Kısaca: Kişisel Verileri Koruma Kurulu’nun 16 Eylül 2026 tarihli ve 2026/2035 sayılı ilke kararı, 8 Ekim 2026’da Resmî Gazete’de yayımlandı. Karar, işverenlerin kurumsal e-posta başta olmak üzere iş için kullanılan iletişim kanallarını hangi şartlarla denetleyebileceğini belirliyor. Öne çıkan ilkeler şunlar:
- İçeriğe bakmadan yalnızca kayıtları (log) incelemek de kişisel veri işlemedir.
- Çalışan, denetimden önce somut ve açık biçimde bilgilendirilmelidir.
- Denetim kademeli olmalıdır; içerik incelemesi ancak istisnai durumlarda yapılabilir.
- Açık rıza kural olarak denetimin dayanağı olamaz.
- İşten ayrılan çalışanın hesabı kapatılmalıdır.
Kurumsal e-posta hesabı işverene aittir. Peki bu, işverenin o hesaptaki her şeyi okuyabileceği anlamına mı geliyor? Kurul’un yeni ilke kararının cevabı net: Hayır. İletişim aracının işverene ait olması ya da işyerinde kullanılması, işverene sınırsız bir denetim yetkisi vermiyor.
Bu yazıda kararın 16 maddesini sade bir dille özetliyor ve e-posta altyapısını yöneten BT ekipleri için uygulamaya dönük bir kontrol listesi paylaşıyoruz.
Karar neyi kapsıyor?
Kararın resmî adı, “İşverenler Tarafından Çalışanlara Tahsis Edilen Kurumsal E-Posta Hesapları Başta Olmak Üzere, İşin Yürütülmesi Amacıyla Kullanılan İletişim Kanallarının Denetlenmesi Suretiyle Gerçekleştirilen Kişisel Veri İşleme Faaliyetlerinde Uyulması Gereken Usul ve Esaslar Hakkında İlke Kararı”dır. Kurul bu kararı, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 15. maddesinin 6. fıkrasına dayanarak verdi. Bu hüküm, ihlalin yaygın olduğunun tespit edildiği konularda Kurul’a ilke kararı alma yetkisi tanıyor.
Karar yalnızca e-postayla sınırlı değil. Kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları, müşteri ilişkileri ve talep yönetim sistemleri ile toplantı platformlarındaki sohbet ve kayıt alanları da denetime konu olabilecek iletişim kanalları arasında sayılıyor.
Kurul, kurumsal e-posta hesabını bir iletişim aracından fazlası olarak tanımlıyor. Bu hesap çalışanın mesleki ve zaman zaman kişisel ilişki ağını, çalışma örüntüsünü ve yazışma içeriklerini barındırıyor. Bu yüzden denetim, işverenin yönetim hakkı ile çalışanın Anayasa’nın 20. ve 22. maddelerindeki özel hayatın gizliliği ve haberleşme hürriyeti arasında bir denge kurmayı gerektiriyor.
İlke kararının öne çıkan esasları
1. Yalnızca log incelemek de veri işlemedir
İçeriğe erişmeden yalnızca trafik ve log kayıtlarını incelemek de başlı başına kişisel veri işlemedir. Kim, kime, ne zaman yazmış gibi bilgiler de bu kapsamdadır. Dolayısıyla her durumda Kanun’un genel ilkelerine, işleme şartlarına, aydınlatma ve veri güvenliği yükümlülüklerine uyulması gerekir (madde 1).
2. İş amaçlı ve özel amaçlı kullanım ayrımı
İşveren, iletişim araçlarının özel amaçlı kullanımına kural koyabilir. Ancak bu kurallar açık, anlaşılır ve çalışanın bilebileceği nitelikte olmalıdır. Özel kullanım yasaklanmış olsa bile işveren çalışanı sürekli ve aralıksız gözetleyemez.
Yasağın ihlal edildiği içerik dışındaki bilgilerden anlaşılabiliyorsa, yazışma içeriğine ayrıca erişmek gerekli ve orantılı sayılmaz. İş ve özel yazışmalar ayrılabiliyorsa denetim yalnızca iş yazışmalarıyla sınırlı kalmalıdır. Ayrılamıyorsa işverenin yetkisi daha dar yorumlanır (madde 2–3).
3. Teknik erişim, hukuki yetki demek değildir
İşverenin bir cihaz, ağ ya da sistem üzerinde teknik yetkisi olması, çalışanın kişisel e-postasına, kişisel mesajlaşma uygulamasına veya sosyal medya mesaj kutusuna girebileceği anlamına gelmez (madde 4). BT ekipleri açısından kararın belki de en önemli cümlesi budur: Bir şeye erişebiliyor olmak, ona erişme hakkı vermez.
4. Aydınlatma somut olmalı
Çalışana önceden yapılacak aydınlatma genel ifadelerle geçiştirilemez. Aydınlatmada şunlar açık, anlaşılır ve somut biçimde yer almalıdır (madde 5–7):
- denetimin hukuki sebebi ve amacı,
- kapsamı,
- yalnızca log kayıtlarının mı yoksa içeriğin mi inceleneceği,
- içeriğe hangi hallerde erişilebileceği,
- verilerin saklama süresi,
- çalışanın Kanun’un 11. maddesindeki hakları.
