Kişisel Verileri Koruma Kurulu (“Kurul”), 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı (“İlke Kararı”) ile işverenler tarafından çalışanlara tahsis edilen kurumsal e-posta hesapları başta olmak üzere, işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetlenmesi sırasında gerçekleştirilen kişisel veri işleme faaliyetlerine ilişkin değerlendirmelerini ve uyulması gereken esasları ortaya koymuştur.
İlke Kararı’nda, işverenin yönetim hakkı ile çalışanın kişisel verilerinin korunması ve haberleşme hürriyeti arasındaki dengenin gözetilmesi gerektiği vurgulanmıştır. Bu çerçevede, iletişim araçlarının iş amaçlı ve özel amaçlı kullanımı, çalışanın makul mahremiyet beklentisi, denetim hakkında önceden bilgilendirilmesi ve denetimin kapsamı ile sınırları ele alınmıştır. İlke Kararı’nda öne çıkan esaslar aşağıda özetlenmektedir.
- Denetimin kapsamı: Kurumsal e-posta hesaplarının yanı sıra kurum içi mesajlaşma uygulamaları, müşteri ilişkileri ve talep yönetim sistemleri ile toplantı platformlarındaki sohbet ve kayıt alanları da somut olayın özelliklerine göre denetime konu olabilir. İçeriğe erişilmeksizin yalnızca trafik/log kayıtlarının incelenmesi de kişisel veri işleme faaliyeti olup 6698 sayılı Kişisel Verilerin Korunması Kanunu’na (“Kanun”) tabidir.
- İş amaçlı ve özel amaçlı kullanım ayrımı: İşveren, iletişim araçlarının özel amaçlı kullanımını yasaklayabilir veya belirli koşullara bağlayabilir; ancak bu kuralları çalışanlara açık ve anlaşılır biçimde duyurmalıdır. Özel kullanım yasaklanmış olsa dahi denetim ölçülü yürütülmeli; sürekli ve aralıksız gözetim şeklindeki denetim ölçülü kabul edilmemektedir. Yasağın ihlali içerik dışı unsurlardan anlaşılabiliyorsa yazışma içeriğine ayrıca erişilmemelidir. Özel kullanıma izin verilen ve iş amaçlı iletişim ile özel amaçlı iletişimin birbirinden ayrılabildiği durumlarda, denetim yalnızca iş amaçlı iletişimle sınırlı tutulmalı ve özel yazışmalar denetim dışında bırakılmalıdır. Bu ayrımın yapılamadığı hâllerde ise işverenin denetim yetkisi daha dar yorumlanmalıdır.
- Teknik erişim ile hukuki erişim ayrımı: İşverenin bir cihaz veya sistem üzerinde teknik yetkiye sahip olması, çalışanın kişisel e-posta, mesajlaşma veya sosyal medya hesaplarındaki yazışmalara serbestçe erişebileceği anlamına gelmez.
- Önceden bilgilendirme ve aydınlatma: Çalışanlar, denetim faaliyetinin amacı, kapsamı ve yöntemi hakkında açık bilgi içeren, Kanun’a uygun bir aydınlatma ile denetim öncesinde bilgilendirilmelidir. Önceden bilgilendirme ve aydınlatma yapılmadığında, çalışanın kişisel verilerine ve haberleşme hürriyetine müdahale edilmeyeceğine ilişkin makul beklentisi gözetilmelidir. Yalnızca kurumsal e-posta hesabının denetlenebileceğini belirten genel bildirimler yeterli değildir.
- Hukuki dayanak ve açık rıza: İş ilişkisindeki bağımlılık ve güç dengesizliği nedeniyle açık rıza, kural olarak öncelikli hukuki dayanak olarak esas alınmamalıdır. Açık rızaya dayanılması hâlinde özgür iradeyle verilip verilmediği ayrıca değerlendirilmelidir. Denetim, somut olayın koşullarına göre hukuki yükümlülüğün yerine getirilmesi, bir hakkın tesisi, kullanılması veya korunması ya da ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaat için veri işlemenin zorunlu olması şartlarına dayanabilir.
- Genel ilkelere uygunluk: Denetim, hukuka ve dürüstlük kurallarına uygun, belirli, açık ve meşru bir amaca dayalı; bu amaçla bağlantılı, sınırlı ve ölçülü yürütülmelidir. Elde edilen kişisel veriler yalnızca amacın gerektirdiği süre boyunca muhafaza edilmelidir.
- Denetimde kademelilik ve içeriğe erişimin sınırları: İşveren, meşru amacına daha az müdahaleci bir yöntemle ulaşabiliyorsa daha ağır bir denetim yöntemine başvurmamalıdır. İçeriğe erişim, ancak trafik verisi denetiminin yetersiz kaldığı ve içeriğe erişimin zorunlu olduğu istisnai hâllerde gündeme gelebilir. İçerik denetimi daha güçlü ve somut bir meşru gerekçe gerektirir; yalnızca somut şüphe bulunan hâllerde ve ilgili iddiayla sınırlı olarak yürütülmeli, kapsamı belirsiz, genel ve süreklilik arz eden içerik incelemelerinden kaçınılmalıdır. İletişim araçlarının kötüye kullanımının filtreleme veya engelleme gibi teknik yollarla önlenebildiği durumlarda ise işverenin genel bir denetim hakkı doğmamaktadır.
- Özel nitelikli veriler ve üçüncü kişilerin verileri: İçerik denetiminde, iletilerin gövdesinde veya eklerinde özel nitelikli kişisel verilerin işlenmesi riski gözetilmelidir. Yazışmaların muhataplara ait kişisel verileri de barındırabilmesi nedeniyle denetimin üçüncü kişilerin verileri üzerindeki etkisi dikkate alınmalıdır.
- Gizli ve ayrım gözetmeyen izleme: Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri ile tüm işlemlerini ayrım gözetmeksizin kaydeden araçlarla yürütülen denetim hukuka aykırı kabul edilmektedir. Denetim, çalışanın bilgisi dâhilinde ve öngörülebilir bir çerçevede yürütülmelidir.
- Verilere erişim yetkileri: Denetim kapsamında elde edilen verilere erişim, yalnızca bu görev için yetkilendirilmiş sınırlı sayıdaki personelle sınırlandırılmalıdır. Erişim yetkileri görev tanımlarıyla belirlenmeli, erişim kayıtları tutulmalı ve verilere erişen kişiler gizlilik yükümlülüğü altına alınmalıdır.
Ayrıca söz konusu yükümlülüklere uyulmadığının tespiti halinde, somut olayın özellikleri dikkate alınarak gerekli incelemenin yapılacağı ve Kanun’un 18’inci maddesi uyarınca ilgili veri sorumluları hakkında idari işlem tesis edileceği vurgulanmıştır.
Kararın tamamına
buradan ulaşabilirsiniz.
Aslı Kınsız, Yönetici Avukat
Sevim Özkan, Avukat
Yiğit Ali Keleş, Stajyer Avukat