İşveren, çalışanına verdiği kurumsal e-posta hesabını denetleyebilir; ancak bu yetki sınırsız değildir. Kişisel Verileri Koruma Kurulu, 16 Eylül 2026 tarihli ve 2026/2035 sayılı İlke Kararı ile bu denetimin sınırlarını on altı maddede belirledi. Karar, 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete’de yayımlandı.

Kararın üç temel sonucu var. “Kurumsal e-postalar işverence denetlenebilir” şeklindeki genel bir bildirim artık yeterli sayılmıyor. Yazışmaların içeriğine yalnızca somut şüphe bulunan hâllerde ve iddiayla sınırlı olarak erişilebiliyor. Çalışanın önceden bilgilendirilmediği gizli izleme ise hukuka aykırı kabul ediliyor.

Karar neyi kapsıyor?

Kararın merkezinde kurumsal e-posta hesapları var, ancak kapsam bununla sınırlı değil. Kurul, işin yürütülmesi amacıyla kullanılan diğer iletişim kanallarının da somut olayın özelliklerine göre denetime konu olabileceğini belirtiyor:

• Kurum içi mesajlaşma uygulamaları
• Kurumsal anlık iletişim hesapları
• Müşteri ilişkileri veya talep yönetim sistemleri
• Toplantı platformlarındaki sohbet ve kayıt alanları

Kişisel kullanıma da elverişli uygulamalarda ise üç husus ayrıca değerlendirilecek: hesabın işveren tarafından iş amacıyla tahsis edilip edilmediği, çalışanın kişisel hesabı üzerinden kullanılıp kullanılmadığı ve çalışanın makul mahremiyet beklentisi.

Kararın dayanağı 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 15’inci maddesinin altıncı fıkrasıdır. Bu hükme göre Kurul, şikâyet üzerine veya resen yaptığı inceleme sonucunda ihlalin yaygın olduğunu tespit ederse ilke kararı alır ve yayımlar. Karar oy çokluğuyla alınmıştır.

Kurulun hareket noktası

Kurul, kurumsal e-posta hesabını basit bir iletişim aracı olarak görmüyor. Karara göre bu hesap, çalışanın mesleki ve zaman zaman kişisel ilişki ağını, çalışma örüntüsünü ve yazışma içeriklerini barındıran bir veri kaynağıdır.

Bu nedenle denetim, iki hukuki değer arasında denge kurulmasını gerektiren bir kişisel veri işleme faaliyetidir. Bir yanda işverenin yönetim hakkı, diğer yanda çalışanın Anayasa’nın 20’nci maddesindeki kişisel verilerin korunmasını isteme hakkı ile 22’nci maddesindeki haberleşme hürriyeti bulunur.

Kurul iki noktayı açıkça vurguluyor. İletişim araçlarının işverene ait olması ya da işyerinde bulunması, işverene tek başına sınırsız ve mutlak bir denetim yetkisi tanımaz. Ayrıca içeriğin denetlenmesi, trafik verisinin denetlenmesine kıyasla daha ağır bir gerekçe gerektirir.

Kurul bu ölçütleri Anayasa Mahkemesi ve Avrupa İnsan Hakları Mahkemesi kararlarına dayandırıyor: çalışanın önceden açık biçimde bilgilendirilmesi, meşru amaç, amaçla sınırlılık, ölçülülük ve daha az müdahaleci yolların önceliği. Karar metninde bu kararların adı anılmıyor. Ölçütler, AYM’nin 17/9/2020 tarihli E.Ü. kararı (B. No: 2016/13010) ile AİHM Büyük Dairesinin 5/9/2017 tarihli Bărbulescu/Romanya kararında (B. No: 61496/08) benimsenen yaklaşımla örtüşüyor.

Kurulun belirlediği esaslar

Karar on altı maddeden oluşuyor. Aşağıda bu maddeler konularına göre gruplandırılmış, her başlıkta ilgili madde numaraları gösterilmiştir.

1. Yalnızca log kaydına bakmak da kişisel veri işlemedir (m.1)

İşveren e-postanın içeriğine hiç erişmese bile, trafik ve log kayıtlarını işlemesi başlı başına bir kişisel veri işleme faaliyetidir. Kimin kime, ne zaman, hangi sıklıkla yazdığı bilgisi bu kapsamdadır.

