İşveren Çalışanın Kurumsal E-Postalarını Denetleyebilir mi? KVKK'dan Yeni İlke Kararı

Kişisel Verileri Koruma Kurulu, 16 Eylül 2026 tarihli ve 2026/2035 sayılı İlke Kararı ile işverenler tarafından çalışanlara tahsis edilen kurumsal e-posta hesapları başta olmak üzere, işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetlenmesinde uyulması gereken usul ve esasları belirledi.

8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete'de yayımlanan karar, işverenin yönetim ve denetim hakkı ile çalışanın özel hayatının gizliliği, kişisel verilerinin korunmasını isteme hakkı ve haberleşme hürriyeti arasındaki dengenin nasıl gözetilmesi gerektiğini ortaya koymaktadır.

Kararda yalnızca kurumsal e-posta hesapları değil; kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları, müşteri ilişkileri veya talep yönetim sistemleri ile toplantı platformlarındaki sohbet ve kayıt alanları da değerlendirme kapsamına alınmıştır.

Kurumsal E-Posta Hesabının İşverene Ait Olması Sınırsız Denetim Yetkisi Verir mi?

Kişisel Verileri Koruma Kuruluna göre, iletişim araçlarının işverene ait olması veya işyerinde kullanılması, işverene sınırsız ve mutlak bir denetim yetkisi tanımamaktadır.

Kurumsal e-posta hesapları, çalışanların yalnızca mesleki yazışmalarını değil, zaman zaman kişisel ilişkilerine ve iletişim faaliyetlerine ilişkin verileri de barındırabilmektedir.

Bu nedenle işveren tarafından gerçekleştirilen denetim faaliyetlerinde, yönetim hakkı ile çalışanın Anayasa'nın 20. ve 22. maddelerinde güvence altına alınan hakları arasında adil bir denge kurulması gerekmektedir.

İşverenin belirli bir cihaz, ağ veya kurumsal sistem üzerinde teknik erişim imkânına sahip olması da çalışanın kişisel e-posta hesabına, kişisel mesajlaşma uygulamalarına veya sosyal medya yazışmalarına hukuken serbestçe erişebileceği anlamına gelmemektedir.

E-Posta İçeriği Okunmasa Bile KVKK Uygulanır mı?

Kurul, kurumsal e-posta hesaplarının yalnızca trafik ve log kayıtlarının incelenmesini dahi kişisel veri işleme faaliyeti olarak değerlendirmiştir.

Dolayısıyla işverenin doğrudan yazışma içeriklerine erişmediği denetimlerde de 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun; genel ilkelere, kişisel veri işleme şartlarına, aydınlatma yükümlülüğüne, veri güvenliği yükümlülüklerine

uygun hareket etmesi gerekmektedir.

Denetimin yalnızca teknik kayıtlarla sınırlı olması, kişisel verilerin korunmasına ilişkin yükümlülükleri ortadan kaldırmamaktadır.

Çalışanın Önceden Bilgilendirilmesi Zorunlu mu?

İlke Kararı'nda öne çıkan hususlardan biri, çalışanın denetim faaliyeti hakkında önceden bilgilendirilmesidir.

Kurul, yalnızca "kurumsal e-posta hesapları işveren tarafından denetlenebilir" şeklindeki genel nitelikli bildirimlerin, somut olayın özelliklerine göre yeterli olmayabileceğini belirtmiştir.

İşveren tarafından gerçekleştirilecek aydınlatmada;

• Kişisel veri işleme faaliyetinin hukuki sebebi,

• Denetimin amacı ve kapsamı,

• Denetimin hangi yöntemlerle gerçekleştirileceği,

• Yalnızca trafik ve log kayıtlarının mı yoksa yazışma içeriklerinin de mi inceleneceği,

• İçeriklere hangi durumlarda erişilebileceği,

• Verilerin saklama süreleri,

• Çalışanın KVKK'nın 11. maddesi kapsamındaki hakları

açık, anlaşılır ve somut biçimde ortaya konulmalıdır.

Kararda ayrıca Anayasa Mahkemesi içtihadında aranan önceden bilgilendirme ile KVKK'nın 10. maddesinde düzenlenen aydınlatma yükümlülüğünün birebir aynı kavramlar olmadığına dikkat çekilmiştir.

