KURUL KARARI

Kişisel Verileri Koruma Kurumundan:

İşverenler Tarafından Çalışanlara Tahsis Edilen Kurumsal E-Posta Hesapları Başta Olmak Üzere, İşin Yürütülmesi Amacıyla Kullanılan İletişim Kanallarının Denetlenmesi Suretiyle Gerçekleştirilen Kişisel Veri İşleme Faaliyetlerinde Uyulması Gereken Usul ve Esaslar Hakkında İlke Kararı

Karar Tarihi: 16/09/2026

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 15. maddesinin altıncı fıkrası, “Şikâyet üzerine veya resen yapılan inceleme sonucunda, ihlalin yaygın olduğunun tespit edilmesi hâlinde Kurul, bu konuda ilke kararı alır ve bu kararı yayımlar…” şeklinde bir düzenlemeye sahiptir. Ayrıca, aynı Kanun’un 22. maddesinin birinci fıkrasının (e), (f) ve (g) bentlerinde, Kurulun veri güvenliğine ilişkin yükümlülükleri belirleme ve veri sorumlusunun görev ve sorumluluklarına dair düzenleyici işlemler yapma yetkisi tanınmıştır.
Bu bağlamda, işverenler tarafından çalışanlara tahsis edilen kurumsal e-posta hesapları ve işin yürütülmesi amacıyla kullanılan diğer iletişim kanalları üzerindeki denetim faaliyetleri hakkında Kurul tarafından bazı tespit ve değerlendirmeler gerçekleştirilmiştir.
Kurum, çalışanlara ayrılan kurumsal e-posta hesaplarını yalnızca bir iletişim aracı olarak değil, aynı zamanda çalışanın mesleki ve kişisel ilişki ağını, çalışma alışkanlıklarını ve yazışma içeriklerini içeren bir veri kaynağı olarak değerlendirmiştir. İlgili hesapların işveren tarafından denetlenmesi, çalışanın kişisel verilerinin korunmasına duyulan hak ile işverenin yönetim hakkı arasında bir denge sağlanmasını gerektiren bir kişisel veri işleme sürecidir. Bunun yanı sıra, işyeri iletişim kanalları sadece kurumsal e-postalarla sınırlı kalmamaktadır. Kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları gibi diğer araçlar da denetim altında bulunabilir. Ayrıca, çalışanın kişisel kullanımına uygun olan bu araçların hangi amaçla tahsis edildiği ve çalışanın makul mahremiyet beklentileri de göz önünde bulundurulmalıdır.
Yalnızca e-posta trafik/log kayıtlarının işlenmesi bile, işveren açısından bir kişisel veri işleme faaliyeti kabul edilmektedir. Dolayısıyla, e-posta denetimi; hem trafik verilerine hem de içerik verilerine erişimi içeren bir durumdur ve bu süreç, 6698 sayılı Kanun’un genel ilkelerine, aydınlatma yükümlülüğüne ve veri güvenliği kurallarına tabi olmaktadır.
İletişim araçlarının işverene ait olması, mutlak bir denetim yetkisi anlamına gelmemektedir. Anayasa Mahkemesi ve Avrupa İnsan Hakları Mahkemesi, işverenin denetim yetkisinin, çalışanın bilgilendirilmesi, meşru bir amaca dayanması ve ölçülülük gibi kriterlerle sınırlı olduğunu belirtmişlerdir. Ayrıca, içerik denetimi yapmak için daha güçlü gerekçelere ihtiyaç duyulmaktadır.
Bu çerçevede, işverenlerin kişisel veri işleme faaliyetlerinde aşağıdaki hususlara dikkat etmeleri gerektiği belirtilmiştir:
1. Kurumsal e-posta hesaplarının denetlenmesi, yalnızca trafik/log kayıtlarının işlenmesi durumunda bile bir kişisel veri işleme faaliyeti oluşturur ve her durumda 6698 sayılı Kanun’un ilgili maddelerine tabi olacaktır. İşverenin sınırsız denetim yetkisi yoktur.
