I. GİRİŞ VE HUKUKİ ÇERÇEVE
Dijital dönüşümün bir sonucu olarak iş süreçlerinin elektronik ortama taşınması ve dijital iletişim araçlarının iş hayatının ayrılmaz bir unsuru haline gelmesi, işverenin yönetim hakkı ile çalışanın kişilik hakları arasındaki dengenin yeniden değerlendirilmesini gerekli kılmıştır. İşverenin, işletmenin sürekliliği, bilgi güvenliği ve denetim yetkisi kapsamında çalışanlara tahsis ettiği kurumsal e-posta hesapları ile dijital kanallar üzerindeki gözetim ve denetim faaliyetleri; Anayasa’nın 20. ve 22. maddelerinde düzenlenen özel hayatın gizliliği ve haberleşme hürriyeti ile 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) hükümleri ışığında amaca uygunluk, ölçülülük ve şeffaflık ilkeleri çerçevesinde sınırlandırılması gereken temel bir hukuki problem alanı oluşturmaktadır.
Bu çerçevede, Kişisel Verileri Koruma Kurulu'nun 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı, 08.10.2026 tarihli ve 33394 sayılı Resmî Gazete'de yayımlanarak çalışanlara tahsis edilen kurumsal e-posta hesapları başta olmak üzere işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetlenmesinde uyulması gereken usul ve esasları somutlaştırmıştır. Kararda ortaya konulan ilkeler, nitelikleri ve kullanım amaçları elverdiği ölçüde, işyerinde kullanılan diğer dijital iletişim araçlarının denetlenmesi bakımından da yol gösterici niteliktedir.
- Kurumsal E-Posta Hesaplarının Denetlenmesi Kişisel Veri İşleme Faaliyetidir
İşverenlerce çalışanların kullanımına sunulan kurumsal e-posta hesapları, sürece ilişkin teknik bir araç olmanın ötesinde, çalışanın mesleki faaliyetleri ile zaman zaman kişisel yazışma ve ilişki ağını barındıran dijital bir veri deposu niteliğindedir. Bu doğrultuda Kişisel Verileri Koruma Kurulu ("Kurul"); söz konusu hesapların izlenmesini, log kayıtlarının taranmasını veya ileti içeriklerine erişilmesini kişisel veri işleme faaliyeti olarak değerlendirmektedir.
Hukuki açıdan gözden kaçırılmaması gereken temel husus, e-posta içeriklerine erişilmese dahi gönderici ve alıcı bilgileri, iletişim zamanları, IP adresleri ve erişim kayıtları gibi belirli veya belirlenebilir kişilerle ilişkilendirilebilen verilerin incelenmesi, KVKK kapsamında kişisel veri işleme faaliyeti sayılmasıdır. Bu itibarla, işverenin "sadece trafik verilerini kontrol ediyoruz, e-posta içeriğini okumuyoruz" yönündeki yaklaşımı, yapılan işlemi 6698 sayılı Kanun’un uygulama alanından muaf kılmaz. Dolayısıyla içerik denetimi ile trafik verilerinin incelenmesi arasında müdahalenin ağırlığı bakımından farklılık bulunsa da her iki faaliyet bakımından da ilgili veri koruma yükümlülüklerinin değerlendirilmesi gerekir.
- İşverenin Yönetim Hakkı ve Sınırları: Sınırsız Denetim Yetkisinin Reddi
İşverenin, işyerinde düzen ile güvenliği sağlama, işin amacına ve usulüne uygun yürütülmesini denetleme ve bu doğrultuda çalışana tahsis edilen araçların kullanımını gözetleme yönünde bir yönetim hakkı bulunmaktadır. Bununla birlikte, söz konusu yönetim hakkı işverene mutlak ve sınırsız bir denetim yetkisi bahşetmemekte; çalışanın temel hak ve özgürlükleri karşısında zorunlu sınırlarla çevrelenmektedir.
