08 Ekim 2026 Tarihli Resmi Gazete’de yayımlanan Kişisel Verileri Koruma Kurumu’nun (“Kurum”) 2026/2035 Sayılı İlke Kararı’nda (“İlke Kararı”) işverenler tarafından çalışanlara tahsis edilen kurumsal e-posta hesapları ve işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetlenmesi suretiyle gerçekleştirilen kişisel veri işleme faaliyetine ilişkin belirli tespit ve değerlendirmelere yer vermiştir.
Daha önce hem Kurum kararlarında (2021/1187 sayılı ve 25/11/2021 tarihli ve 2023/86 sayılı ve 19/01/2023 tarihli kararlar) hem de çeşitli Anayasa Mahkemesi kararlarında (2016/13010 başvuru numaralı 17/9/2020 tarihli ve 2018/34548 başvuru numaralı ve 28/12/2021 tarihli kararlar) altı çizildiği gibi İlke Kararı’nda da iletişim kanallarının denetimi gerçekleştirilirken, işverenin yönetim yetkisi ile çalışanın kişisel verilerinin korunmasına yönelik hakları ve haberleşme hürriyeti dengesinin gözetilmesinin gerekliliğine değinilmiştir. Aynı şekilde yine işverenin denetim yetkisinin, çalışanın önceden açıkça bilgilendirilmesi, denetimin meşru bir amaca dayanması, bu amaçla sınırlı ve ölçülü olması ve daha az müdahaleci yollara öncelikli olarak başvurulması gerektiği belirtilmiştir.
Bu çerçevede, çalışanlar tarafından işin yürütülmesi amacıyla kullanılan iletişim kanallarının işverenler tarafından denetlenmesi hususu ile ilgili olarak İlke Kararı’nda Kurum, aşağıda belirtilen hususların gözetilmesi gerektiğinin altını çizmektedir:
I. Denetim Yetkisinin Niteliği ve Sınırları
- İşveren tarafından trafik/log kayıtlarının işlenmesi başlı başına bir kişisel veri işleme faaliyetidir.
- İletişim araçlarının işverene ait olması veya işyerinde kullanılması işverene sınırsız bir denetim yetkisi tanımamaktadır.
- İşverenin teknik erişim imkanına sahip olması, hukuki erişim yetkisine sahip olduğu anlamına gelmez.
II. İş Amaçlı ve Özel Amaçlı Kullanım Ayrımı
- İletişim araçlarının “iş amaçlı” ve “özel amaçlı” kullanım ayrımının işveren tarafından belirlenip belirlenmediği ve belirlenme şekli, denetim faaliyetinin hukuka uygunluk değerlendirmesinde farklı sonuçlar doğurabilecektir.
- İşverenin işyeri iletişim araçlarının özel amaçlı kullanımına ilişkin belirleyeceği kurallar, açık, anlaşılır ve çalışan tarafından bilinebilir nitelikte olmalıdır ve her türlü sınırlama, çalışanlara açıkça duyurulmalıdır.
- İletişim araçlarının özel amaçlı kullanımının yasaklanması halinde dahi işverenin denetim yetkisi ölçülülük ilkesiyle sınırlıdır. Denetimin sürekli ve aralıksız olması ölçülü kabul edilemez. Özel kullanım yasağının ihlal edildiği içeriğe erişmeden anlaşılabiliyorsa, içeriğe erişilmesi gereksiz ve orantısız kabul edilir.
- İşveren tarafından iletişim araçlarının özel amaçlı kullanımına izin verildiği hallerde ise mümkünse denetimin yalnızca iş amaçlı iletişimle sınırlı tutulması ve özel amaçlı içeriklerin denetim dışında bırakılması gerekir. İş ve özel amaçlı kullanımın birbirinden ayrılamadığı hallerde ise işverenin denetim yetkisi dar yorumlanmalıdır.
III. Aydınlatma Yükümlülüğü ve Hukuki Dayanak
- Çalışanın yalnızca denetim faaliyeti hakkında bilgilendirilmesi, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“Kanun”) 10’uncu maddesine uygun bir şekilde kişisel veri işleme faaliyetine ilişkin aydınlatma yükümlülüğünün yerine getirildiği anlamına gelmeyecektir.
- İşveren tarafından yapılacak aydınlatma metni, (i) kişisel veri işleme faaliyetinin hukuki sebebini, (ii) amacını, (iii) kapsamını, (iv) denetimin trafik/log kayıtlarının incelenmesiyle mi yoksa içerik denetimiyle mi yürütüleceğini, (v) içeriğe hangi hallerde erişilebileceğini, (vi) verilerin saklama süresini ve (vii) ilgili kişilerin Kanun’un 11’inci maddesindeki haklarını açık, anlaşılır ve somut biçimde içermelidir.