“Kurumsal e-posta hesabınız işveren tarafından denetlenebilir” gibi genel bir uyarı, bilgilendirme şartını karşılamaz.
5. Açık rıza kural olarak dayanak değildir
İş ilişkisindeki bağımlılık ve güç dengesizliği nedeniyle, çalışanın açık rızası kural olarak e-posta denetiminin öncelikli hukuki dayanağı olarak esas alınmamalıdır. Denetim, somut olaya göre Kanun’un 5. maddesinin 2. fıkrasındaki üç işleme şartına dayandırılabilir: hukuki yükümlülüğün yerine getirilmesi (ç bendi), bir hakkın tesisi, kullanılması veya korunması (e bendi) ve veri sorumlusunun meşru menfaati (f bendi). Ancak bu şartların varlığı da işverene sınırsız bir yetki vermez (madde 8).
6. Kademelilik: Önce en az müdahaleci yol
Denetim belirli, açık ve meşru bir amaca bağlı olmalı, sınırlı ve ölçülü yürütülmeli, veriler de yalnızca gerektiği kadar saklanmalıdır (madde 9). İşveren amacına daha az müdahaleci bir yolla ulaşabiliyorsa daha ağır bir yönteme başvuramaz.
İçeriğe erişim ancak trafik verisinin yetersiz kaldığı ve içeriğe erişimin zorunlu olduğu istisnai hallerde gündeme gelebilir. İletişim araçlarının kötüye kullanımı filtreleme ve engelleme gibi teknik yollarla önlenebiliyorsa, işverenin genel bir denetim hakkı doğmaz (madde 10). İçerik denetimine yalnızca somut bir şüphe varsa ve o şüpheyle sınırlı biçimde başvurulmalıdır; kapsamı belirsiz, genel ve sürekli inceleme yapılmamalıdır (madde 11).
7. Gizli izleme hukuka aykırıdır
Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri ve tüm işlemleri ayrım gözetmeksizin kaydeden araçlarla yapılan denetim hukuka aykırı sayılır (madde 13).
İçerik denetiminde ayrıca iki risk gözetilmelidir. Birincisi, iletilerin gövdesinde veya eklerinde sağlık bilgisi gibi özel nitelikli kişisel veriler bulunabilir. İkincisi, yazışmalar çoğu zaman muhatapların, yani üçüncü kişilerin verilerini de içerir (madde 12).
8. Erişim sınırlı ve kayıt altında olmalı
Denetimde elde edilen verilere yalnızca görevlendirilmiş, sınırlı sayıda personel erişebilmelidir. Bu personelin erişim yetkileri görev tanımlarıyla belirlenmeli, erişim kayıtları tutulmalı ve verilere erişen kişiler gizlilik yükümlülüğü altına alınmalıdır (madde 14).
9. İşten ayrılan çalışanın hesabı
İş ilişkisi sona erdiğinde hesap kural olarak çalışanın kullanımına ve yeni erişimlere kapatılmalı, hesaba gelen iletiler ilgisiz kişilerce görüntülenmemeli ve hukuki dayanağı kalmayan veriler imha edilmelidir.
Bununla birlikte iş sürekliliği, hukuki uyuşmazlıklarda savunma hakkı veya mevzuattan doğan yükümlülükler için yönlendirme, otomatik cevap, arşivleme ve muhafaza uygulamaları yapılabilir. Bu uygulamaların sınırlı ve süreli olması, erişim yetkilerinin belirlenmesi ve kayıt altına alınması şartıyla somut olaya göre değerlendirilebileceği belirtiliyor (madde 15).
Bu yükümlülüklere uyulmadığı tespit edilirse Kurul, Kanun’un 18. maddesi uyarınca idari işlem tesis edecektir (madde 16).
BT ekipleri için uygulama kontrol listesi
İlke kararı büyük ölçüde hukuki bir çerçeve çiziyor. Ancak bu çerçevenin önemli bir bölümü, e-posta altyapısının nasıl yapılandırıldığına bağlı. Aşağıdaki adımlar, İK ve hukuk birimlerinizle birlikte ele almanız gereken teknik tarafı özetliyor.
- Log saklama süresini belirleyin ve yazılı hâle getirin. Posta sunucusu, webmail ve mobil erişim kayıtlarının ne kadar süre tutulduğu aydınlatma metniyle uyumlu olmalıdır. “Ne kadar tutuluyor, bilmiyoruz” artık kabul edilebilir bir cevap değil.
- Yönetici yetkilerini daraltın. Posta kutularına erişim sağlayan yönetici özelliklerini yalnızca görevlendirilmiş, sınırlı sayıda personele açın. Zimbra yönetim konsolundaki “View Mail” bu özelliklere bir örnektir. Bu erişimleri kayıt altına alın ve kayıtları düzenli olarak gözden geçirin.