İşverenin denetim yetkisinin hukuki sınırlarının belirlenmesinde, 6098 sayılı Türk Borçlar Kanunu'nun (TBK) ilgili hükümleri de önem taşımaktadır. Nitekim TBK m. 399 işverenin yönetim hakkını, m. 417 işçinin kişiliğinin korunmasına ilişkin yükümlülükleri, m. 419 ise işçiye ait kişisel verilerin işlenmesine yönelik sınırlamaları düzenlemektedir. Bunun yanında, TBK m. 396'da öngörülen özen ve sadakat borcu da işverenin kurumsal bilgi ve sistemlerin korunmasındaki meşru menfaatlerinin değerlendirilmesinde dikkate alınmalıdır. Dolayısıyla işverenin denetim yetkisi, yalnızca yönetim hakkından hareketle değil, çalışanın kişilik haklarının korunmasına ilişkin yükümlülüklerle birlikte ele alınmalıdır.
Kurul, kurumsal e-posta hesapları ve dijital iletişim araçlarının denetimini; işverenin meşru menfaatleri ile çalışanın Anayasa’nın 20. maddesinde güvence altına alınan özel hayatın gizliliği ve kişisel verilerin korunmasını isteme hakkı ile 22. maddesinde düzenlenen haberleşme hürriyeti arasında hassas bir dengenin kurulmasını gerektiren bir veri işleme faaliyeti olarak nitelendirmektedir.
Nitekim gerek Anayasa Mahkemesi’nin gerekse Avrupa İnsan Hakları Mahkemesi’nin (AİHM) yerleşik içtihatlarında benimsenen yaklaşım doğrultusunda, bir denetim faaliyetinin hukuka uygun kabul edilebilmesi için şu ilkelere riayet edilmesi gerekmektedir:
- Önceden Bildirim ve Şeffaflık: Denetim ve gözetim faaliyetinin kapsamı ve sınırları hususunda çalışanın önceden açık ve şeffaf bir şekilde bilgilendirilmesi,
- Meşru Amaç ve Ölçülülük: Denetimin meşru ve haklı bir amaca dayanması, hedeflenen amaçla orantılı ve sınırlı olması,
- Gereklilik / En Az Müdahaleci Yol: Amaca ulaşılması bakımından çalışanın temel haklarına daha az müdahale eden alternatif yöntemlerin (örneğin yalnızca trafik verisi denetimi) öncelikle değerlendirilmesi.
Nitekim Anayasa Mahkemesi'nin 17.09.2020 tarihli E.Ü. kararında (B. No: 2016/13010), çalışanın kurumsal e-posta hesabındaki yazışmaların işveren tarafından incelenmesi ve bu yazışmaların iş sözleşmesinin feshi sürecinde kullanılması, kişisel verilerin korunmasını isteme hakkı ve haberleşme hürriyeti bakımından değerlendirilmiş; somut olayda söz konusu hakların ihlal edildiği sonucuna ulaşılmıştır. Benzer şekilde Avrupa İnsan Hakları Mahkemesi Büyük Dairesi'nin 05.09.2017 tarihli Bărbulescu/Romanya kararında (B. No: 61496/08), işverenin çalışan iletişimlerini izlemesine ilişkin uygulamaların hukuka uygunluğunun değerlendirilmesinde önceden bilgilendirme, denetimin kapsamı, meşru gerekçelerin varlığı, alternatif yöntemlerin mümkün olup olmadığı ve müdahalenin çalışan üzerindeki sonuçlarının dikkate alınması gerektiği vurgulanmıştır.
Bu doğrultuda, e-posta ve iletişim araçlarının içerik denetimi, yalnızca trafik/log verilerinin denetlenmesine kıyasla daha ağır bir müdahale niteliğinde olduğundan, çok daha somut, nitelikli ve haklı bir gerekçelendirmeyi zorunlu kılmaktadır. Sonuç itibarıyla işveren açısından mesele, yalnızca "denetim yapma yetkisinin varlığı" sorusuna indirgenemez. Asıl hukuki mesele; veri işleme sürecinde hangi amaçla, hangi kategorideki verilerin, hangi yöntemlerle, ne kadar süre boyunca ve hangi kapsama münhasıran işlenebileceğinin ölçülülük ve amaca uygunluk ilkeleri çerçevesinde önceden somutlaştırılmasıdır.