Bu nedenle denetim, ister trafik verisine ister içeriğe yönelsin, Kanun’un dört temel yükümlülüğüne tabidir: genel ilkeler (m.4), işleme şartları (m.5 ve m.6), aydınlatma yükümlülüğü (m.10) ve veri güvenliği (m.12).

2. İş amaçlı kullanım ile özel amaçlı kullanım ayrılır (m.2 ve m.3)

Denetimin kapsamı belirlenirken iletişim aracının kullanım amacına bakılır. İşveren özel amaçlı kullanımı yasaklamış, belirli sınırlar içinde serbest bırakmış ya da bu konuda hiçbir düzenleme yapmamış olabilir. Her biri denetimin hukuka uygunluğu bakımından farklı sonuç doğurur.

İşveren, yönetim hakkı kapsamında özel kullanıma ilişkin kural koyabilir. Ancak bu kurallar açık, anlaşılır ve çalışan tarafından bilinebilir olmalı; yasak ya da sınırlama çalışana açıkça duyurulmalıdır.

Kurulun özel kullanıma ilişkin tespitleri şöyle:

• Özel kullanım yasaksa: Denetim yetkisi yine ölçülülük ilkesiyle sınırlıdır. Sürekli ve aralıksız gözetim ölçülü kabul edilmez. Yasağın ihlal edildiği içerik dışı unsurlardan anlaşılabiliyorsa, içeriğe ayrıca erişilmesi gerekli ve orantılı sayılmaz.
• Özel kullanıma izin verilmişse: İş amaçlı ve özel amaçlı iletişim ayrılabiliyorsa denetim yalnızca iş amaçlı iletişimle sınırlı tutulur. Çalışanın özel nitelikteki yazışmaları denetim dışında bırakılır.
• İkisi ayrılamıyorsa: İşverenin denetim yetkisi daha dar yorumlanır.

3. Teknik imkân, hukuki yetki demek değildir (m.4)

İşverenin bir cihaz, oturum, ağ ya da kurumsal sistem üzerinde teknik yetkiye sahip olması, çalışanın özel iletişim alanlarına serbestçe erişebileceği anlamına gelmez. Kişisel e-posta hesabı, kişisel anlık mesajlaşma uygulaması ve sosyal medya mesaj kutusu bu alanlar arasındadır.

Kurulun ifadesiyle teknik erişim imkânı ile hukuki erişim yetkisi birbirinden ayrılmalıdır. Çalışanın iş bilgisayarında kişisel hesabını açık bırakmış olması, işverene o hesabı okuma hakkı vermez.

4. Genel bildirim yetmez, somut aydınlatma gerekir (m.5, m.6 ve m.7)

Çalışanın denetim hakkında önceden bilgilendirilmiş olması, denetimin hukuka uygunluğunda belirleyici unsurlardan biridir. Kurul burada iki kavramı ayırıyor: Anayasa Mahkemesi içtihadında aranan bilgilendirme ile Kanun’un 10’uncu maddesindeki aydınlatma yükümlülüğü birebir aynı değildir. Her bilgilendirme aydınlatma sayılmayabilir. Buna karşılık 10’uncu maddenin unsurlarını taşıyan, denetimin amacını, kapsamını ve yöntemini anlatan usulüne uygun bir aydınlatma, önceden bilgilendirme şartını da karşılayabilir.

Aydınlatma metni soyut ve genel ifadelerle yetinemez. Şu hususları açık, anlaşılır ve somut biçimde içermelidir:

• Veri işlemenin hukuki sebebi, amacı ve kapsamı
• Denetimin trafik/log kayıtlarının incelenmesiyle mi, içerik denetimiyle mi yürütüleceği
• İçeriğe hangi hâllerde erişilebileceği
• Verilerin saklama süresi
• Çalışanın Kanun’un 11’inci maddesindeki hakları

Kararın uygulamada en çok ses getirecek tespiti buradadır. Yalnızca “kurumsal e-posta hesabı işveren tarafından denetlenebilir” diyen genel nitelikli bir bildirim, bilgilendirme koşulunu sağlamaz ve aydınlatma yükümlülüğünün yerine getirildiği sonucunu doğurmaz. Böyle bir durumda çalışanın, kişisel verilerine ve haberleşme hürriyetine müdahale edilmeyeceği yönünde makul bir beklenti taşıdığı kabul edilir.

