Yeni Gelişme
Kişisel Verileri Koruma Kurulu’nun (“Kurul”), 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı (“İlke Kararı”), 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete’de yayımlanmıştır. İlke Kararı, işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları başta olmak üzere, işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetlenmesi suretiyle gerçekleştirilen kişisel veri işleme faaliyetlerinde uyulması gereken usul ve esasları ortaya koymaktadır.
Kurul, işverenin yönetim hakkı ile çalışanın kişisel verilerinin korunmasını isteme hakkı ve haberleşme hürriyeti arasındaki dengenin gözetilmesi gerektiğini vurgulamaktadır. Bu çerçevede, denetimin hukuki dayanağı, çalışanın önceden bilgilendirilmesi, denetimin kapsamı ve yöntemi ile iş ilişkisinin sona ermesinden sonra hesabın yönetimi bakımından somut esaslar belirlenmiştir.
Karar Ne Diyor?
Kurul, yazışma içeriğine erişilmeksizin yalnızca trafik/log kayıtlarının incelenmesinin dahi kişisel veri işleme faaliyeti olduğunu belirtmektedir. İletişim araçlarının işverene ait olması veya iş yerinde kullanılması, işverene sınırsız bir denetim yetkisi tanımamaktadır. Denetim faaliyetleri, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“Kanun”) genel ilkelerine, işleme şartlarına, aydınlatma ve veri güvenliği yükümlülüklerine tabidir.
İlke Kararı’nda öne çıkan başlıca esaslar şu şekildedir:
- İlk olarak, denetimin kapsamı yalnızca kurumsal e-posta hesaplarıyla sınırlı değildir. Kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları, müşteri ilişkileri veya talep yönetim sistemleri ile toplantı platformlarındaki sohbet ve kayıt alanları da somut olayın özelliklerine göre bu kapsamda değerlendirilebilir. Kişisel kullanıma da elverişli uygulamalarda hesabın iş amacıyla tahsis edilip edilmediği, kişisel hesap üzerinden kullanılıp kullanılmadığı ve çalışanın makul mahremiyet beklentisi ayrıca dikkate alınmalıdır. İşverenin teknik erişim imkânı, çalışanın kişisel iletişim alanlarına serbestçe erişebileceği anlamına gelmemektedir.
- İkinci olarak, çalışan denetim hakkında önceden bilgilendirilmeli ve Kanun’un 10. maddesine uygun şekilde aydınlatılmalıdır. Kurumsal e-posta hesabının denetlenebileceğine ilişkin genel bir bildirim yeterli değildir. Aydınlatma; hukuki sebebi, amacı, kapsamı, trafik/log veya içerik denetimi yöntemini, içeriğe hangi hâllerde erişileceğini, saklama süresini ve ilgili kişinin Kanun’un 11. maddesi kapsamındaki haklarını açık ve somut biçimde içermelidir. Anayasa Mahkemesi içtihadındaki önceden bilgilendirme ile Kanun kapsamındaki aydınlatma birebir aynı kavramlar olmamakla birlikte, bu unsurları taşıyan usulüne uygun bir aydınlatma önceden bilgilendirme şartını da karşılayabilir.
- Üçüncü olarak, iş ilişkisindeki bağımlılık ve güç dengesizliği nedeniyle çalışanın açık rızası, kural olarak denetimin öncelikli hukuki dayanağı olarak esas alınmamalıdır. Açık rızaya dayanılıyorsa, rızanın özgür iradeyle verilip verilmediği somut olay özelinde değerlendirilmelidir. Denetim kapsamındaki veri işleme, koşulları mevcutsa Kanun’un 5. maddesinin ikinci fıkrasındaki hukuki yükümlülüğün yerine getirilmesi, bir hakkın tesisi, kullanılması veya korunması ya da ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için veri işlemenin zorunlu olması şartlarına dayanabilir. Bu şartların varlığı, işverene sınırsız denetim yetkisi vermemektedir.
- Dördüncü olarak, iş amaçlı kullanım ile özel amaçlı kullanım ayrımı gözetilmelidir. İşveren özel kullanımı yasaklayabilir veya sınırlandırabilir; ancak kurallar açık, anlaşılır ve çalışan tarafından bilinebilir olmalıdır. Özel kullanım yasaklanmış olsa dahi sürekli ve aralıksız gözetim ölçülü kabul edilmez. İhlal içerik dışı unsurlardan anlaşılabiliyorsa yazışma içeriğine ayrıca erişilmesi gerekli ve orantılı sayılmaz. Özel kullanıma izin verildiğinde iş ve özel iletişim ayrılabiliyorsa denetim iş amaçlı iletişimle sınırlı tutulmalı, özel yazışmalar denetim dışında bırakılmalıdır. Ayrıştırmanın mümkün olmadığı hâllerde ise denetim yetkisi daha dar yorumlanmalıdır.
