I. Giriş
Kurumsal e-posta hesapları ve çalışanlara zimmetlenen cihazlar, işin yürütülmesinde kullanıldığı gibi iç soruşturmalarda, bilgi güvenliği kontrollerinde ve işten ayrılma süreçlerinde işverenin başvurabileceği bilgileri de barındırmaktadır. Bu araçların işverene ait olması nedeniyle şirketlerde genel eğilim, bunlar üzerinde işverenin sınırsız bir denetim yetkisine sahip olduğu yönündedir. Oysa aynı araçlar çalışanın yazışmalarını ve zaman zaman kişisel ilişki ağını da yansıttığından, işverenin yapacağı denetimde kendi yönetim hakkı ile çalışanın kişisel verilerinin korunmasını isteme hakkı ve haberleşme hürriyeti arasındaki dengenin gözetilmesi gerekmektedir.
Kişisel Verileri Koruma Kurulu, bu dengenin hangi usul ve esaslarla kurulacağını 8 Ekim 2026’da Resmî Gazete’de yayımlanan 16 Eylül 2026 tarihli ve 2026/2035 sayılı İlke Kararı (“İlke Kararı”) ile belirlemiştir. Buna göre iletişim araçlarının işverene ait olması ya da işverenin bu araçlara teknik olarak erişebilmesi, ona çalışanların yazışmalarını dilediği gibi denetleme yetkisi vermemektedir. İlke Kararı, bu esaslara uyulmaması hâlinde veri sorumluları hakkında idari işlem tesis edileceğini de açıkça belirtmektedir. Bu nedenle işverenlerin kullanım politikalarını, aydınlatma metinlerini, iç soruşturma yöntemlerini ve işten ayrılan çalışanların hesaplarına ilişkin uygulamalarını gecikmeksizin gözden geçirmesi gerekmektedir.
II. Teknik Erişim Ve Denetim Yetkisi
Kurulun yaklaşımına göre işverenin denetim yetkisi, 6698 sayılı Kişisel Verilerin Korunması Kanunu’ndaki (“Kanun”) şartlardan doğmaktadır. Denetim yetkisi bu şartlara dayandığından, yazışmaların içeriğine hiç bakılmadan yalnızca kimin kime ve ne zaman e-posta gönderdiğini gösteren kayıtların incelenmesi de bu şartlara bağlıdır. Nitekim Kurul, trafik ve log kayıtlarının işlenmesini de başlı başına bir kişisel veri işleme faaliyeti sayarak Kanun’daki genel ilkelere, işleme şartlarına, aydınlatma ve veri güvenliği yükümlülüklerine tabi tutmaktadır. İlke Kararı’nın ölçütleri, somut olayın özelliklerine göre kurum içi mesajlaşma uygulamaları, müşteri ilişkileri ve talep yönetim sistemleri ile toplantı platformlarındaki sohbet ve kayıt alanları gibi iş için kullanılan diğer kanallar bakımından da uygulanacaktır.
Teknik erişim ile denetim yetkisi arasındaki ayrım, şirket cihazları üzerinden ulaşılabilen kişisel hesaplar bakımından daha da belirgindir. Kurul, işverenin bir cihaz, oturum, ağ veya kurumsal sistem üzerinde teknik yetkiye sahip olmasının, çalışanın kişisel e-posta hesabındaki, kişisel mesajlaşma uygulamasındaki veya sosyal medya mesaj kutusundaki yazışmalara serbestçe erişebileceği anlamına gelmediğini açıkça belirtmektedir.
III. Özel Kullanım Yasağı Ve Ölçülülük
İlke Kararı, işverenin yönetim hakkı kapsamında iletişim araçlarının özel amaçlı kullanımına ilişkin kurallar koyabileceği kabul edilmekle birlikte, bu kuralların açık, anlaşılır ve çalışan tarafından bilinebilir olmasını, getirilen yasak veya sınırlamanın da çalışana açıkça duyurulmasını şart koşmaktadır. Ancak özel kullanıma ilişkin yasak konması, tek başına sınırsız bir denetim hakkı vermek için yeterli görülmemektedir.