Bununla birlikte, kanuni unsurları taşıyan ve denetimin amacı, kapsamı ile yöntemini açıklayan usulüne uygun bir aydınlatma, önceden bilgilendirme şartını da karşılayabilecektir.

Çalışanın Açık Rızası E-Posta Denetimi İçin Yeterli mi?

Kurul, iş ilişkisindeki bağımlılık ve taraflar arasındaki güç dengesizliğine dikkat çekerek, çalışanın açık rızasının e-posta denetiminde kural olarak öncelikli hukuki dayanak olarak esas alınmaması gerektiğini belirtmiştir.

Açık rızaya dayanılan durumlarda, rızanın özgür iradeyle verilip verilmediği somut olay özelinde değerlendirilmelidir.

Denetim kapsamında gerçekleştirilen kişisel veri işleme faaliyetleri, koşullarının bulunması halinde KVKK'nın 5. maddesinin ikinci fıkrasındaki;

• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için veri işlemenin zorunlu olması,

• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,

• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için veri işlemenin zorunlu olması

şartlarına dayandırılabilecektir.

Ancak bu işleme şartlarından birinin bulunması da işverene sınırsız denetim yetkisi tanımamaktadır.

İşveren Hangi Durumlarda E-Posta İçeriklerini İnceleyebilir?

İlke Kararı, denetim faaliyetlerinde kademelilik ve ölçülülük ilkelerine öncelik vermektedir.

İşverenin ulaşmak istediği meşru amaca daha az müdahaleci bir yöntemle ulaşması mümkünse, daha ağır bir denetim yöntemine başvurulmamalıdır. Bu kapsamda yazışma içeriklerine erişim, trafik verilerinin incelenmesinin yetersiz kaldığı ve içeriğe erişimin zorunlu olduğu istisnai durumlarda gündeme gelebilecektir.

İçerik denetiminin;

• Somut şüpheye veya belirli bir olayla bağlantılı meşru amaca dayanması,

• İddianın ve denetim amacının kapsamıyla sınırlı tutulması,

• Daha az müdahaleci yöntemlerin yeterli olmadığı durumlarda gerçekleştirilmesi,

• Genel, belirsiz ve sürekli bir incelemeye dönüşmemesi

gerekmektedir.

Ayrıca işverenin, iletişim araçlarının kötüye kullanılmasını filtreleme veya engelleme gibi teknik yöntemlerle önleyebildiği durumlarda, bu imkân genel bir içerik denetimi yetkisi doğurmamaktadır.

İşveren Çalışanın Özel Yazışmalarını Denetleyebilir mi?

Kurul, iş amaçlı kullanım ile özel amaçlı kullanım arasında ayrım yapılması gerektiğini belirtmiştir. İşveren, yönetim hakkı kapsamında işyeri iletişim araçlarının özel amaçlı kullanımını yasaklayabilir, sınırlandırabilir veya belirli koşullara bağlayabilir.

Ancak bu kuralların açık, anlaşılır ve çalışan tarafından bilinebilir olması gerekmektedir.

Özel amaçlı kullanımın yasaklandığı durumlarda dahi işverenin denetim yetkisi ölçülülük ilkesiyle sınırlıdır.

Özel amaçlı iletişim ile iş amaçlı iletişimin birbirinden ayrılabildiği durumlarda denetim yalnızca iş amaçlı iletişimle sınırlı tutulmalıdır. İki kullanım türünün birbirinden ayrılamadığı durumlarda ise işverenin denetim yetkisinin daha dar yorumlanması gerekmektedir.

Çalışanın özel nitelikteki yazışmalarının denetim dışında bırakılması esastır.

Gizli İzleme ve Sürekli Denetim Hukuka Uygun mu?

İlke Kararı'na göre çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri ile çalışanın tüm işlemlerini ayrım gözetmeksizin kaydeden araçlar aracılığıyla yürütülen denetim hukuka aykırı kabul edilmektedir.

Denetimin çalışanın bilgisi dahilinde ve öngörülebilir bir çerçevede gerçekleştirilmesi gerekmektedir.

Kurul ayrıca, özel amaçlı kullanımın yasaklanmış olmasının dahi sürekli ve aralıksız denetimi ölçülü hale getirmeyeceğini belirtmiştir.

