İşverenler Çalışanlarının Kurumsal E-postalarını Denetleyebilir mi?

KVKK’nin 16.09.2026 tarihli ve 2026/2035 sayılı ilke kararı

Kişisel Verileri Koruma Kurulu, 8 Ekim 2026 tarihli Resmi Gazete’de yayımlanan ilke kararıyla işverenlerin çalışanlarına tahsis ettikleri kurumsal e-posta hesaplarını ve iş kapsamında kullanılan diğer iletişim kanallarını denetlerken dikkat etmesi gereken hususları açıkladı.

Karar, özellikle çalışanların e-posta içeriklerinin incelenmesi, iletişim kayıtlarının takip edilmesi ve elde edilen verilerin disiplin süreçlerinde kullanılması bakımından önem taşıyor. Kurul, işverenin denetim hakkının bulunduğunu kabul etmekle birlikte, bu hakkın çalışanların özel hayatı ve haberleşme özgürlüğü gözetilerek kullanılması gerektiğini vurguluyor.

İşverene ait e-posta hesabı sınırsız denetim yetkisi sağlamıyor

Şirketlerin iş amaçlı kullanılması için çalışanlarına tahsis ettikleri e-posta hesaplarını ve diğer iletişim araçlarını denetlemeleri mümkün. Ancak iletişim aracının işverene ait olması, çalışanın bütün yazışmalarının herhangi bir sınırlama olmaksızın incelenebileceği anlamına gelmiyor.

Denetimin hangi amaçla yapıldığı, hangi verileri kapsadığı ve ne şekilde gerçekleştirildiği önem taşıyor. Örneğin, bir güvenlik ihlalinin araştırılması amacıyla belirli kayıtların incelenmesi ile çalışanların tüm yazışmalarının sürekli olarak takip edilmesi aynı şekilde değerlendirilemez.

Bu nedenle işverenlerin, denetim uygulamalarını yalnızca şirket içi kurallara değil, 6698 sayılı Kişisel Verilerin Korunması Kanunu’na da uygun biçimde yürütmesi gerekiyor.

Çalışanlara önceden bilgi verilmesi gerekiyor

Kararın üzerinde durduğu konulardan biri, çalışanların denetim hakkında önceden bilgilendirilmesi. Çalışana yalnızca kurumsal e-posta hesabının denetlenebileceğinin bildirilmesi, her durumda yeterli kabul edilmiyor. Denetim hakkında önceden bilgilendirme ve aydınlatma yapılsa dahi denetimin amacı, ölçülük ilkesine aykırılık teşkil etmemelidir. Nitekim, aydınlatma ve bilgilendirme; işverene sınırsız bir denetim hakkı vermemekte olup makul nitelikte olması gerekir.

Bilgilendirmede denetimin amacı, kapsamı ve yöntemi; kişisel verilerin hangi hukuki sebeple işlendiği; verilerin ne kadar süreyle saklanacağı ve yazışma içeriklerine hangi durumlarda erişilebileceği açıkça belirtilmeli. Çalışanların kişisel verileri üzerindeki hakları da kendilerine açıklanmalı. Çalışanlar, söz konusu denetim hakkında rıza verseler dahi; yapılan denetim her olay özelinde, ölçülük ilkesince ayrı irdelenir. Dolayısıyla, salt açık rızanın varlığı her türlü denetimi makul kılmaz.

İşverenin bu konuda açık ve anlaşılır bir politika oluşturması, uygulamada ortaya çıkabilecek uyuşmazlıkların önlenmesi bakımından önem taşıyor.

Açık rıza, e-posta denetimi için her durumda yeterli bir hukuki dayanak değildir

İş ilişkisi kapsamında çalışan ile işveren arasındaki bağımlılık ilişkisi ve taraflar arasındaki güç dengesi, açık rızanın geçerliliğinin değerlendirilmesinde dikkate alınmalıdır. Bu nedenle, çalışanın açık rızasının e-posta denetimi bakımından her durumda öncelikli hukuki dayanak olarak kabul edilmemeli, açık rızaya dayanılan hâllerde, rızanın özgür iradeyle verilip verilmediği somut olayın koşulları çerçevesinde ayrıca değerlendirilmelidir.

Öte yandan, çalışanın geçerli bir açık rıza vermiş olması veya denetimin 6698 sayılı Kanun’da öngörülen diğer kişisel veri işleme şartlarından birine dayanması, işverene sınırsız bir denetim yetkisi sağlamaz. İşverenin denetim uygulaması; izlenen amaç, başvurulan yöntemin gerekliliği ve müdahalenin kapsamı birlikte değerlendirilerek belirlenmelidir. Dolayısıyla, hukuki dayanağın mevcut olması kadar denetimin çalışanların özel hayatına ve haberleşme özgürlüğüne etkisinin de gözetilmesi gerekir.