Nitekim Kurul, özel kullanımın açık ve aydınlatma yapılarak yasaklandığı hâllerde dahi işverenin denetim yetkisinin ölçülülük ilkesiyle bağlı olduğunu, sürekli, aralıksız gözetim yapamayacağını belirtmektedir. Yasak ihlalinin içerik dışındaki unsurlardan anlaşılabildiği hâllerde yazışma içeriğine ayrıca erişilmesi de gerekli ve orantılı görülmemektedir. Özel kullanıma izin veren işverenin hareket alanı ise daha kısıtlıdır: İlke Kararı’na göre bu durumda iş amaçlı iletişim özel iletişimden ayrılabiliyorsa denetim yalnızca iş amaçlı iletişimle sınırlı tutulmalı, ayrılamıyorsa işverenin denetim yetkisi daha dar yorumlanmalıdır.
IV. Kullanım Politikası, Aydınlatma Ve Açık Rıza
Kullanım politikasında veya aydınlatma metninde kurumsal e-posta hesaplarının işveren tarafından denetlenebileceğini belirtmekle yetinen bir işveren, İlke Kararı karşısında çalışanı yeterince bilgilendirmiş sayılmayacaktır. Kurul bu tür genel nitelikli bildirimleri ne önceden bilgilendirme ne de aydınlatma için yeterli görmekte, aydınlatma metninde denetimin hukuki sebebinin, amacının ve kapsamının, trafik kayıtları üzerinden mi yoksa içerik üzerinden mi yürütüleceğinin, içeriğe hangi hâllerde erişilebileceğinin, saklama süresinin ve çalışanın haklarının somut olarak gösterilmesini aramaktadır. Kurul, bu şekilde bilgilendirilmeyen çalışanın kişisel verilerine ve haberleşme hürriyetine müdahale edilmeyeceği yönünde makul bir beklenti taşıyacağının gözetilmesini istediğinden, aydınlatma metni yetersiz olan işverenin sonradan yapacağı denetimlerin hukuka uygunluğu kanaatimizce tartışmalı hâle gelecektir. Çalışanın bilgisi dışında yürütülen gizli izleme ile çalışanın tüm işlemlerini ayrım gözetmeksizin kaydeden araçlar ise Kurulca doğrudan hukuka aykırı sayılmaktadır.
Denetimin dayanağı olarak çalışanlardan açık rıza alınması da kural olarak bir çözüm değildir. Kurul, iş ilişkisindeki bağımlılık ve taraflar arasındaki güç dengesizliği nedeniyle açık rızanın e-posta denetiminde kural olarak öncelikli hukuki sebep olarak esas alınmaması gerektiğini belirtmekte, denetimin somut olayın koşullarına göre hukuki yükümlülük, hakkın tesisi, kullanılması veya korunması ya da meşru menfaat şartlarından birine dayandırılabileceğini kabul etmektedir. Ancak bu şartlardan birine dayanılması da denetimin yöntemine ilişkin sınırları ortadan kaldırmamaktadır.
V. İçerik Denetimi Ve İç Soruşturmalar
İlke Kararı’nın işverenler bakımından en somut sınırlaması, denetimde kademeliliğin esas alınmasıdır: Kurul, işverenin meşru amacına daha az müdahaleci bir yolla ulaşabildiği hâllerde daha ağır bir denetim yöntemine başvuramayacağını, iletişim araçlarının kötüye kullanılması filtreleme veya engelleme gibi teknik yollarla önlenebiliyorsa genel bir denetim hakkının da doğmayacağını belirtmektedir.
