Kişisel Verileri Koruma Kurulu (KVKK), çalışanların kurumsal e-posta hesapları ve iş amacıyla kullandıkları iletişim araçlarının işverenler tarafından denetlenmesine ilişkin önemli bir ilke kararı yayımladı. 8 Ekim 2026 tarihli Resmî Gazete’de yayımlanan karara göre, işverenler çalışanların e-posta hesaplarını keyfî ve sınırsız şekilde inceleyemeyecek. Denetimlerde çalışanların özel hayatı, haberleşme özgürlüğü ve kişisel verilerinin korunması esas alınacak.
İşverenin Denetim Yetkisine Sınır Getirildi
Kişisel Verileri Koruma Kurulunun 16 Eylül 2026 tarihli ve 2026/2035 sayılı ilke kararı, 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete’de yayımlandı.
Kararla birlikte, işverenlerin çalışanlarına tahsis ettiği kurumsal e-posta hesapları başta olmak üzere, işin yürütülmesi amacıyla kullanılan iletişim kanallarını hangi şartlar altında denetleyebileceği açıklığa kavuşturuldu.
Kurul, kurumsal e-posta hesabının işverene ait olmasının, işverene çalışanların tüm yazışmalarını sınırsız biçimde inceleme hakkı vermediğini vurguladı.
Çalışanların E-Postaları Hangi Şartlarda İncelenebilecek?
Karara göre işverenlerin kurumsal e-posta hesaplarında denetim yapması tamamen yasaklanmadı. Ancak denetimin hukuka uygun olabilmesi için belirli şartların yerine getirilmesi gerekiyor.
Buna göre:
- Çalışanlar önceden bilgilendirilecek: E-posta hesaplarının hangi amaçlarla ve nasıl denetlenebileceği çalışanlara açık şekilde bildirilecek.
- Denetimin hukuki gerekçesi bulunacak: İşveren, denetimin neden gerekli olduğunu ortaya koyacak.
- Ölçülülük ilkesi gözetilecek: Denetim, ulaşılmak istenen amaç için gerekli olan sınırları aşamayacak.
- Öncelikle trafik verileri incelenecek: E-posta içeriklerinin okunması yerine, mümkün olduğu ölçüde daha az müdahaleci yöntemler tercih edilecek.
- Özel yazışmalar korunacak: İşle ilgili yazışmalar ile çalışanın özel iletişimi arasında ayrım yapılacak.
- Sınırsız ve belirsiz denetim yapılamayacak: Çalışanların bütün yazışmalarının sürekli ve genel biçimde incelenmesinden kaçınılacak.
Çalışanın Haberi Olmadan E-Postaları Okunabilecek mi?
Kararda dikkat çeken konulardan biri de çalışanların önceden bilgilendirilmesi oldu.
Kurul, işverenlerin çalışanlara yalnızca genel ifadelerle bilgi vermesinin yeterli olmadığını belirtti.
Çalışana, denetimin amacı, kapsamı, yöntemi, hangi verilere erişileceği ve kişisel verilerin ne kadar süre saklanacağı konusunda açık bilgilendirme yapılması gerekiyor.
Ayrıca çalışanların denetim hakkında önceden bilgilendirilmiş olması, işverene her türlü yazışmayı inceleme konusunda sınırsız yetki vermeyecek.
E-posta içeriklerinin incelenmesi için daha güçlü ve somut gerekçelerin bulunması gerekecek.
Gizli ve Sürekli İzleme Uygulamalarına Dikkat!
Kurul kararında, çalışanların önceden bilgilendirilmediği gizli izleme yöntemleri ile çalışanların tüm işlemlerinin ayrım gözetilmeksizin kaydedildiği denetim uygulamalarının hukuka uygun olmadığı vurgulandı.
İşverenlerin çalışanların bütün iletişim faaliyetlerini sürekli takip etmesi, genel ve sınırsız içerik incelemesi yapması hukuka aykırılık oluşturabilecek.