- İşverenin denetim yapabileceğine yönelik genel nitelikli bildirimler, “bilgilendirme” koşulunu sağlamaz ve aydınlatma yükümlülüğünün yerine getirildiği sonucunu doğurmaz. Bu durumlarda çalışanın kişisel verilerine ve haberleşme hürriyetine müdahale edilmeyeceği yönünde makul bir beklenti taşıyacağının gözetilmesi gerekmektedir.
- İş ilişkisindeki bağımlılık ve taraflar arasındaki güç dengesizliği sebebiyle, çalışanın açık rızası öncelikli hukuki dayanak olarak esas alınmamalıdır. Açık rızaya dayalı hallerde ise rızanın özgür iradeyle verilip verilmediği somut olay özelinde değerlendirilmelidir.
- İşveren, denetim faaliyeti bakımından, Kanun’da yer alan “veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması”, “bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması” ve “ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması” işleme şartlarına dayanabilecektir. Ancak bu şartların varlığı, kendisine sınırsız bir denetim yetkisi tanımayacaktır.
IV. Ölçülülük ve Kademeli Denetim
- Denetim, hukuka ve dürüstlük kurallarına uygun, belirli, açık ve meşru bir amaca dayalı, bu amaçla bağlantılı, sınırlı ve ölçülü biçimde yürütülmelidir. Elde edilen veriler yalnızca amacın gerektirdiği süreyle saklanmalıdır.
- İşveren ulaşmak istediği meşru amaca daha az müdahaleci bir yöntemle ulaşabiliyorsa daha ağır bir denetim yöntemine başvurmamalıdır. İletişim araçlarının kötüye kullanımı teknik yollarla önlenebiliyorsa, işverenin genel bir denetim hakkı doğmayacaktır. İletişimin içeriğine erişim ancak trafik verisi denetiminin yetersiz kaldığı ve içeriğe erişimin zorunlu olduğu istisnai hallerde gündeme gelebilecektir.
- İletişimin içeriğinin denetlenmesi, çalışanın özel hayatına ve haberleşme hürriyetine yönelen en yoğun müdahaleyi oluşturmaktadır. Bu nedenle, güçlü ve somut bir meşru gerekçe gerektirmektedir. Kapsamı belirsiz, genel ve süreklilik arz eden içerik incelemelerinden kaçınılması gerekmektedir.
- Çalışanın bilgisi dışındaki gizli ve sürekli izleme yöntemleri ile yürütülen denetim hukuka aykırıdır.
V. Veri Güvenliği ve Erişim Yönetimi
- Denetim gerçekleştirilirken, iletişimlerin içeriğinde yer alması muhtemel olan özel nitelikli kişisel veriler ve üçüncü kişilere ait kişisel veriler de dikkate alınmalıdır.
- Kurumsal e-posta hesapları ve diğer iletişim kanallarından elde edilen verilere erişim, bu hususta görevli ve yetkili belirli sayıdaki personelle sınırlandırılmalıdır. Erişim yetkisi görev tanımlarıyla belirlenmeli, erişim kayıtları tutulmalı ve verilere erişen personel gizlilik yükümlülüğü altına alınmalıdır.
VI. İş İlişkisinin Sona Ermesi
- İş ilişkisi sona eren çalışanın kurumsal e-posta hesabı, kural olarak kullanıma ve yeni erişimlere kapatılmalı, hukuki dayanağı kalmayan kişisel veriler imha edilmelidir. Bununla birlikte iş sürekliliği, savunma hakkının kullanılması veya yasal yükümlülükler gibi amaçlarla sınırlı, süreli ve erişim yetkileri belirlenmiş yönlendirme, otomatik cevap veya arşivleme uygulamalarına gidilebilecektir.
İlke Kararı, Kurum ve Anayasa Mahkemesi kararlarıyla şekillenen ilkeleri bir araya getirerek işverenlerin kurumsal iletişim kanallarını denetleme yetkisinin çerçevesini somut biçimde ortaya koymaktadır. İlke Kararı’nda belirtilen esaslara aykırı hareket edildiğinin tespiti halinde ise ilgili veri sorumluları hakkında Kanun’un 18’inci maddesi uyarınca idari yaptırım uygulanabilecektir.
İlke Kararı’nın tam metnine buradan ulaşabilirsiniz.
Yazarlar: Sümeyye Uçar, Rana Deliktaş