Yazışmaların içeriği hangi durumlarda incelenebilir?

E-posta trafiğine ilişkin kayıtların incelenmesi ile yazışmaların doğrudan okunması, müdahalenin kapsamı bakımından birbirinden ayrılıyor. Özellikle mesaj içeriklerine erişilmesi, daha dikkatli bir değerlendirme yapılmasını gerektiriyor.

Kurul, içerik incelemesinin kural olarak somut bir şüphe veya belirli bir olayla bağlantılı meşru bir amaç bulunması hâlinde ve bu amaçla sınırlı olarak yapılması gerektiğini belirtiyor. İşverenin ulaşmak istediği sonuca daha az müdahaleci bir yöntemle ulaşması mümkünse daha kapsamlı bir denetime başvurmaması gerekiyor.

Ayrıca işveren, çalışanların kurumsal iletişim araçlarını kişisel amaçlarla kullanmasına ilişkin kurallar belirleyebilir. Ancak kişisel kullanımın yasaklanmış olması da sınırsız bir inceleme yetkisi vermez. İşverenin teknik olarak bir hesaba veya mesaja erişebiliyor olması, bu erişimin hukuken de serbest olduğu anlamına gelmez.

İşten ayrılan çalışanların e-posta hesapları da kapsamda sayılır

Karar, iş ilişkisinin sona ermesinden sonra kurumsal e-posta hesaplarında bulunan verilerin işlenmesine de değiniyor. İş sözleşmesinin sona ermesi, bu hesaplarda bulunan verilerin süresiz biçimde saklanabileceği veya bunlara sınırsız olarak erişilebileceği anlamına gelmiyor. İşverenin, verileri saklamaya veya erişmeye devam etmesi için geçerli bir hukuki dayanağının bulunması gerekiyor.

Öte yandan denetim kapsamında elde edilen verilere yalnızca görev ve yetki verilmiş kişilerin erişmesi, erişim kayıtlarının tutulması ve verilerin gerekli olandan daha uzun süre muhafaza edilmemesi de önem taşıyor.

Şirketlerin mevcut uygulamalarını gözden geçirmesi gerekiyor

Karar doğrultusunda şirketlerin kurumsal e-posta ve diğer iletişim araçlarının kullanımına ilişkin politikalarını, çalışanlara yönelik aydınlatma metinlerini ve denetim prosedürlerini gözden geçirmesi yerinde olacaktır. Özellikle yazışma içeriklerine erişimin hangi durumlarda mümkün olacağı ve bu erişimin kimler tarafından gerçekleştirileceği açıkça belirlenmelidir.

Kurul, belirtilen yükümlülüklere aykırılık tespit edilmesi hâlinde, somut olayın özelliklerine göre 6698 sayılı Kanun’un 18. maddesi kapsamında işlem tesis edilebileceğini de belirtmektedir.

Sonuç olarak, işverenlerin çalışanlarına tahsis ettikleri iletişim araçlarını denetleme yetkisi bulunmakla birlikte, bu yetki sınırsız değildir. Denetimin hukuka uygunluğu; amacına, kapsamına, kullanılan yönteme ve çalışanların önceden bilgilendirilmiş olmasına bağlıdır. Bu nedenle şirketlerin mevcut uygulamalarını karar çerçevesinde değerlendirmeleri ve gerekli düzenlemeleri yapmaları önem taşımaktadır.

Kaynak: Kişisel Verileri Koruma Kurulunun 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı, 08.10.2026 tarihli ve 33394 sayılı Resmî Gazete.

 

 

Uyarı: Yukarıdaki bilgi ve görüşlerimiz sadece yol gösterme amaçlıdır ve yasal tavsiye alma olarak değerlendirilemez. Vona Hukuk Bürosu, doğru ve güncel içerikli bilgiyi sağlamak için her türlü çabayı göstermektedir ancak, bu makalenin yayımlanmasından sonra yürürlüğe girebilecek olan yasa ve mevzuatlarda yapılan değişiklikler nedeniyle en güncel yasal gelişmeleri yansıtmayabilir. Bu nedenle, bu makaledeki hiçbir şey yasal tavsiye olarak görülmemeli ve herhangi bir karar vermeden veya bu makalede yer alan bilgilere dayanarak herhangi bir işlem yapmadan önce avukatlara danışmalısınız.