Bununla birlikte işverenler, kurumsal iletişim araçlarının kötüye kullanılmasını önlemek amacıyla filtreleme, engelleme ve benzeri teknik tedbirlerden yararlanabilecek.
Kamu Kurumlarında Çalışan Personeli de İlgilendiriyor
Karar yalnızca özel sektör çalışanları bakımından değil, kamu kurumlarında kurumsal e-posta ve iş amaçlı iletişim sistemlerini kullanan personel açısından da önem taşıyor.
Bakanlıklar, üniversiteler, kamu hastaneleri, belediyeler ve diğer kamu kurumlarında kullanılan kurumsal e-posta sistemlerinin denetlenmesinde de kişisel verilerin korunmasına ilişkin hükümler dikkate alınacak.
657 sayılı Devlet Memurları Kanunu’na tabi memurlar, 4/B sözleşmeli personel ve 4857 sayılı İş Kanunu kapsamında çalışan 4/D sürekli işçiler bakımından da kişisel verilerin korunması ve haberleşme özgürlüğü önem taşıyor.
Bu nedenle kamu kurumlarında kurumsal e-posta hesaplarına erişim, çalışan yazışmalarının incelenmesi ve iletişim faaliyetlerinin takip edilmesi konusunda hukuka uygun yöntemlerin uygulanması gerekiyor.
İşten Ayrılan Personelin E-Postaları da Koruma Altında
Kararda, iş ilişkisi sona erdikten sonra çalışanlara tahsis edilmiş kurumsal e-posta hesaplarında gerçekleştirilen kişisel veri işleme faaliyetlerinin de ayrıca değerlendirilmesi gerektiği belirtildi.
Buna göre çalışanın işten ayrılması, eski kurumsal e-posta hesabındaki bütün verilere işverenin sınırsız erişebileceği anlamına gelmeyecek.
İşverenlerin bu hesaplarla ilgili işlemlerinde de hukuki dayanak, gereklilik ve ölçülülük ilkelerini dikkate alması gerekecek.
İşverenler ve Kamu Kurumları Bundan Sonra Ne Yapacak?
Yayımlanan ilke kararı, işverenlerin mevcut kurumsal e-posta ve iletişim denetimi uygulamalarını gözden geçirmelerini gerektirebilecek.
Özellikle çalışanlara yapılan bilgilendirmelerin yeterliliği, denetim yetkisi bulunan kişilerin belirlenmesi, erişim kayıtlarının tutulması ve e-posta içeriklerinin hangi durumlarda incelenebileceği önem kazanacak.
Kurumların yalnızca genel bir bilgilendirme metni hazırlaması yeterli olmayacak; denetimin kapsamını, gerekçesini ve uygulanacak yöntemi açık biçimde ortaya koyması gerekecek.
Sonuç: İşveren Denetleyebilir Ancak Sınırsız Yetkiye Sahip Değil
8 Ekim 2026 tarihli Resmî Gazete’de yayımlanan karar, işverenlerin çalışanlarına tahsis ettikleri kurumsal iletişim araçları üzerindeki denetim yetkisinin sınırlarını netleştirdi.
Kararın en önemli sonucu, kurumsal e-posta hesabının işverene ait olmasının çalışanların kişisel verilerinin ve haberleşme özgürlüğünün ortadan kalkması anlamına gelmediğinin vurgulanması oldu.
İşverenler, işin yürütülmesi ve kurum güvenliğinin sağlanması amacıyla denetim gerçekleştirebilecek. Ancak bunu yaparken çalışanları önceden bilgilendirmek, hukuki gerekçeye dayanmak ve özel hayata mümkün olan en az müdahaleyi gerçekleştirmek zorunda olacak.
Kaynak: 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete – Kişisel Verileri Koruma Kurulunun 16/09/2026 tarihli ve 2026/2035 sayılı İlke Kararı.
