihlallerin önlenmesi amacıyla tüm veri sorumlusu işverenler bakımından bağlayıcı genel kurallar getiren bir ilke kararı niteliğindedir. Kararın temel amacı; işverenin işyerindeki mülkiyet ve yönetim hakkı ile çalışanın Anayasa’nın 20’nci maddesinde düzenlenen kişisel verilerin korunmasını isteme hakkı ve Anayasa’nın 22’nci maddesinde güvence altına alınan haberleşme hürriyeti arasındaki hukuki dengenin Kanun ilkeleri çerçevesinde somut kurallara bağlanmasıdır.

2. Kararın Kapsamı ve Denetime Konu Olabilecek İletişim Kanalları

İlke Kararı, denetim kurallarının yalnızca geleneksel kurumsal e-posta hesaplarıyla sınırlı olmadığını, işin yürütülmesi amacıyla işyerinde kullanılan tüm dijital iletişim altyapısını kapsadığını hükme bağlamıştır. Bu çerçevede aşağıdaki kanallar kararın doğrudan kapsamındadır:

• Kurumsal e-posta hesapları,
• Kurum içi anlık mesajlaşma uygulamaları,
• İş amacıyla kullanılan kurumsal anlık iletişim hesapları,
• Müşteri ilişkileri (CRM) ve talep/bilet yönetim sistemleri,
• Toplantı ve video konferans platformlarındaki sohbet ve oturum kayıt alanları.

Kurul; kişisel kullanıma da elverişli olan bu tür uygulamalar bakımından, hesabın işveren tarafından iş amacıyla tahsis edilip edilmediğini, çalışanın kişisel hesabı üzerinden kullanılıp kullanılmadığını ve çalışanın meşru mahremiyet beklentisinin somut olayın özelliklerine göre ayrı ayrı değerlendirilmesi gerektiğini belirtmiştir.

3. Kararda Yer Alan Temel Hukuki İlkeler ve Denetim Şartları

Kurul, işverenin iletişim kanalları üzerindeki denetim yetkisini mutlak ve sınırsız bir hak olarak görmemiştir. İletişim araçlarının mülkiyetinin işverene ait olması veya işverenin sistem yöneticisi (admin) yetkisiyle cihaz ve sunucular üzerinde teknik kontrol imkânına sahip bulunması işverene serbest bir denetim yetkisi tanımaz; teknik erişim imkânı tek başına hukuki yetki doğurmaz. 

Kurul kararında denetim faaliyetinin hukuka uygunluğu bakımından tespit edilen temel şartlar ve bağlayıcı kurallar şunlardır:

• Trafik/Log Kayıtlarının İncelenmesi ve Kanun’a Tabi Olma 

Kurumsal e-posta hesaplarının denetlenmesinde, iletinin içeriğine erişilmeksizin yalnızca trafik ve log kayıtlarının işlenmesi dahi başlı başına bir kişisel veri işleme faaliyetidir. İster trafik verisine ister içerik verisine yönelik olsun, denetim faaliyeti her hâlükârda Kanun’un 4’üncü maddesindeki genel ilkelere, 5’inci ve 6’ncı maddelerindeki işleme şartlarına, 10’uncu maddesindeki aydınlatma yükümlülüğüne ve 12’nci maddesindeki veri güvenliği hükümlerine uygun yürütülmek zorundadır.

• İş Amaçlı Kullanım ve Özel Amaçlı Kullanım Ayrımı

Denetim faaliyetinin kapsamı belirlenirken işyeri iletişim araçlarının kullanım amacına göre iş amaçlı kullanım ve özel amaçlı kullanım ayrımı dikkate alınmalıdır. İşveren yönetim hakkı kapsamında özel amaçlı kullanıma ilişkin kurallar belirleyebilir; ancak bu kuralların açık, anlaşılır ve çalışan tarafından bilinebilir nitelikte olması ve çalışana açıkça duyurulması şarttır:

1. Özel amaçlı kullanımın yasaklandığı hâllerde dahi işverenin denetim yetkisi ölçülülük ilkesiyle sınırlıdır; denetimin sürekli ve aralıksız gözetim şeklinde yürütülmesi ölçülü kabul edilemez. Özel kullanım yasağının ihlal edildiği içerik dışı unsurlardan anlaşılabiliyorsa iletinin içeriğine ayrıca erişilemez.
2. Özel amaçlı kullanıma izin verilen hâllerde, iş amaçlı iletişim ile özel iletişimin birbirinden ayrılabiliyor olması durumunda denetim yalnızca iş amaçlı iletişimle sınırlı tutulmalı ve çalışanın özel nitelikteki yazışmaları denetim dışında bırakılmalıdır.
3. İki kullanım türünün birbirinden ayrılamadığı hâllerde ise işverenin denetim yetkisi dar yorumlanmalıdır.

