15/10/2026
Çalışanların Kurumsal İletişim Kanallarının Denetlenmesinde Kişisel Verilerin Korunması: Kvkk’nın 2026/2035 Sayılı İlke Kararı
Giriş
Kişisel Verileri Koruma Kurulu’nun (“Kurul”) 16.09.2026 tarihli ve 2026/2035 sayılı İşverenler Tarafından Çalışanlara Tahsis Edilen Kurumsal E-Posta Hesapları Başta Olmak Üzere, İşin Yürütülmesi Amacıyla Kullanılan İletişim Kanallarının Denetlenmesi Suretiyle Gerçekleştirilen Kişisel Veri İşleme Faaliyetlerinde Uyulması Gereken Usul ve Esaslar Hakkında İlke Kararı (“İlke Kararı”), 08.10.2026 tarihli ve 33394 sayılı Resmî Gazete’de yayımlanmıştır.
Günümüze değin başta Anayasa Mahkemesi başta olmak üzere birçok yüksek mahkeme tarafından içtihat oluşturulmasına sebep olan çalışan iletişim kanallarının denetimi nihayetinde Kurul’un ilke karar yayınlaması ile neticelenmiştir.
İlke Kararı ile işverenlerin, çalışanlara tahsis ettikleri kurumsal e-posta hesapları ve işin yürütülmesi amacıyla kullanılan diğer iletişim kanalları üzerindeki denetim faaliyetlerinde gözetmeleri gereken hukuki esaslar ortaya konulmuştur. Kurul, işverenin yönetim hakkı ile çalışanın özel hayatın gizliliği, kişisel verilerin korunmasını isteme hakkı ve haberleşme hürriyeti arasında adil bir denge kurulması gerektiğine işaret ederek söz konusu denetimlerin, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) kapsamında değerlendirilmesi gereken kişisel veri işleme faaliyetleri olduğunu vurgulamıştır.
Temel İlkeler
İlke Kararı kapsamında öne çıkan hususlar aşağıda ele alınmaktadır.
- Denetim Faaliyetlerinin Hukuki Çerçevesi
Çalışanlara tahsis edilen kurumsal e-posta hesapları ve diğer iletişim kanalları üzerinden gerçekleştirilen denetimler, yalnızca işverenin yönetim hakkı kapsamında değerlendirilemez. İletişim araçlarının işverene ait olması veya işin yürütülmesi amacıyla tahsis edilmesi, çalışanların iletişim faaliyetlerinin sınırsız biçimde incelenmesine imkân tanımamaktadır. Bu doğrultuda denetim faaliyetlerinin Kanun’da düzenlenen kişisel veri işleme şartlarına ve genel ilkelere uygun olarak yürütülmesi; gerekli hâllerde aydınlatma yükümlülüğünün yerine getirilmesi ve kişisel verilerin güvenliğini sağlamaya yönelik teknik ve idari tedbirlerin alınması gerekmektedir.
- İş Amaçlı ve Özel Amaçlı Kullanımın Ayrıştırılması
Denetimin sınırları belirlenirken iletişim aracının tahsis amacı, kullanım koşulları ve çalışanın özel amaçlı kullanımına izin verilip verilmediği dikkate alınmalıdır. İşverenin özel amaçlı kullanımı yasaklama veya belirli kurallara bağlama yönündeki yetkisi, çalışanlara önceden bildirilen açık ve anlaşılır düzenlemeler çerçevesinde kullanılmalıdır.
Bununla birlikte, özel amaçlı kullanımın yasaklanmış olması dahi işverenin denetim yetkisini sınırsız hâle getirmemektedir. İş amaçlı ve özel amaçlı iletişimin birbirinden ayrılabildiği durumlarda özel yazışmaların denetim dışında tutulması; bu ayrımın yapılamadığı hâllerde ise denetimin kapsamının daha dar belirlenmesi gerekmektedir.
- Teknik Erişim İmkânı ve Hukuki Yetkinin Ayrı Değerlendirilmesi
İşverenin bir cihaz, ağ veya kurumsal sistem üzerinde teknik erişim imkânına sahip olması, bu sistemler üzerinden erişilebilen tüm iletişim içeriklerini inceleme konusunda kendiliğinden hukuki yetki sağlamamaktadır. Bu nedenle çalışanın kişisel e-posta hesabında, anlık mesajlaşma uygulamasında, sosyal medya hesabında veya benzeri özel iletişim alanlarında yer alan yazışmalara erişim, teknik erişilebilirlikten bağımsız olarak hukuki açıdan değerlendirilmelidir. Denetimin sınırları belirlenirken teknik erişim imkânı ile bu erişimi hukuken meşru kılan şartların mevcut olup olmadığı ayrı ayrı ele alınmalıdır.
- Önceden Bilgilendirme ve Aydınlatma Yükümlülükleri
Çalışanların denetim faaliyetinin varlığı, kapsamı ve yöntemi hakkında önceden bilgilendirilmesi, müdahalenin hukuka uygunluğunun değerlendirilmesinde önem taşımaktadır. Bununla birlikte, Anayasa Mahkemesi içtihadı kapsamında aranan bilgilendirme ile Kanun’un 10’uncu maddesinde düzenlenen aydınlatma yükümlülüğü birbirinden farklı hukuki gerekliliklerdir. Aydınlatma kapsamında kişisel veri işleme faaliyetinin amacı ve hukuki sebebi, kapsamı ve yöntemi, iletişim içeriklerine hangi koşullarda erişilebileceği, verilerin saklama süresi ve ilgili kişilerin Kanun’un 11’inci maddesi kapsamındaki hakları açık, anlaşılır ve somut biçimde belirtilmelidir. Yalnızca kurumsal e-posta hesaplarının denetlenebileceğine ilişkin genel ifadeler, somut olayın koşullarına göre önceden bilgilendirme ve aydınlatma yükümlülüklerinin yerine getirilmesi bakımından yetersiz kalabilecektir.