II. DİJİTAL İLETİŞİM KANALLARININ KAPSAMI VE TEKNİK ERİŞİMİN HUKUKİ SINIRLARI
- Kurumsal E-Posta Dışındaki Dijital İletişim Ekosisteminin Hukuki Durumu
Kurumsal e-posta hesaplarının denetlenmesine ilişkin hukuki ilkeler, işyerinde kullanılan diğer dijital iletişim araçları bakımından da önem taşımaktadır. Bu kapsamda kurum içi mesajlaşma uygulamaları, Microsoft Teams ve Slack gibi iletişim platformları, CRM sistemleri ve çevrim içi toplantı kayıtları üzerinden gerçekleştirilen kişisel veri işleme faaliyetlerinin de KVKK hükümleri çerçevesinde değerlendirilmesi gerekir. Bununla birlikte, her bir sistemin kullanım amacı, işlenen verilerin niteliği ve denetimin kapsamı ayrı ayrı dikkate alınmalıdır. Bu nedenle, Kurulun kurumsal e-posta hesaplarına ilişkin ortaya koyduğu ilkelerin, ilgili sistemlerin teknik özellikleri ve kullanım amaçları dikkate alınarak diğer kurumsal iletişim araçları bakımından da değerlendirilmesi uygun olacaktır.
Bu durum, işverenlerin Kişisel Verilerin Korunması Kanunu (KVKK) uyum süreçlerini sadece e-posta politikaları üzerinden yürütmelerinin hukuken yetersiz kalacağını açıkça ortaya koymaktadır. Zira işverenin yönetim hakkı ve bilişim altyapısı üzerindeki mülkiyet/zilyetlik yetkisi doğrultusunda tahsis edilen her bir dijital aracın; kullanım amacı, teknik altyapısı ve uygulanacak denetim usulleri bakımından müstakil bir hukuki değerlendirmeye tabi tutulması zorunludur.
Denetim yetkisinin kapsamının belirlenmesinde, kurumsal iletişim araçlarının iş amaçlı ve özel amaçlı kullanımı arasındaki ayrım önem taşımaktadır. İşveren, yönetim hakkı kapsamında bu araçların özel amaçlarla kullanılmasını yasaklayabilir veya belirli koşullara bağlayabilir. Ancak özel kullanımın yasaklanmış olması, çalışanın özel hayatının gizliliği ve haberleşme özgürlüğünden kaynaklanan korumayı tamamen ortadan kaldırmaz. Bu nedenle denetimin kapsamı, çalışanın makul mahremiyet beklentisi ve ölçülülük ilkesi dikkate alınarak belirlenmelidir.
Diğer taraftan, özel amaçlı kullanım yasağının içerik dışı unsurlardan tespit edilebildiği hâllerde yazışma içeriklerine ayrıca erişilmesi gerekli ve orantılı kabul edilemeyecektir. Özel amaçlı kullanıma izin verilen durumlarda ise iş amaçlı iletişim ile özel amaçlı iletişimin birbirinden ayrıştırılabiliyor olması halinde denetimin yalnızca iş amaçlı iletişimle sınırlı tutulması gerekmektedir. Söz konusu ayrımın yapılamadığı hâllerde ise işverenin denetim yetkisinin kapsamı daha dar yorumlanmalıdır.
- Teknik Erişim İmkânı ile Hukuki Erişim Yetkisinin Ayrışması
Dijitalleşen işyerlerinde denetim yetkisinin sınırları tayin edilirken göz önüne alınması gereken en temel doktrinsel ilke, teknik erişim imkânı ile hukuki erişim yetkisi arasındaki belirgin ayrımdır. Dijital sistemlerin ve bilişim altyapılarının doğası gereği, bir veriye, ağa veya iletişim kanalına, kurumsal dijital sistemlere teknik olarak erişilebilmesi, bu sistemlerde bulunan bütün verilere hukuken meşru ve yetkili kılınması anlamına gelmemektedir.