Dolayısıyla denetim faaliyetinin hukuka uygunluğu yalnızca işverenin denetim yapma yetkisine değil, denetimin hangi kapsamda, hangi yöntemle ve ne ölçüde gerçekleştirildiğine de bağlıdır.

E-Posta Denetiminde Üçüncü Kişilerin Verileri Nasıl Korunmalıdır?

Kurul, e-posta içeriklerinin incelenmesi sırasında yalnızca çalışana ait verilerin değil, yazışmanın karşı tarafındaki kişilerin verilerinin de işlenebileceğine dikkat çekmiştir.

Ayrıca yazışmaların gövdesinde veya eklerinde KVKK'nın 6. maddesi kapsamında özel nitelikli kişisel veriler bulunabilmektedir.

Bu nedenle denetimin, üçüncü kişilerin kişisel verileri üzerinde doğurabileceği etkilerin de değerlendirilmesi gerekmektedir.

Denetim sonucunda elde edilen verilere erişim yalnızca bu konuda görevlendirilmiş sınırlı sayıdaki personelle sınırlandırılmalı; erişim yetkileri görev tanımlarına göre belirlenmeli, erişim kayıtları tutulmalı ve ilgili personelin gizlilik yükümlülükleri güvence altına alınmalıdır.

İşten Ayrılan Çalışanın Kurumsal E-Posta Hesabına Ne Olur?

İlke Kararı'nda iş ilişkisinin sona ermesinden sonraki veri işleme faaliyetleri de ayrıca ele alınmıştır.

Kurula göre iş ilişkisinin sona ermesinin ardından, çalışana tahsis edilen kurumsal e-posta hesabına ilişkin veri işleme faaliyetlerinin hukuki dayanağı yeniden değerlendirilmelidir.

Kural olarak ilgili hesap çalışanın aktif kullanımına kapatılmalı, hesabın yeni erişimlere kapatılması ve hukuki dayanağı kalmayan kişisel verilerin imha edilmesi gerekmektedir.

Bununla birlikte iş sürekliliğinin sağlanması, kurumsal iletişimin aksamaması, hukuki uyuşmazlıklarda savunma hakkının kullanılması veya mevzuattan kaynaklanan yükümlülüklerin yerine getirilmesi amacıyla belirli uygulamalar gündeme gelebilecektir.

Bu kapsamda sınırlı ve süreli erişim yetkileri, kayıt altına alınmış yönlendirme, otomatik cevap, arşivleme veya muhafaza uygulamaları somut olayın koşullarına göre değerlendirilebilecektir.

İlke Kararına Aykırılığın Sonuçları Nelerdir?

Kişisel Verileri Koruma Kurulu, belirlenen yükümlülüklere uyulmadığının tespiti halinde somut olayın özelliklerine göre gerekli inceleme ve değerlendirmelerin yapılacağını açıklamıştır.

Bu kapsamda 6698 sayılı Kanun'un 18. maddesi uyarınca ilgili veri sorumluları hakkında idari işlem tesis edilebilecektir.

Sonuç: İşverenin Denetim Yetkisinin Sınırları

Kişisel Verileri Koruma Kurulunun 2026/2035 sayılı İlke Kararı, işverenlerin kurumsal e-posta hesapları ve diğer iş iletişim kanalları üzerindeki denetim yetkisini kişisel verilerin korunması ve haberleşme hürriyeti çerçevesinde değerlendirmektedir.

Kararın temel yaklaşımı, işverenin yönetim hakkının varlığını kabul etmekle birlikte, bu hakkın sınırsız olmadığını ortaya koymaktadır.

Çalışanın önceden ve somut biçimde bilgilendirilmesi, veri işleme faaliyetinin hukuki dayanağının belirlenmesi, daha az müdahaleci yöntemlere öncelik verilmesi, içerik denetiminin istisnai tutulması ve elde edilen verilerin güvenliğinin sağlanması kararın öne çıkan esaslarıdır.

Bu çerçevede kurumsal iletişim araçlarının işverene ait olması, çalışanların kişisel verilerinin korunmasına ilişkin haklarını ortadan kaldırmamaktadır.

Karar Bilgileri

Kişisel Verileri Koruma Kurulu

Karar Tarihi: 16.09.2026 Karar No: 2026/2035 Resmî Gazete: 08.10.2026 – Sayı: 33394