• Teknik Erişim İmkânı ile Hukuki Erişim Yetkisinin Ayrılması

İşverenin belirli bir cihaz, oturum, ağ ya da kurumsal sistem üzerinde teknik yetkiye sahip olması; çalışanın kişisel e-posta hesabı, kişisel anlık mesajlaşma uygulaması, sosyal medya mesaj kutusu veya benzeri özel iletişim alanlarında yer alan yazışma içeriklerine serbestçe erişebileceği anlamına gelmez. Teknik erişim imkânı ile hukuki erişim yetkisi birbirinden kesin olarak ayrılmalıdır.

• Aydınlatma Yükümlülüğü ve Şeffaf Bilgilendirme

Anayasa Mahkemesi içtihadında aranan bilgilendirme ile Kanun’un 10’uncu maddesinde düzenlenen aydınlatma yükümlülüğü birebir aynı kavramlar değildir; her bilgilendirme Kanun anlamında aydınlatma sayılmaz. Ancak Kanun’un 10’uncu maddesinde öngörülen unsurları taşıyan usulüne uygun bir aydınlatma, önceden bilgilendirme şartını da karşılar.

1. Yalnızca kurumsal e-posta hesabının işveren tarafından denetlenebileceği şeklindeki genel nitelikli ve soyut bildirimler bilgilendirme koşulunu sağlamaz ve aydınlatma yükümlülüğünü yerine getirilmiş saymaz.
2. Aydınlatmanın; veri işleme faaliyetinin hukuki sebebini, amacını, kapsamını, denetimin trafik/log kayıtlarının incelenmesiyle mi yoksa içerik denetimiyle mi yürütüleceğini, içeriğe hangi hâllerde erişilebileceğini, verilerin saklama süresini ve ilgili kişinin 11’inci maddedeki haklarını açık, anlaşılır ve somut biçimde içermesi zorunludur.
3. Çalışanın önceden bilgilendirilmediği ve usulüne uygun aydınlatılmadığı hâllerde, kişisel verilerine ve haberleşme hürriyetine müdahale edilmeyeceği yönünde makul bir beklenti taşıyacağı kabul edilir.

• Açık Rıza ve Dayanılacak Hukuki Sebepler

İş ilişkisindeki bağımlılık ve taraflar arasındaki güç dengesizliği dikkate alındığında, çalışanın açık rızası kural olarak e-posta denetimi bakımından öncelikli hukuki dayanak olarak esas alınamaz. Açık rızaya dayanılan hâllerde rızanın özgür iradeyle açıklanıp açıklanmadığı somut olay özelinde ayrıca değerlendirilir.

1. Denetim faaliyeti, somut olayın koşullarına göre Kanun’un 5’inci maddesinin ikinci fıkrasının (ç) bendindeki hukuki yükümlülüğün yerine getirilmesi, (e) bendindeki bir hakkın tesisi, kullanılması veya korunması ya da (f) bendindeki çalışanın temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati şartlarına dayandırılabilir.
2. Ancak bu işleme şartlarının varlığı dahi işverene sınırsız bir denetim yetkisi tanımaz.

• Kademelilik, Önleyici Tedbirler ve İçerik Denetiminin Sınırları

Denetimde kademelilik esastır. İşverenin ulaşmak istediği meşru amaca daha az müdahaleci bir yolla ulaşabildiği hâllerde daha ağır denetim yöntemine başvurulamaz. Çalışana tahsis edilen iletişim araçlarının kötüye kullanımının teknik yollarla (filtreleme, engelleme vb.) önlenebildiği hâllerde işverenin genel bir denetim hakkı doğmaz.

1. İçeriğin denetlenmesi çalışanın özel hayatına ve haberleşme hürriyetine yönelen en yoğun müdahaleyi oluşturduğundan, trafik verisi denetimine kıyasla daha güçlü ve somut bir meşru gerekçe gerektirir.
2. İçerik denetimine ancak trafik verisi denetiminin yetersiz kaldığı, somut şüphe bulunan hâllerde ve yalnızca iddiayla sınırlı olacak biçimde son çare olarak başvurulabilir. Kapsamı belirsiz, genel ve süreklilik arz eden içerik incelemelerinden kaçınılmalıdır. 

