KVKK'dan ilke kararı: çalışan e-postası ve iş yazışmalarının denetimine sınır

Kısaca

• İçeriğe bakmadan yalnızca trafik/log kayıtlarının incelenmesi de kişisel veri işleme sayılıyor ve KVKK yükümlülüklerine tabi.
• Denetimden önce çalışana somut bir aydınlatma yapılması gerekiyor; "kurumsal e-posta denetlenebilir" gibi genel bildirimler yeterli sayılmıyor.
• Gizli izleme ve çalışanın tüm işlemlerini ayrım gözetmeden kaydeden araçlarla yapılan denetim hukuka aykırı kabul ediliyor.

Kişisel Verileri Koruma Kurulu'nun 16 Eylül 2026 tarihli ve 2026/2035 sayılı ilke kararı, 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete'de yayımlandı. Karar, işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları başta olmak üzere işin yürütülmesi için kullanılan iletişim kanallarının denetlenmesini konu alıyor. Kurul, kurum içi mesajlaşma uygulamalarını, kurumsal anlık iletişim hesaplarını, müşteri ilişkileri veya talep yönetim sistemlerini ve toplantı platformlarındaki sohbet ve kayıt alanlarını da denetime konu olabilecek kanallar arasında sayıyor.

Karara göre iletişim araçlarının işverene ait olması veya işyerinde kullanılması, işverene sınırsız bir denetim yetkisi vermiyor. Denetimin belirli, açık ve meşru bir amaca dayanması, ölçülü olması ve kademeli yürütülmesi gerekiyor: işveren amacına daha az müdahaleci bir yolla ulaşabiliyorsa daha ağır yönteme başvuramıyor. İçeriğe erişim, ancak trafik verisi denetiminin yetersiz kaldığı istisnai hâllerde ve somut şüpheyle sınırlı olarak gündeme gelebiliyor. Kötüye kullanım filtreleme veya engelleme gibi teknik yollarla önlenebiliyorsa genel bir denetim hakkı doğmuyor.

Kurul, çalışanın açık rızasının iş ilişkisindeki güç dengesizliği nedeniyle kural olarak öncelikli hukuki dayanak alınmaması gerektiğini belirtiyor. Aydınlatmanın; işlemenin hukuki sebebini, amacını, kapsamını, denetimin log incelemesiyle mi içerik denetimiyle mi yapılacağını, içeriğe hangi hâllerde erişilebileceğini, saklama süresini ve çalışanın haklarını açık ve somut biçimde içermesi isteniyor. Teknik erişim imkânı olması da çalışanın kişisel e-posta, kişisel mesajlaşma uygulaması veya sosyal medya mesaj kutusuna erişim hakkı vermiyor.

Kararda, toplanan verilere erişimin yetkilendirilmiş sınırlı personelle kısıtlanması ve erişim kayıtlarının tutulması da isteniyor. İş ilişkisi sona erdiğinde kurumsal hesabın kural olarak kapatılması, hukuki dayanağı kalmayan verilerin imha edilmesi gerekiyor; iş sürekliliği için sınırlı ve süreli yönlendirme, otomatik cevap veya arşivleme uygulamaları somut olaya göre değerlendirilebiliyor. Yükümlülüklere uyulmadığı tespit edilirse Kanun'un 18. maddesi uyarınca idari işlem yapılacağı belirtiliyor.

Kimi etkiler?

Çalışanı olan ve müşteri yazışmalarını kurumsal e-posta, ortak WhatsApp hattı, canlı destek ya da talep yönetim sistemleri üzerinden yürüten e-ticaret işletmelerini doğrudan ilgilendiriyor. Bu kanallardaki yazışmaları inceleyen ya da kaydeden işletmelerin, çalışanlarına yaptıkları bilgilendirmeyi ve iç kurallarını karara göre gözden geçirmesi gerekiyor.

Ne yapmalı?

• İş iletişim kanallarının özel amaçla kullanılıp kullanılamayacağına dair kuralı yazılı ve açık hâle getirip çalışanlara duyurun.
• Çalışan aydınlatma metninizi denetimin yöntemi (log mu içerik mi), amacı ve saklama süresini içerecek şekilde güncelleyin.
• Müşteri destek ve e-posta kayıtlarına erişebilecek kişileri sınırlandırın, erişimleri kayıt altına alın.
• İşten ayrılan çalışanların kurumsal hesaplarını kapatma ve yönlendirme sürecinizi tanımlayın.