İşverenin veya yetkilendirdiği bilgi teknolojileri personelinin sistem yöneticisi yetkilerine sahip olması, çalışanların kişisel yazışmalarının sınırsız biçimde incelenmesini haklı kılmaz. Her türlü erişim faaliyetinin meşru bir amaca dayanması, uygun hukuki işleme şartını taşıması ve gereklilik ile ölçülülük ilkelerine uygun olması gerekir.
Kurumsal dijital sistemlere teknik olarak erişilebilmesi, bu sistemlerde bulunan bütün verilere hukuken erişilebileceği anlamına gelmez. İşverenin veya yetkilendirdiği bilgi teknolojileri personelinin sistem yöneticisi yetkilerine sahip olması, çalışanların kişisel yazışmalarının sınırsız biçimde incelenmesini haklı kılmaz. İşverenin bilişim altyapısı üzerindeki mülkiyet veya yönetim hakkından bağımsız olarak, her türlü erişim faaliyetinin meşru bir amaca dayanması, uygun hukuki işleme şartını taşıması ve gereklilik ile ölçülülük ilkelerine uygun olması gerekir.
III. KVKK KURULU’NUN 2026/2035 SAYILI İLKE KARARI ÇERÇEVESİNDE DENETİMİN HUKUKİ REJİMİ
Kişisel Verileri Koruma Kurulu ("Kurul"), 2026/2035 sayılı İlke Kararı ile işverenin çalışanlara tahsis ettiği kurumsal iletişim araçlarını denetleme yetkisinin hukuki sınırlarını somutlaştırmıştır. Bu kapsamda Kurul, işverenin bir cihaz, oturum, ağ veya kurumsal sistem üzerinde teknik erişim imkânına sahip olmasının, çalışanın kişisel e-posta hesabına, şahsi anlık mesajlaşma uygulamalarına, sosyal medya hesaplarına veya benzeri özel iletişim alanlarına serbestçe erişme yetkisi doğurmayacağını açıkça ortaya koymuştur. Bununla birlikte, söz konusu iletişim alanlarının denetiminde mutlak bir yasak anlayışından ziyade, somut olayın özellikleri, denetimin meşru amacı, gerekliliği ve ölçülülüğü çerçevesinde değerlendirme yapılması gerektiği anlaşılmaktadır.
Nitekim Kurul'un 19.01.2023 tarihli ve 2023/86 sayılı kararında, çalışan tarafından kurumsal e-posta hesabı üzerinden gerçekleştirilen şüpheli veri aktarımlarının tespit edilmesinin ardından belirli e-posta içeriklerinin işveren tarafından incelenmesi değerlendirilmiş; denetimin meşru amaçla sınırlı yürütülmesi, çalışanların önceden bilgilendirilmesi ve işleme faaliyetinin ölçülülük ilkesine uygun olması dikkate alınarak somut olayda hukuka aykırılık bulunmadığına karar verilmiştir. Anılan karar, kurumsal iletişim araçlarının denetlenmesinin kategorik olarak yasaklanmadığını, ancak işverenin denetim yetkisinin kullanımının belirli hukuki şartlara tabi olduğunu göstermesi bakımından önem taşımaktadır.
