KVKK: İşveren çalışanın e-postasını ancak önceden bildirerek denetleyebilir
Kişisel Verileri Koruma Kurulu, işverenin kurumsal e-posta denetiminin sınırlarını çizdi: genel bir "e-postalar denetlenebilir" notu bilgilendirme sayılmayacak, sürekli içerik takibi ölçüsüz kabul edilecek.
Kısaca ne değişti?
- Yalnızca trafik/log kaydına bakmak bile kişisel veri işleme sayılıyor ve KVKK şartlarına tabi.
- İçerik denetimi ancak somut şüphe varsa ve iddiayla sınırlı yapılabilecek.
- "Kurumsal e-posta denetlenebilir" gibi genel bildirimler aydınlatma yükümlülüğünü karşılamayacak.
Kimleri etkiliyor: çalışanlar, işverenler, insan kaynakları birimleri, BT yöneticileri
Yürürlük: Kaynakta ayrı bir yürürlük tarihi belirtilmemiş; karar 16 Eylül 2026 tarihli, 8 Ekim 2026 tarihli Resmî Gazete'de yayımlandı.
Patronunuz iş e-postanızı açıp okuyabilir mi? Kişisel Verileri Koruma Kurulu, 16 Eylül 2026 tarihli ilke kararıyla yanıtı daralttı. Kurula göre e-postanın içeriğine hiç girmeden yalnızca kimin kime ne zaman yazdığını gösteren trafik kayıtlarına bakmak bile kişisel veri işlemedir.
“İletişim araçlarının işverene ait olması ya da işyerinde bulunması, tek başına işverene sınırsız ve mutlak bir denetim yetkisi tanımamaktadır.” Kişisel Verileri Koruma Kurulu
Karar, şikâyet ve incelemelerde ihlalin yaygın olduğu görülünce alınan bir ilke kararı. Yani işverenlerin uyması beklenen ortak kuralları koyuyor. Uyulmadığı tespit edilirse Kurum, KVKK'nın 18. maddesi uyarınca ilgili veri sorumluları hakkında idari işlem yapacak.
Kurul, denetimi kademeli bir yola bağladı. İşveren amacına daha az müdahaleci bir yolla ulaşabiliyorsa ağır yönteme geçemez. Filtreleme veya engelleme gibi teknik önlemler kötüye kullanımı önlüyorsa genel bir denetim hakkı doğmaz. İçeriğe erişim ise trafik denetimi yetmediğinde ve somut şüphe varken, yalnızca iddiayla sınırlı biçimde gündeme gelebilir.
Bilgilendirme de somutlaşıyor. İşveren; hukuki sebebi, amacı, trafik mi içerik mi denetleneceğini, içeriğe hangi hâllerde erişileceğini ve saklama süresini açıkça yazmalı. Çalışanın açık rızası ise iş ilişkisindeki güç dengesizliği nedeniyle kural olarak öncelikli dayanak sayılmıyor. Gizli izleme ve çalışanın tüm işlemlerini ayrım gözetmeden kaydeden araçlar hukuka aykırı kabul ediliyor.
İş bitince de kurallar sürüyor. Ayrılan çalışanın hesabı kural olarak aktif kullanıma kapatılmalı, gelen iletiler ilgisiz kişilerce görüntülenmemeli, dayanağı kalmayan veriler imha edilmeli. İş sürekliliği veya savunma hakkı gibi nedenlerle sınırlı, süreli ve kayıt altındaki yönlendirme ya da arşivleme ise somut olaya göre değerlendirilebilecek.
Eski ve yeni düzenleme
| Önceki | Yeni |
|---|---|
| