Kişisel Verileri Koruma Kurulunun 16 Eylül 2026 tarihli ve 2026/2035 sayılı ilke kararı, çalışanlara tahsis edilen kurumsal e-posta hesapları başta olmak üzere iş amacıyla kullanılan iletişim kanallarının denetlenmesini ele alıyor. Karar 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete'de yayımlandı.
İşverenin işyerindeki sistemleri yönetme, ticari bilgileri koruma ve somut olayları araştırma ihtiyacı olabilir. Buna karşılık çalışanların kişisel verileri, özel hayatı ve haberleşme özgürlüğü de koruma altında. Kurulun yaklaşımı denetimi tümüyle yasaklamıyor; yöntem ve kapsamı açısından hukuka uygunluğunun değerlendirilmesini istiyor.
Aynı teknik işlem nasıl iki farklı karara konu oldu?
Anayasa Mahkemesi, 17 Eylül 2020 tarihli E.Ü. kararında (Başvuru No. 2016/13010), bir avukatlık ortaklığında çalışan kişinin kurumsal e-posta hesabının disiplin soruşturmasında incelenmesi ve yazışmaların işten çıkarma sürecinde kullanılması nedeniyle kişisel verilerin korunmasını isteme hakkı ile haberleşme hürriyetinin ihlal edildiğine karar verdi.
Mahkeme, çalışanın denetim hakkında önceden yeterince bilgilendirildiğinin ortaya konulamaması, içerik incelemesinin neden gerekli olduğunun açıklanamaması ve incelemenin kapsamı gibi hususları değerlendirdi.
Buna karşılık 12 Ocak 2021 tarihli Celal Oraj Altunörgü kararında (Başvuru No. 2018/31036), özel bir bankada çalışan kişinin kurumsal e-posta yazışmalarına ilişkin denetim bakımından ilgili anayasal hakların ihlal edilmediğine hükmedildi. Bu dosyada iş sözleşmesindeki kullanım ve denetim hükümleri, önceden bilgilendirme ve somut denetimin koşulları önem taşıdı.
İki kararın varlığı, kurumsal e-postanın her durumda okunabileceği veya hiçbir durumda incelenemeyeceği şeklinde bir sonuç vermiyor. Hukuki değerlendirme, işverenin amacı ve seçtiği yöntemin koşullarına bağlı.
İmza atılan politika ile yeterli aydınlatma farklı olabilir
2026/2035 sayılı kararın önemli ayrımlarından biri, Anayasa Mahkemesi kararlarında ele alınan önceden bilgilendirme ile 6698 sayılı Kanun'un 10'uncu maddesindeki aydınlatma yükümlülüğünün aynı kavramlar olmadığı.
Bir çalışana 'kurumsal e-postanız denetlenebilir' denmesi, tüm veri işleme faaliyetlerinin yeterince açıklandığını otomatik olarak göstermiyor. Gerçek denetimin amacı, yöntemi, işleme şartı, kapsamı, verilere kimlerin erişebileceği ve saklama koşulları gibi hususların uygun şekilde açıklanması gerekebilir.
Bu ayrım, yıllar önce hazırlanmış bilgi teknolojileri kullanım politikaları için özellikle önemli. Şirket sonradan yeni bir filtreleme, izleme veya inceleme sistemi devreye aldıysa çalışanlara verilen bilgilerle fiilen gerçekleşen işlemler birbirinden uzaklaşmış olabilir. Yönetimin kontrol etmesi gereken yalnızca 'metin imzalandı mı?' değil, 'metin kullanılan sistemi doğru anlatıyor mu?' sorusudur.
Log kayıtlarına bakmak da kişisel veri işleme olabilir
Bir şirket mesajların içeriğini açmadan da çalışanın kiminle, hangi saatte ve ne sıklıkta iletişim kurduğuna ilişkin bilgiler görebilir. Kurul, trafik ve erişim kayıtlarının denetlenmesinin de kişisel veri işleme faaliyeti olabileceğini açıkça belirtiyor.
Ancak bu, içerik incelemesiyle log denetiminin aynı ağırlıkta olduğu anlamına gelmiyor. Kurul kademeli denetimi benimsiyor: Aynı meşru amaca daha az müdahaleci bir yöntemle ulaşmak mümkünse daha ağır yönteme başvurulmamalı.
Varsayımsal bir örnekte şirketten belirli bir dosyanın dışarı çıkarıldığı şüphesi oluştuğunu düşünelim. İlgili dosyanın erişim ve aktarım kayıtları olayı aydınlatmaya yetebilir. Bu durumda bütün çalışan yazışmalarının açılmasına neden ihtiyaç duyulduğu ayrıca sorgulanmalıdır. İçerik denetimi ise kural olarak somut şüphe veya belirli olayla bağlantılı meşru amaçla ve onun sınırlarında ele alınmalı.