Bu doğrultuda, önceki Kurul kararları ile 2026/2035 sayılı İlke Kararı birlikte değerlendirildiğinde, işverenin denetim yetkisinin anayasal sınırlar, kişisel verilerin korunmasına ilişkin yükümlülükler ve uluslararası insan hakları standartları çerçevesinde aşağıdaki temel ilkeler doğrultusunda şekillendiği görülmektedir:
- Önceden Bilgilendirme ve Aydınlatma Yükümlülüğünün Somutlaştırılması
Çalışanların kurumsal iletişim araçlarının denetlenmesine ilişkin önceden, açık ve anlaşılır biçimde bilgilendirilmesi, denetimin hukuka uygunluğunun değerlendirilmesinde temel unsurlardan biridir. İş sözleşmelerinde veya genel işyeri politikalarında yer alan soyut denetim hükümleri, denetimin amacı, kapsamı, yöntemi ve koşulları hakkında yeterli bilgi sağlamadıkları takdirde tek başına yeterli kabul edilemez. Bu nedenle çalışanlara yapılacak bilgilendirmenin KVKK m. 10 kapsamındaki aydınlatma yükümlülüğünü karşılaması ve uygulanacak denetim yöntemlerini somutlaştırması gerekir.
Aydınlatmanın, KVKK m. 10 çerçevesinde aşağıdaki unsurları muhtevi olacak şekilde denetimin usul ve yöntemine ilişkin somut açıklamalar barındırması şarttır:
- Hukuki Sebep ve İşleme Amacı: Verilerin hangi hukuki sebebe dayanılarak ve hangi işletmesel ihtiyaçla işlendiği,
- Denetim Metodolojisi: Trafik/log kayıtlarının mı yoksa içeriklerin mi inceleneceği,
- İçeriğe Erişim Koşulları: E-posta gövdesine ve eklerine hangi somut şüphe veya koşullarda erişilebileceği,
- Saklama Süresi ve İlgili Kişi Hakları: Verilerin ne kadar süreyle muhafaza edileceği ve KVKK m. 11 kapsamındaki hakların nasıl kullanılacağı.
- Veri Sorumlusunun Kimliği ve Veri Toplama Yöntemi: Denetim faaliyetinden sorumlu veri sorumlusunun ve varsa temsilcisinin kimliği ile kişisel verilerin hangi yöntemlerle elde edildiği,
- Kişisel Verilerin Aktarılması: Denetim kapsamında elde edilen kişisel verilerin kimlere, hangi amaçlarla ve hangi alıcı gruplarına aktarılabileceği.
Özellikle belirtilmelidir ki, Kanun'un 10. maddesinde düzenlenen aydınlatma yükümlülüğü ile Anayasa Mahkemesi içtihadı kapsamında aranan önceden bilgilendirme şartı birbirinden farklı hukuki işlevlere sahiptir. Bununla birlikte, Kanun'un 10. maddesindeki zorunlu unsurları taşıyan ve denetimin amacı, kapsamı ve yöntemi hakkında açık ve somut bilgiler içeren usulüne uygun bir aydınlatma, çalışanın denetim konusunda önceden bilgilendirilmesi şartını da karşılayabilecektir.
- Denetimde Kademelilik ve Ölçülülük Esası
İlke Kararı, denetim faaliyetlerinde kademeliliğin esas alınmasını ve işverenin ulaşmak istediği meşru amaca daha az müdahaleci bir yöntemle ulaşmasının mümkün olduğu hâllerde daha ağır denetim tedbirlerine başvurulmamasını öngörmektedir. İşveren, ulaşmak istediği meşru amaca çalışanın temel haklarına daha az müdahale eden bir yöntemle ulaşabiliyorsa, daha ağır bir denetim tedbirine başvuramaz.
Bu kapsamda, denetimin gerekliliği ve kapsamı belirlenirken aşağıdaki kademeli değerlendirme yönteminin esas alınması uygun olacaktır:
- Denetim ihtiyacının ve hukuki dayanağın belirlenmesi
- Daha az müdahaleci yöntemlerin değerlendirilmesi
- Gerekli hâllerde trafik ve erişim kayıtlarının incelenmesi
- Somut ve meşru gerekçelerin varlığı hâlinde sınırlı içerik denetimi.