5. Açık rıza öncelikli dayanak değildir (m.8)

İş ilişkisindeki bağımlılık ve taraflar arasındaki güç dengesizliği nedeniyle, çalışanın açık rızası e-posta denetimi bakımından kural olarak öncelikli hukuki dayanak alınmamalıdır. Açık rızaya dayanılıyorsa, rızanın özgür iradeyle açıklanıp açıklanmadığı somut olay özelinde ayrıca incelenir.

Kurul, somut olayın koşullarına göre Kanun’un 5’inci maddesinin ikinci fıkrasındaki üç işleme şartına dayanılabileceğini belirtiyor:

• (ç) bendi: veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için veri işlemenin zorunlu olması
• (e) bendi: bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması
• (f) bendi: ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için veri işlemenin zorunlu olması

Bu şartların varlığı da işverene sınırsız bir denetim yetkisi tanımaz.

6. Kademelilik: içeriğe erişim son çaredir (m.9, m.10, m.11 ve m.12)

Denetim, Kanun’un 4’üncü maddesindeki genel ilkelere uygun yürütülür: hukuka ve dürüstlük kurallarına uygun, belirli, açık ve meşru bir amaca dayalı, bu amaçla bağlantılı, sınırlı ve ölçülü.

Kurul denetimde kademeliliği esas alıyor. İşveren meşru amacına daha az müdahaleci bir yolla ulaşabiliyorsa daha ağır yönteme başvuramaz. Karardan çıkan sıra şöyledir:

1. Teknik önlemler. Kötüye kullanım filtreleme, engelleme gibi teknik yollarla önlenebiliyorsa işverenin genel bir denetim hakkı doğmaz.
2. Trafik ve log denetimi. İçeriğe girmeden yapılan inceleme, içerik denetiminden önce gelir.
3. İçerik denetimi. Ancak trafik verisi denetiminin yetersiz kaldığı ve içeriğe erişimin zorunlu olduğu istisnai hâllerde gündeme gelir.

İçerik denetimi, çalışanın özel hayatına ve haberleşme hürriyetine yönelen en yoğun müdahaledir. Bu nedenle daha güçlü ve somut bir meşru gerekçe gerektirir. Yalnızca somut şüphe bulunan hâllerde ve iddiayla sınırlı olarak yapılabilir. Kapsamı belirsiz, genel ve süreklilik arz eden içerik incelemesinden kaçınılmalıdır.

İçerik denetiminde iki risk ayrıca gözetilir. İletinin gövdesinde veya eklerinde Kanun’un 6’ncı maddesi anlamında özel nitelikli kişisel veri bulunabilir. Yazışmalar çoğu kez muhatapların kişisel verilerini de içerdiğinden, denetimin üçüncü kişilerin verileri üzerindeki etkisi de dikkate alınır.

7. Gizli izleme hukuka aykırıdır (m.13)

Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri hukuka aykırı sayılır. Aynı sonuç, çalışanın bütün işlemlerini ayrım gözetmeksizin kaydeden araçlarla yürütülen denetim için de geçerlidir. Denetim, çalışanın bilgisi dâhilinde ve öngörülebilir bir çerçevede yürütülmelidir.

8. Verilere kim erişir, ne kadar saklanır? (m.9 ve m.14)

Denetimle elde edilen verilere yalnızca bu görevle yetkilendirilmiş sınırlı sayıda personel erişebilir. Erişim yetkisi görev tanımlarıyla belirlenir, erişim kayıtları tutulur ve verilere erişen kişiler gizlilik yükümlülüğü altına alınır. Veriler yalnızca amacın gerektirdiği süreyle saklanır.

9. İş ilişkisi sona erdiğinde (m.15)

Çalışan işten ayrıldıktan sonra hesaba ilişkin veri işlemenin hukuki dayanağı yeniden değerlendirilir. Kural şudur:

• Hesap, çalışanın aktif kullanımına ve yeni erişimlere kapatılır.
• Hesaba gelen iletilerin ilgisiz kişilerce görüntülenmesine imkân verilmez.
• Hukuki dayanağı kalmayan kişisel veriler imha edilir.