- Beşinci olarak, denetimde kademelilik esastır. Daha az müdahaleci bir yöntemle amaca ulaşılabiliyorsa daha ağır bir yönteme başvurulamaz. İçerik denetimi, trafik verisi denetiminin yetersiz kaldığı ve içeriğe erişimin zorunlu olduğu istisnai hâllerde, daha güçlü ve somut bir meşru gerekçeyle gerçekleştirilebilir. Somut şüphe bulunmalı ve inceleme iddiayla sınırlı tutulmalıdır. Kapsamı belirsiz, genel ve süreklilik arz eden içerik incelemesinden kaçınılmalıdır. Filtreleme veya engelleme gibi teknik yollarla kötüye kullanım önlenebiliyorsa işverenin genel bir denetim hakkı doğmaz. Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri ve tüm işlemlerini ayrım gözetmeksizin kaydeden araçlarla yürütülen denetim hukuka aykırı sayılacaktır.
- Altıncı olarak, denetimde elde edilen veriler yalnızca amacın gerektirdiği süreyle muhafaza edilmelidir. İçerik denetiminde Kanun’un 6. maddesi kapsamındaki özel nitelikli kişisel verilerin işlenmesi riski ve yazışmalardaki üçüncü kişi verileri üzerindeki etkiler dikkate alınmalıdır. Verilere erişim, bu görevle yetkilendirilmiş sınırlı bir personelle sınırlandırılmalı; yetkiler görev tanımlarıyla belirlenmeli, erişim kayıtları tutulmalı ve erişen kişiler gizlilik yükümlülüğü altına alınmalıdır.
- Son olarak, iş ilişkisi sona erdiğinde kurumsal e-posta hesabına ilişkin veri işleme faaliyetlerinin hukuki dayanağı ayrıca değerlendirilmelidir. Kural olarak hesap çalışanın aktif kullanımına ve hesaba yeni erişimlere kapatılmalı, gelen iletilerin ilgisiz kişilerce görüntülenmesi önlenmeli ve hukuki dayanağı kalmayan veriler imha edilmelidir. Bununla birlikte, iş sürekliliği, kurumsal iletişimin sürdürülmesi, hukuki uyuşmazlıklarda savunma hakkı veya mevzuattan doğan yükümlülükler için sınırlı ve süreli yönlendirme, otomatik cevap, arşivleme veya muhafaza uygulamaları somut olayın koşullarına göre değerlendirilebilir. Bu uygulamalarda erişim yetkileri belirlenmeli ve işlemler kayıt altına alınmalıdır.
Sonuç ve Uygulamaya Etkileri
İlke Kararı, işverenlerin iletişim araçlarına ilişkin kullanım politikaları ile fiilen uyguladıkları denetim süreçlerini birlikte gözden geçirmelerini gerektirmektedir. Bu çerçevede, veri sorumluları bakımından öne çıkan adımlar şu şekilde özetlenebilir:
- Kurumsal e-posta ve diğer iş yeri iletişim kanallarına ilişkin kullanım kurallarını, özel kullanıma izin verilip verilmediğini de belirterek açık şekilde düzenlemek ve çalışanlara duyurmak;
- Çalışan aydınlatma metinlerini, denetimin hukuki dayanağı, kapsamı, yöntemi ve saklama süreleri bakımından somutlaştırmak; genel bildirimlere veya yalnızca açık rızaya dayanılan süreçleri yeniden değerlendirmek;
- Trafik/log incelemesi ile içerik denetimini ayırmak; içerik denetiminin gerekçesini ve sınırlarını somut olay bazında belirlemek;
- Erişim yetkilerini sınırlandırmak, erişim kayıtlarını tutmak ve saklama ile imha süreçlerini denetimin amacıyla uyumlu hâle getirmek;
- İşten ayrılan çalışanların hesaplarının kapatılması, yönlendirilmesi ve arşivlenmesine ilişkin süreçleri, süre ve erişim sınırları belirlenmiş şekilde yeniden düzenlemek.
İlke Kararı’nda ayrıca bir uyum süresi öngörülmemiştir. Kurul, yükümlülüklere uyulmadığının tespiti hâlinde somut olayın özelliklerine göre inceleme yapılacağını ve Kanun’un 18. maddesi uyarınca ilgili veri sorumluları hakkında idari işlem tesis edileceğini belirtmektedir. Bu nedenle mevcut politika ve uygulamaların insan kaynakları, bilgi teknolojileri ve hukuk birimlerinin koordinasyonuyla gözden geçirilmesi önem arz etmektedir.
The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.
[View Source]