Çalışanların önceden bilgilendirilmediği gizli izleme uygulamaları ile bütün dijital faaliyetlerinin sürekli ve ayrım gözetilmeksizin kaydedilmesi, özel hayatın gizliliği ve kişisel verilerin korunması bakımından ciddi hukuka aykırılık riskleri doğurmaktadır. Bununla birlikte, belirli bir hukuka aykırılık şüphesi üzerine gerçekleştirilen istisnai denetimlerin hukuki niteliği, somut olayın koşulları, denetimin zorunluluğu, kapsamı ve başvurulabilecek alternatif yöntemler dikkate alınarak ayrıca değerlendirilmelidir.
- E-Posta İçeriklerine Erişimin İstisnai Nitelikte Olması
E-posta içeriklerinin incelenmesi, trafik verilerinin denetlenmesine kıyasla çalışanın özel hayatına ve haberleşme özgürlüğüne daha ağır bir müdahale oluşturduğundan, içerik denetiminin somut ve meşru bir gerekçeye dayanması gerekir. Bu gerekçe belirli bir hukuka aykırılık şüphesi olabileceği gibi, iş sürekliliğinin sağlanması, kurumsal bilgilerin korunması veya hukuki yükümlülüklerin yerine getirilmesi gibi objektif olarak gerekçelendirilebilen bir işletmesel ihtiyaçtan da kaynaklanabilir. Her durumda denetimin gerekliliği değerlendirilmeli, daha az müdahaleci yöntemlere öncelik verilmeli ve içerik incelemesi ulaşılmak istenen amaçla sınırlı tutulmalıdır.
Nitekim İlke Kararı uyarınca, iletişim araçlarının kötüye kullanılmasının filtreleme, engelleme veya benzeri önleyici teknik tedbirlerle önlenebildiği durumlarda, bu husus işverene genel nitelikte bir içerik denetimi hakkı tanımamaktadır.
- İş İlişkisindeki Güç Dengesizliği ve Açık Rızanın Sınırları
İş ilişkisindeki bağımlılık ve güç dengesizliği nedeniyle çalışanlardan alınan açık rızanın özgür iradeye dayanıp dayanmadığı dikkatle değerlendirilmelidir. Bu nedenle işverenin olağan denetim faaliyetleri bakımından öncelikle KVKK m. 5/2 kapsamında uygulanabilecek veri işleme şartlarının belirlenmesi uygun olacaktır. Açık rızaya dayanılması gereken istisnai durumlarda ise rızanın belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olması gerekir. Her hâlükârda açık rıza, ölçüsüz veya amacı belirsiz denetim faaliyetlerini kendiliğinden hukuka uygun hâle getirmez.
Kurul'un 2026/2035 sayılı İlke Kararı'nda, denetim kapsamında gerçekleştirilen kişisel veri işleme faaliyetlerinin somut olayın koşullarına göre KVKK m. 5/2(ç) bendinde düzenlenen veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için veri işlemenin zorunlu olması veya m. 5/2(f) bendinde düzenlenen ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için veri işlemenin zorunlu olması şartlarına dayandırılabileceği ifade edilmiştir.
Bununla birlikte, Kurul'un 2023/86 sayılı kararında, kurumsal e-posta denetimi neticesinde elde edilen kişisel verilerin iş sözleşmesinin feshi sürecinde kullanılmasının, KVKK m. 5/2(e) bendinde düzenlenen bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması şartı kapsamında da değerlendirildiği görülmektedir.
Dolayısıyla veri işleme faaliyetinin hukuki dayanağı her somut olayın amacı ve koşulları çerçevesinde belirlenmeli; herhangi bir işleme şartının varlığının işverene sınırsız denetim yetkisi tanımadığı göz önünde bulundurulmalıdır.
- Denetim yoluyla elde edilen verilerin iş hukukunda delil olarak kullanılması
Kurumsal iletişim araçlarının denetlenmesi sonucunda elde edilen verilerin iş hukuku uyuşmazlıklarında kullanılması, denetimin hukuka uygunluğundan ayrı olarak değerlendirilmelidir. Hukuka uygun şekilde elde edilmiş bir yazışma, iş sözleşmesinin feshi bakımından kendiliğinden haklı neden oluşturmayacağı gibi, hukuka aykırı yöntemlerle elde edilen kayıtların yargılamada delil olarak kullanılabilmesi de ayrıca tartışmalıdır. Bu nedenle işverenlerin denetim süreçlerini yalnızca kişisel verilerin korunması açısından değil, elde edilen bulguların iş hukuku bakımından doğurabileceği sonuçları da dikkate alarak yürütmeleri gerekmektedir.