Kurul bu kurala sınırlı bir esneklik tanıyor. İş sürekliliğinin sağlanması, kurumsal iletişimin aksamaması, hukuki uyuşmazlıklarda savunma hakkının kullanılabilmesi veya mevzuattan doğan yükümlülüklerin yerine getirilmesi için yönlendirme, otomatik cevap, arşivleme veya muhafaza uygulamaları somut olaya göre değerlendirilebilir. Bu uygulamaların sınırlı, süreli, erişim yetkileri belirlenmiş ve kayıt altına alınmış olması gerekir.

10. Yaptırım (m.16)

Bu yükümlülüklere uyulmadığı tespit edilirse Kurul, somut olayın özelliklerini dikkate alarak inceleme yapacak ve Kanun’un 18’inci maddesi uyarınca ilgili veri sorumluları hakkında idari işlem tesis edecektir. Anılan madde idari para cezalarını düzenler.

İşverenler için ne değişiyor?

İlke kararında bir geçiş süresi öngörülmemiştir. Karardaki esaslar, mevcut uygulamaların şu başlıklarda gözden geçirilmesini gerektiriyor:

• Aydınlatma metni. İş sözleşmesine veya personel yönetmeliğine konulmuş tek cümlelik “e-postalar denetlenebilir” kaydı yeterli değildir. Metin; hukuki sebebi, amacı, kapsamı, denetim yöntemini, içeriğe erişim hâllerini, saklama süresini ve 11’inci maddedeki hakları somut biçimde göstermelidir.
• Kullanım politikası. Kurumsal iletişim araçlarının özel amaçla kullanılıp kullanılamayacağı açık biçimde düzenlenmeli ve çalışanlara duyurulmalıdır.
• Hukuki sebep. Denetim yalnızca çalışandan alınmış açık rızaya dayandırılmışsa, dayanak yeniden değerlendirilmelidir.
• Denetim usulü. Önce teknik önlemler, sonra trafik ve log incelemesi, en son ve yalnızca somut şüphe hâlinde içerik denetimi gelecek şekilde kademeli bir usul belirlenmelidir.
• İzleme yazılımları. Çalışanın bütün işlemlerini ayrım gözetmeksizin kaydeden araçlar ile çalışanın haberdar edilmediği izleme yöntemleri hukuka aykırı sayılmaktadır.
• Erişim yetkileri. Denetim verilerine erişebilecek personel görev tanımıyla belirlenmeli, erişim kayıtları tutulmalı, gizlilik yükümlülüğü getirilmelidir.
• İşten ayrılma süreci. Ayrılan çalışanın hesabının kapatılması, yönlendirme veya otomatik cevap süresi ve verilerin imhası yazılı bir usule bağlanmalıdır.

Çalışanlar için ne anlama geliyor?

Karar, çalışana kurumsal hesabında da korunan bir mahremiyet alanı bulunduğunu teyit ediyor. Usulüne uygun biçimde aydınlatılmamış bir çalışanın, yazışmalarına müdahale edilmeyeceği yönünde makul bir beklenti taşıdığı kabul ediliyor.

Çalışan, Kanun’un 11’inci maddesi uyarınca işverenden kişisel verilerinin işlenip işlenmediğini, hangi amaçla işlendiğini ve kimlere aktarıldığını öğrenebilir. Şartları varsa verilerin silinmesini ve uğradığı zararın giderilmesini isteyebilir.

Başvuru yolu iki aşamalıdır:

1. Veri sorumlusuna başvuru (m.13). Talep önce işverene iletilir. İşveren talebi en geç otuz gün içinde sonuçlandırır.
2. Kurula şikâyet (m.14). Başvuru reddedilir, cevap yetersiz bulunur veya süresinde cevap verilmezse Kurula şikâyette bulunulabilir. Süre, cevabın öğrenildiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gündür.

İlke kararı fesih uyuşmazlıklarını doğrudan düzenlemiyor. Bununla birlikte denetimin hukuka uygun olup olmadığı, bu yolla elde edilen yazışmalara dayanılan fesihlerde de tartışılan bir konudur.

Bu yazı genel bilgilendirme amacıyla hazırlanmıştır; hukuki görüş veya danışmanlık niteliği taşımaz.