• Özel Nitelikli Kişisel Veriler ve Üçüncü Kişilerin Verileri

İçerik denetiminde, denetime tabi tutulan iletinin gövdesinde veya eklerinde Kanun’un 6’ncı maddesi anlamında özel nitelikli kişisel verilerin (sağlık verileri, sendikal aidiyet vb.) işlenmesi riski gözetilmelidir. Ayrıca yazışmaların çoğu kez muhataplara ait kişisel verileri de barındırması nedeniyle, denetimin üçüncü kişilerin verileri üzerinde doğuracağı etki dikkate alınmalıdır.

• Gizli İzleme ve Aralıksız Gözetim Yasağı

Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri ile çalışanın tüm işlemlerini ayrım gözetmeksizin kaydeden araçlar (tuş kaydedici/keylogger, sürekli ekran kaydı vb.) aracılığıyla yürütülen denetim hukuka aykırıdır. Denetim, çalışanın bilgisi dâhilinde ve öngörülebilir bir çerçevede yürütülmelidir.

• Erişim Yetkilendirmesi ve Veri Güvenliği

İletişim kanalları üzerinden elde edilen verilere erişim, yalnızca bu görevle yetkilendirilmiş sınırlı bir personelle sınırlandırılmalı, erişim yetkisi görev tanımlarıyla belirlenmeli, erişim kayıtları (log) eksiksiz tutulmalı ve verilere erişen kişiler gizlilik yükümlülüğü altına alınmalıdır.

• İş İlişkisinin Sona Ermesinin Ardından Süreç

İş ilişkisinin sona ermesinin ardından, çalışana tahsis edilmiş kurumsal e-posta hesabına ilişkin veri işleme faaliyetlerinin hukuki dayanağı ayrıca değerlendirilmelidir.

1. Kural olarak ilgili hesap çalışanın aktif kullanımına ve hesaba yeni erişimlere kapatılmalı, hesaba gelen iletilerin ilgisiz kişilerce görüntülenmesine imkân verilmemeli ve hukuki dayanağı kalmayan kişisel veriler imha edilmelidir.
2. İş sürekliliğinin sağlanması, kurumsal iletişimin aksamaması, hukuki uyuşmazlıklarda savunma hakkının kullanılabilmesi veya mevzuattan kaynaklanan yükümlülüklerin yerine getirilmesi amacıyla; kurumsal e-posta hesabına ilişkin sınırlı, süreli, erişim yetkileri belirlenmiş ve kayıt altına alınmış yönlendirme, otomatik cevap, arşivleme veya muhafaza uygulamalarına somut olayın koşullarına göre başvurulabilir.

4. Sonuç ve Değerlendirme

Kişisel Verileri Koruma Kurulu’nun 2026/2035 sayılı İlke Kararı, işyerlerinde kurumsal iletişim kanallarının denetlenmesini salt bir yönetim veya teknik kontrol alanı olmaktan çıkararak tüm işverenler bakımından bağlayıcı bir kişisel veri uyum disiplinine bağlamıştır. Kurul; işverenin mülkiyet ve yönetim hakkı karşısında çalışanın haberleşme hürriyeti ile mahremiyet hakkını koruma altına almış; denetim yetkisini şeffaf bilgilendirme, kademelilik ve ölçülülük ilkeleriyle sınırlandırarak teknik erişim imkânının hukuki yetki doğurmayacağını kesin kurallara bağlamıştır.

Tüm veri sorumluları açısından genel norm niteliği taşıyan bu karar; aydınlatma metinleri, iç denetim, disiplin ve bilgi güvenliği politikalarının somut kriterler çerçevesinde gözden geçirilmesini zorunlu kılmaktadır. Belirlenen usul ve esaslara aykırı yürütülen denetim faaliyetleri; Kurul tarafından uygulanabilecek idari yaptırımların yanı sıra, elde edilen kayıtların iş yargılamasında hukuka aykırı delil teşkil etmesi ve cezai sorumluluk risklerini beraberinde getirecektir. Bu çerçevede işverenlerin denetim süreçlerini önleyici tedbirler, kademeli inceleme yöntemleri ve şeffaf aydınlatma mekanizmaları ekseninde yeniden yapılandırmaları önem taşımaktadır.