- Önce teknik önlemleri kullanın. Spam, zararlı ek, oltalama ve istenmeyen dosya türleri gibi riskleri filtreleme ve engelleme kurallarıyla önlemek, yazışma içeriklerini okumaktan çok daha az müdahalecidir. Kararın 10. maddesi de tam olarak bunu söylüyor.
- Güvenlik filtresini de aydınlatma metnine ekleyin. Otomatik filtreleme de e-postaları işler. Karantinaya alınan iletileri kimin, hangi durumda görüntüleyebileceği tanımlanmalı ve bu erişimler de kayıt altında olmalıdır.
- İşten ayrılma prosedürü yazın. Hesabın erişime kapatılması, süreli otomatik yanıt ve yönlendirme, arşivin kimin yetkisinde ve ne süreyle tutulacağı ve imha takvimi önceden belirlenmiş olmalıdır. Zimbra’da hesap durumunu “kilitli” (locked) ya da “kapalı” (closed) yapmak, hesabı silmeden erişime kapatmanın yoludur.
- Diğer kanalları unutmayın. Kurum içi sohbet, toplantı kayıtları ve talep yönetim sistemleri de kararın kapsamında. E-posta için yazdığınız politikanın bu kanalları da kapsadığından emin olun.
- Verinin nerede işlendiğini bilin. E-posta içeriğinin kurum dışındaki bir bulut hizmetinde işlenip işlenmediği, veri güvenliği yükümlülükleri ve aydınlatma metni açısından önemlidir.
FZM olarak nasıl yardımcı oluyoruz?
2011’den günümüze kurumların kendi sunucularında Zimbra kuruyor ve yönetiyoruz. Bu kapsamda sunduklarımız:
- yönetici yetkilerinin rol bazlı düzenlenmesi,
- log saklama yapılandırması,
- işten ayrılan çalışanlar için hesap kapatma, yönlendirme ve arşiv süreçlerinin kurulması,
- e-posta güvenliğinin filtreleme katmanıyla sağlanması.
DeepFilter tamamen kurumun kendi sunucusunda çalışıyor; e-posta içeriği üçüncü taraf bir buluta gönderilmeden taranıyor. Tetiklenen her kural ve skora katkısı panelde açıkça görüldüğü için filtrelemenin nasıl çalıştığını aydınlatma metninizde somut biçimde anlatabilirsiniz.
Altyapınızın bu karar ışığında gözden geçirilmesi için bizimle iletişime geçebilirsiniz.
Not: Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Kurumunuza özgü değerlendirme için hukuk biriminize veya bir veri koruma uzmanına başvurmanızı öneririz.
Sık Sorulan Sorular
İşveren çalışanın kurumsal e-postasını okuyabilir mi?
Sınırsız olarak okuyamaz. KVKK Kurulu’nun 2026/2035 sayılı ilke kararına göre içeriğe erişim ancak trafik/log verisinin yetersiz kaldığı, somut bir şüphenin bulunduğu ve içeriğe erişimin zorunlu olduğu istisnai hallerde, şüpheyle sınırlı olarak ve çalışan önceden bilgilendirilmiş olmak şartıyla gündeme gelebilir.
Yalnızca e-posta log kayıtlarını incelemek de KVKK’ya tabi mi?
Evet. Kurul, içeriğe erişmeden yalnızca trafik/log kayıtlarının işlenmesinin de başlı başına kişisel veri işleme faaliyeti olduğunu ve 6698 sayılı Kanun’un genel ilkelerine, işleme şartlarına, aydınlatma ve veri güvenliği yükümlülüklerine tabi olduğunu belirtiyor.
Çalışandan açık rıza almak yeterli mi?
Kural olarak hayır. İş ilişkisindeki güç dengesizliği nedeniyle açık rıza, e-posta denetiminin öncelikli hukuki dayanağı olarak esas alınmamalıdır. Denetim somut olaya göre hukuki yükümlülük, bir hakkın tesisi veya korunması ya da meşru menfaat şartlarına dayandırılabilir.
Aydınlatma metninde neler yer almalı?
Denetimin hukuki sebebi, amacı ve kapsamı; yalnızca log kayıtlarının mı yoksa içeriğin mi inceleneceği; içeriğe hangi hallerde erişilebileceği; verilerin saklama süresi ve çalışanın Kanun’un 11. maddesindeki hakları açık ve somut biçimde yer almalıdır.
İşten ayrılan çalışanın e-posta hesabı ne yapılmalı?
Hesap kural olarak çalışanın kullanımına ve yeni erişimlere kapatılmalı, gelen iletiler ilgisiz kişilerce görüntülenmemeli ve dayanağı kalmayan veriler imha edilmelidir. İş sürekliliği gibi nedenlerle yönlendirme, otomatik cevap veya arşivleme yapılacaksa bunlar sınırlı, süreli, yetkileri belirli ve kayıt altında olmalıdır.
Karar yalnızca e-postayı mı kapsıyor?
Hayır. Kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları, müşteri ilişkileri ve talep yönetim sistemleri ile toplantı platformlarındaki sohbet ve kayıt alanları da kapsamdadır.