KVKK, çalışanların kurumsal e-postasının denetimine sınır getirdi
Kişisel Verileri Koruma Kurulu’nun 2026/2035 sayılı ilke kararıyla kurumsal e-posta ve iş amaçlı iletişim kanallarının denetimi; somut aydınlatma, kademelilik ve ölçülülük şartlarına bağlandı. Yalnızca log kayıtlarının incelenmesi de kişisel veri işleme sayılıyor; genel nitelikli “e-postalar denetlenebilir” bildirimi yeterli değil.
- Yayım
- 8 Ekim 2026
- Yürürlük
- 8 Ekim 2026
İK ekibi ne yapmalı?
0/5Ne değişti?
Kurul, KVKK md. 15/6 uyarınca kurumsal e-posta hesapları başta olmak üzere işin yürütülmesi için kullanılan iletişim kanallarının (kurum içi mesajlaşma, müşteri ilişkileri sistemleri, toplantı platformlarındaki sohbet ve kayıtlar) denetimine ilişkin bir ilke kararı yayımladı. Kararda ayrı bir yürürlük tarihi veya uyum süresi öngörülmedi.
Kararın temel tespitleri:
- İçeriğe erişmeden yalnızca trafik/log kayıtlarının işlenmesi de kişisel veri işlemedir; KVKK md. 4, 5, 6, 10 ve 12 uygulanır.
- İletişim aracının işverene ait olması sınırsız denetim yetkisi vermez. Denetimde kademelilik esastır; içeriğe erişim, log incelemesinin yetersiz kaldığı istisnai hâllerde ve somut şüpheyle sınırlı olarak gündeme gelebilir.
- Sürekli ve aralıksız gözetim ölçülü sayılmaz; çalışanın önceden bilgilendirilmediği gizli izleme hukuka aykırıdır.
- İş ilişkisindeki güç dengesizliği nedeniyle açık rıza kural olarak öncelikli hukuki dayanak olmamalıdır.
İK açısından anlamı
Aydınlatma metni ya da iş sözleşmesindeki genel bir “kurumsal e-posta denetlenebilir” cümlesi artık yeterli değildir. Kararın 7. maddesine göre:
yalnızca kurumsal e-posta hesabının işveren tarafından denetlenebileceği şeklindeki genel nitelikli bildirimlerin “bilgilendirme” koşulunu sağlamayacağı
Özel amaçlı kullanıma izin verilen işyerlerinde denetim, ayrılabildiği ölçüde yalnızca iş amaçlı iletişimle sınırlı tutulmalı; çalışanın özel nitelikteki yazışmaları denetim dışında bırakılmalıdır. Teknik erişim imkânı, çalışanın kişisel e-posta veya sosyal medya hesaplarına erişim yetkisi anlamına gelmez.
İşten ayrılma
İş ilişkisi bittiğinde hesap kural olarak aktif kullanıma ve yeni erişimlere kapatılmalı, hukuki dayanağı kalmayan veriler imha edilmelidir. İş sürekliliği veya olası bir uyuşmazlıkta savunma için sınırlı, süreli ve kayıt altına alınmış yönlendirme, otomatik cevap ve arşivleme uygulamaları somut olaya göre değerlendirilebilir. Yükümlülüklere uyulmadığı tespit edilirse KVKK md. 18 uyarınca idari işlem tesis edilecektir.