Bu yaklaşım karşısında işveren, bir şüphe üzerine çalışanın posta kutusunun tamamını taramak yerine önce trafik kayıtlarını incelemeli, içeriğe erişim gerekiyorsa incelemeyi şüpheye konu yazışmalarla sınırlı tutmalıdır. Nitekim Kurul, içerik denetimini çalışanın özel hayatına ve haberleşme hürriyetine yönelen en yoğun müdahale olarak nitelendirmekte, yazışmaların içeriğine ancak trafik kayıtlarının yetersiz kaldığı ve içeriğe erişimin zorunlu olduğu istisnai hâllerde, somut bir şüphe bulunduğunda ve bu şüpheyle sınırlı olarak başvurulabileceğini belirtmektedir. Kurul ayrıca incelemede özel nitelikli kişisel verilerin ve yazışmaların muhataplarına ait verilerin gözetilmesini, elde edilen verilere yalnızca yetkilendirilmiş sınırlı sayıda personelin erişmesini, erişimlerin kayıt altına alınmasını ve bu personelin gizlilik yükümlülüğüne tabi tutulmasını aramaktadır.
VI. Ayrılan Çalışanın Posta Kutusu
İlke Kararı, işten ayrılan çalışanın posta kutusunu gelen e-postaların takibi için açık tutmak isteyen işverenin beklentisinin aksine, hesabın kapatılmasını asıl, açık tutulmasını istisna saymaktadır. Buna göre iş ilişkisi sona erdiğinde hesap kural olarak çalışanın kullanımına ve yeni erişimlere kapatılmalı, gelen iletiler ilgisiz kişilerce görüntülenmemeli ve hukuki sebebi kalmayan veriler imha edilmelidir. Kurul, yönlendirme, otomatik cevap, arşivleme veya muhafaza uygulamalarının iş sürekliliği, kurumsal iletişimin aksamaması, savunma hakkı veya mevzuattan doğan yükümlülükler amacıyla ve sınırlı, süreli, erişim yetkileri belirlenmiş ve kayıt altına alınmış oldukları ölçüde somut olayın koşullarına göre değerlendirilebileceğini belirtmektedir. Bu da söz konusu uygulamaların işverene tanınmış genel bir imkân değil, her olayda gerekçesi gösterilmesi gereken bir istisna olduğu anlamına gelmektedir.
VII. Genel Değerlendirme
İlke Kararı karşısında işverenlerin iletişim denetimini olağan bir yönetim aracı olarak değil, şartları önceden belirlenmiş istisnai bir yol olarak ele alması gerekmektedir. Bu nedenle kullanım politikalarında özel kullanıma izin verilip verilmediği ve sınırları açıkça yazılmalı, aydınlatma metinleri Kurulun saydığı unsurları içerecek biçimde güncellenmeli, iç soruşturma prosedürlerinde içerik incelemesine hangi şüphe üzerine, kimin onayıyla ve hangi kapsamda başvurulacağı önceden belirlenmelidir. İşten ayrılma sürecinde de hesabın kapatılma zamanı ile muhafaza edilecek yazışmaların imha tarihi önceden kararlaştırılmalıdır; Kurulun aradığı sınırlı ve süreli muhafaza şartı karşısında ayrılan çalışanın hesabının süresiz olarak açık tutulması kanaatimizce İlke Kararı ile bağdaşmamaktadır.
Kurul, İlke Kararı’na uyulmadığının tespiti hâlinde Kanun’un 18’inci maddesi uyarınca idari işlem tesis edileceğini belirtmektedir. Bu madde, aydınlatma yükümlülüğüne, veri güvenliğine ilişkin yükümlülüklere ve Kurul kararlarına aykırılık için ayrı ayrı idari para cezası öngörmektedir. İlke Kararı, denetimle elde edilen yazışmaların iş davasında delil olarak kullanılıp kullanılamayacağını veya bunlara dayanan bir feshin geçerliliğini düzenlememektedir. Bununla birlikte Kurulun ölçütlerine aykırı bir denetimle elde edilen yazışmalara dayanan işverenin delil ve fesih bakımından itirazla karşılaşması mümkün olduğundan, bu iki husus her dosyada iş hukuku bakımından ayrıca incelenmelidir.