- Özel Nitelikli Veriler ve Üçüncü Kişilerin Verilerinin Korunması
E-posta gövdelerinde veya eklerinde, KVKK m. 6 anlamında özel nitelikli kişisel veriler (sağlık verileri, sendikal üyelikler vb.) ile iletişimin tarafı olan üçüncü kişilere (müşteriler, tedarikçiler, diğer çalışanlar) ait veriler yer alabilir.
İçerik denetimi sırasında özel nitelikli kişisel verilere erişilmesi ihtimali karşısında, KVKK m. 6 kapsamında öngörülen işleme şartlarının sağlanması ve Kurul tarafından belirlenen yeterli önlemlerin alınması gerekmektedir. Bu kapsamda, özellikle sağlık, finans, hukuk ve insan kaynakları gibi veri yoğun sektörlerde gerçekleştirilen denetim faaliyetlerinde, somut olayın gerektirdiği ölçüde maskeleme, filtreleme, erişim sınırlandırması ve benzeri teknik ve idari tedbirlere başvurulması önem taşımaktadır. Nitekim Kurul'un 31.01.2018 tarihli ve 2018/10 sayılı kararı da özel nitelikli kişisel verilerin işlenmesinde alınması gereken yeterli önlemlere ilişkin ayrıntılı düzenlemeler içermektedir.
Kurumsal e-posta ve dijital iletişim sistemlerinin yurt dışı bağlantılı bulut altyapıları üzerinden işletilmesi veya denetim kapsamında elde edilen verilere yurt dışındaki grup şirketleri ya da hizmet sağlayıcılar tarafından erişilmesi, KVKK m. 9 kapsamında yurt dışına kişisel veri aktarımı hükümlerinin uygulanmasını gündeme getirebilir. Bu nedenle işverenlerin denetim süreçlerinde verilerin hangi ülkelerde saklandığını, kimler tarafından erişilebilir olduğunu ve yurt dışına aktarımın hangi hukuki mekanizmaya dayandığını ayrıca değerlendirmeleri gerekmektedir.
Bununla birlikte, yabancı menşeli bir yazılım veya hizmetin kullanılması tek başına yurt dışına kişisel veri aktarımı gerçekleştirildiği anlamına gelmeyeceğinden, veri akışının, saklama konumlarının ve erişim yetkilerinin somut olarak incelenmesi gerekmektedir.
- Verilere Erişim Yetkilerinin Sınırlandırılması ve Veri Güvenliği
Denetim sonucunda elde edilen verilere erişim, kurum içerisinde sınırsız bir kullanıma açılamaz. KVKK m. 12 kapsamındaki idari ve teknik tedbirler doğrultusunda;
- Denetim verilerine yalnızca bu hususta yetkilendirilmiş personel (İnsan Kaynakları, Hukuk, Audit vb.) tarafından erişilebilmesi,
- Access log (erişim kütüğü) kayıtlarının tutulması ve rol bazlı erişim matrislerinin oluşturulması,
- Yetkisiz birim veya yöneticilerin denetim çıktılarına erişiminin teknik olarak engellenmesi
gerekmektedir. İşverenler, yalnızca denetim usulünü değil; denetim çıktılarına kimlerin, hangi yetkiyle ve ne kadar süreyle erişebileceğini de önceden prosedür altına almakla yükümlüdür.