- Açık Rızanın Hukuki Dayanak Olarak Değerlendirilmesi
İş ilişkisinde mevcut olan bağımlılık ve taraflar arasındaki güç dengesizliği, çalışanlardan alınan açık rızanın geçerliliğinin değerlendirilmesinde özel önem taşımaktadır. Bu nedenle açık rıza, çalışan iletişiminin denetlenmesinde her durumda öncelikli hukuki dayanak olarak kabul edilemez. Açık rızaya dayanılması hâlinde, rızanın özgür iradeyle verilip verilmediği somut olayın koşullarına göre değerlendirilmelidir.
Denetimin Kanun’da öngörülen diğer kişisel veri işleme şartlarından birine dayandırılması mümkün olmakla birlikte, ilgili şartın mevcut olması da işverene sınırsız bir denetim yetkisi tanımamaktadır. Denetimin ayrıca belirli, açık ve meşru bir amaca dayanması; bu amaçla bağlantılı, sınırlı ve ölçülü olması gerekmektedir.
- Kademeli Denetim ve Ölçülülük İlkesi
Kurul, denetim faaliyetlerinde müdahalenin yoğunluğunun ulaşılmak istenen amaçla orantılı olması gerektiğine dikkat çekmektedir. İşverenin meşru amacına daha az müdahaleci yöntemlerle ulaşabildiği durumlarda daha kapsamlı denetim yöntemlerine başvurulmamalıdır. Bu çerçevede trafik ve log kayıtlarının incelenmesi ile iletişim içeriklerine erişilmesi birbirinden ayrılmalı; içerik denetimine ancak somut olayın koşulları çerçevesinde gerekli olduğu ortaya konulan durumlarda başvurulmalıdır. Genel, kapsamı belirsiz ve süreklilik arz eden içerik incelemelerinden kaçınılması; denetimin belirli bir olay veya somut şüpheyle bağlantılı olarak yürütülmesi gerekmektedir.
- Denetim Sürecinde Kişisel Verilerin Güvenliğinin Sağlanması
İletişim içeriklerinin incelenmesi sırasında çalışana veya üçüncü kişilere ait özel nitelikli kişisel verilerin elde edilmesi ihtimali dikkate alınmalıdır. Çalışanların yazışmalarında yer alan diğer kişilere ait kişisel veriler bakımından da veri koruma yükümlülükleri gözetilmelidir. Denetim sonucunda elde edilen verilere erişim, yalnızca görev ve sorumlulukları gereği yetkilendirilmiş sınırlı sayıdaki personelle sınırlandırılmalıdır. Erişim yetkilerinin görev tanımlarına uygun biçimde belirlenmesi, erişim işlemlerinin kayıt altına alınması ve yetkili personelin gizlilik yükümlülüklerinin güvence altına alınması, veri güvenliğinin sağlanması bakımından önem taşımaktadır.
- İş İlişkisinin Sona Ermesinden Sonraki Süreç
İş ilişkisinin sona ermesi, çalışana tahsis edilmiş kurumsal e-posta hesabının ve bu hesapta bulunan kişisel verilerin süresiz olarak erişilebilir veya işlenebilir durumda tutulmasını haklı kılmamaktadır. Bu aşamada gerçekleştirilecek veri işleme faaliyetlerinin hukuki dayanağı ayrıca değerlendirilmelidir. Dolayısıyla iş ilişkisinin sona ermesinden sonra hesaba erişim ve verilerin muhafazası gibi işlemler bakımından hukuki gerekliliğin ortaya konulması; erişimin kapsamı ile saklama süresinin bu gerekliliklerle sınırlı tutulması gerekmektedir.
Sonuç ve Değerlendirme
Kurulun 2026/2035 sayılı İlke Kararı, işverenlerin çalışanlara tahsis ettikleri kurumsal iletişim araçlarını denetleme yetkisinin kişisel verilerin korunmasına ilişkin yükümlülüklerden bağımsız değerlendirilemeyeceğini ortaya koymaktadır. İşverenin yönetim hakkı kapsamında gerçekleştirdiği denetim faaliyetleri, çalışanın temel hak ve özgürlüklerine yapılan müdahalenin amacı, kapsamı ve yoğunluğu gözetilerek hukuka uygunluk denetimine tabi tutulmalıdır.
Bu doğrultuda işverenlerin mevcut iletişim ve bilgi güvenliği politikalarını, çalışanlara sunulan aydınlatma metinlerini ve denetim süreçlerini İlke Kararı çerçevesinde gözden geçirmeleri önem arz etmektedir. Denetim faaliyetlerinin önceden belirlenmiş kurallara dayanması, çalışanların usulüne uygun biçimde bilgilendirilmesi, daha az müdahaleci yöntemlere öncelik verilmesi ve erişim süreçlerinin kayıt altına alınması, hukuka uygun bir denetim mekanizmasının temel unsurları arasında yer almaktadır.
İlke Kararı’nda belirtilen yükümlülüklere uyulmadığının tespit edilmesi hâlinde, somut olayın özellikleri dikkate alınarak Kanun’un 18’inci maddesi kapsamında veri sorumluları hakkında işlem tesis edilebilecektir.
İlgili Karar metnine buradan ulaşabilirsiniz:
https://www.resmigazete.gov.tr/eskiler/2026/10/20261008-6.pdf
Çelikbaş Hukuk Bürosu