2. Denetim faaliyetinin kapsamı belirlenirken, işyeri iletişim araçlarının “iş amaçlı kullanım” ve “özel amaçlı kullanım” şeklinde iki kategoriye ayrılması önemlidir. İşverenin özel amaçlı kullanımı yasaklaması veya sınırlaması, denetimin hukuka uygunluğunu etkileyebilir.
3. İşveren, işyeri iletişim araçlarını özel amaçlı kullanımına dair kurallar belirleyebilir; ancak bu kuralların açık, anlaşılır olması ve çalışana duyurulması gerekir.
4. İşverenin belirli teknik erişim imkânları, çalışanın kişisel iletişim alanlarına erişim yetkisi tanımamaktadır; hukuki erişim ile teknik erişim yetkisinin ayrı değerlendirilmesi gerekmektedir.
5. Denetim faaliyetinin hukuka uygunluğu açısından çalışanın bilgilendirilmesi kritik önemdedir. Her bilgilendirme, 6698 sayılı Kanun’daki aydınlatma yükümlülüğünü sağlamayabilir.
6. Aydınlatma yükümlülüğünün, genel ifadelerin ötesinde, kişisel veri işleme faaliyeti ile ilgili hukuki sebepleri, kapsamı ve yöntemlerini somut bir şekilde içermesi gerekmektedir.
7. Çalışan, denetim faaliyetleri hakkında önceden bilgilendirilmediğinde kişisel verilerine müdahale edilmediği beklentisini taşımaktadır. Kurumsal e-postanın denetlenebileceğine dair genel bildirimler yeterli olmayacaktır.
8. İş ilişkisindeki güvenden dolayı açık rıza, e-posta denetiminde geçerli bir dayanak olmamalıdır. Rızanın kesinliği, somut olay özelinde değerlendirilecektir.
9. Denetim, 6698 sayılı Kanun’un genel ilkelerine uygun, meşru bir amaca yönelik, sınırlı ve ölçülü şekilde yürütülmelidir.
10. Denetim yöntemleri, işverenin hedeflediği amaca daha az müdahaleci bir yolla ulaşabileceği durumlarda daha hafif olmalıdır; içeriğe erişim ancak somut gerekçelerle yapılmalıdır.
11. İçerik denetimi, çalışanın özel hayatına müdahaleyi artırdığından, yalnızca somut şüphe ve iddia ile sınırlı kalmalıdır.
12. İçerik denetimi yapılırken, kişisel verilerin korunması açısından risklerin dikkatlice değerlendirilmesi gerekmektedir.
13. Gizli izleme yöntemleriyle yürütülen denetim, çalışanın bilgisi dâhilinde gerçekleşmelidir; aksi halde hukuka aykırı olabilir.
14. Kurumsal e-posta hesaplarına erişim, yalnızca yetkilendirilmiş personelle sınırlanmalı ve erişim kayıtları tutulmalıdır. Ayrıca, erişen kişilerin gizlilik yükümlülüğü olmalıdır.
15. İş ilişkisinin sona ermesinin ardından, kurumsal e-posta hesabıyla ilgili veri işleme faaliyetlerinin hukuki dayanığının gözden geçirilmesi gereklidir, kişisel verilerin doğru bir şekilde yönetilmesi ve saklama süresinin belirlenmesi önemlidir.
16. Yukarıda belirtilen yükümlülüklere uyulmadığının tespiti halinde, gerekli incelemeler yapılacak ve idari işlem uygulanacaktır.
Bu bağlamda kamuoyunun bilgilendirilmesi amacıyla, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 15. maddesinin altıncı fıkrası doğrultusunda İlke Kararı alınmasına ve bu karan Resmi Gazete ile Kurumun internet sitesinde yayımlanmasına oy çokluğu ile karar verilmiştir.