- İş İlişkisinin Sona Ermesinden Sonra Kurumsal E-Posta Hesaplarının Yönetimi
İş ilişkisinin sona ermesi, çalışana tahsis edilen kurumsal e-posta hesabında bulunan kişisel verilerin işveren tarafından süresiz olarak saklanmasını veya denetlenmesini kendiliğinden haklı kılmamaktadır. Nitekim Kurul'un 2026/2035 sayılı İlke Kararı'nda, iş ilişkisinin sona ermesinden sonra kurumsal e-posta hesabına ilişkin veri işleme faaliyetlerinin hukuki dayanağının ayrıca değerlendirilmesi gerektiği açıkça belirtilmiştir.
Bu kapsamda, iş ilişkisinin sona ermesini takiben ilgili hesabın çalışanın aktif kullanımına ve hesaba yeni erişimlere kapatılması, hesaba gelen iletilerin ilgisiz kişilerce görüntülenmesinin önlenmesi ve hukuki dayanağı ortadan kalkan kişisel verilerin imha edilmesi esas alınmalıdır. Bununla birlikte, iş sürekliliğinin sağlanması, kurumsal iletişimin aksamaması, hukuki uyuşmazlıklarda savunma hakkının kullanılması veya mevzuattan kaynaklanan yükümlülüklerin yerine getirilmesi gibi meşru amaçların bulunması halinde, somut olayın özelliklerine göre sınırlı ve süreli nitelikte çeşitli teknik tedbirlere başvurulabilecektir.
İş ilişkisinin sona ermesinden sonra, kurumsal iletişimin devamlılığını sağlamak amacıyla öncelikle hesabın kapatılması ve göndericileri yeni iletişim adresine yönlendiren otomatik cevap uygulamalarının değerlendirilmesi uygun olacaktır. E-postaların başka çalışanlara otomatik yönlendirilmesi veya geçmiş yazışma içeriklerine erişilmesi ise kişisel yazışmaların da üçüncü kişilerce görüntülenmesine neden olabileceğinden, ancak somut bir işletmesel ihtiyaç bulunması ve daha az müdahaleci yöntemlerin yetersiz kalması hâlinde, gerekli teknik ve idari tedbirler alınarak gerçekleştirilmelidir. Saklama ve arşivleme işlemleri de belirli hukuki sebeplere ve saklama sürelerine dayanmalıdır.
IV. SONUÇ
Teknolojinin iş hayatına entegrasyonu, işverenin işletmesel menfaatleri ile çalışanın anayasal hakları arasındaki sınır çizgisinin yeniden belirlenmesini kaçınılmaz kılmıştır. Kişisel Verileri Koruma Kurulu’nun 2026/2035 sayılı İlke Kararı; işverenin yönetim hakkının sınırsız olmadığını, teknolojik imkânların veya altyapı zilyetliğinin kendiliğinden bir hukuki denetim yetkisi doğurmayacağını net bir biçimde ortaya koymaktadır.
Kurumsal e-posta hesapları ve diğer dijital iletişim araçlarının denetlenmesinde, çalışanların önceden ve açık biçimde bilgilendirilmesi, veri işleme faaliyetlerinin uygun hukuki sebeplere dayandırılması ve denetimin gereklilik ile ölçülülük ilkelerine uygun yürütülmesi esastır. İçerik denetimine ise ancak somut ve meşru bir gerekçenin bulunması ve daha az müdahaleci yöntemlerin yeterli olmaması hâlinde, ulaşılmak istenen amaçla sınırlı olarak başvurulmalıdır.
Bu ilkelere aykırı olarak gerçekleştirilen denetim faaliyetleri, somut olayın özelliklerine göre 6698 sayılı Kanun'un 18. maddesi kapsamında idari yaptırımlara, Türk Ceza Kanunu'nun ilgili hükümleri çerçevesinde cezai sorumluluğa ve hukuka aykırı şekilde elde edilen verilerin iş hukuku uyuşmazlıklarında delil olarak değerlendirilmemesine yol açabilecektir. Bu doğrultuda işverenlerin, tüm dijital iletişim ekosistemini kapsayan, teknik ve hukuki uyumun eş zamanlı sağlandığı kurumsal veri yönetişimi ve denetim politikalarını oluşturmaları gerekmektedir.
The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.