Bu örnek genel bir inceleme izni veya yasak listesi değil, daha az müdahaleci yöntemlerin önce değerlendirilmesi gerektiğini açıklayan kurgusal bir senaryodur.
Özel kullanımın yasaklanması denetimi sınırsızlaştırmıyor
Kurul, iş iletişim araçlarının özel kullanımına ilişkin kuralların açık ve anlaşılır biçimde çalışanlara duyurulmasını istiyor. İşveren özel kullanımı yasaklamış olsa bile her içerik incelemesi kendiliğinden ölçülü sayılmıyor. Özel iletişim ile iş iletişimi ayrıştırılabiliyorsa denetimin iş amaçlı iletişimle sınırlı tutulması; bunların ayrıştırılamadığı durumlarda ise denetim yetkisinin daha dar yorumlanması önem taşıyor.
Buna ek olarak şirket cihazından veya ağından kişisel bir e-posta hesabına teknik olarak erişilebiliyor olması, özel haberleşme alanlarının serbestçe incelenebileceği anlamına gelmiyor. Teknik erişim imkânı ile hukuki erişim yetkisi ayrı ayrı değerlendirilip birlikte yönetilmeli.
Yazışmada yalnızca çalışanın verileri bulunmayabilir
Kurumsal bir e-posta hesabında müşteri, tedarikçi ve başka çalışanlara ait kişisel bilgiler bulunabilir. Yazışma ekleri sağlık bilgileri gibi özel nitelikli kişisel veriler de içerebilir. Kurul bu nedenle incelemenin üçüncü kişiler bakımından sonuçlarının da göz önünde bulundurulmasını istiyor.
Bu gerçek, iç soruşturmanın sınırlarını belirlerken önem taşır. Bir olaya ilişkin delili aramakla ilgisiz bütün iletişim geçmişini erişime açmak aynı şey değildir. İncelemeyi yapacak personelin görev ve yetki sınırları belirlenmeli, erişim kayıtları tutulmalı ve gizlilik yükümlülükleri güvenceye alınmalı.
Açık rıza bütün eksikleri kapatan bir belge değil
Kurul, iş ilişkisindeki bağımlılık ve güç dengesini dikkate alarak çalışan açık rızasının denetimlerde kural olarak öncelikli işleme dayanağı yapılmaması gerektiğini vurguluyor. Bu, iş ilişkisinde verilen her açık rızanın geçersiz olduğu anlamına gelmiyor. Ancak rızanın özgür iradeyle verilip verilmediği ve somut işlemenin hangi hukuki şarta dayandığı değerlendirilmelidir.
Geçerli işleme şartı bulunsa dahi amaçla bağlantılılık, sınırlılık, ölçülülük ve veri güvenliği yükümlülükleri önemini korur. Başka bir ifadeyle hukuki dayanak, her türlü erişimi otomatik olarak meşru hâle getirmez.
Denetim talebinden önce cevaplanması gereken soru
İşverenin denetim ihtiyacını bütünüyle ortadan kaldırmak gerçekçi değil. Kurul da böyle bir sonuç açıklamıyor. Fakat talebin doğduğu an ile çalışanın verilerine erişildiği an arasında gerekçe, kapsam ve yetki bakımından denetlenebilir bir süreç bulunması gerekir.
YaKa'nın önerdiği yönetim yaklaşımı, her denetim talebinde dört soruyu kayıt altına almaktır: Hangi olay araştırılıyor? Daha sınırlı hangi yöntemler değerlendirildi? İçerik incelemesi gerçekten gerekli mi? Erişimi kim onayladı ve kim gerçekleştirdi? Bu dört soru Kurulun birebir tanımladığı zorunlu bir form değil; resmî ilkelerin iç kontrole çevrilmesine yönelik editoryal bir çerçevedir.
Kurul, aykırılık hâlinde somut olayın koşullarının değerlendirileceğini ve 6698 sayılı Kanun'un 18'inci maddesi kapsamında işlem tesis edilebileceğini belirtiyor. Şirketlerin işi yalnızca imza alınan politikalara bırakmaması, gerçek işleyiş ile bu belgelerin uyumunu denetlemesi bu yüzden önemli.
Bir şirketin denetim sistemi güçlü olabilir; yine de yanlış soruyu soruyor olabilir. 'Bu e-postayı açabiliyor muyuz?' sorusu teknik bir sorudur. Yönetimin cevaplaması gereken soru, 'Bunu neden, hangi sınırlar içinde ve hangi hukuki gerekçeyle yapıyoruz?' olmalıdır.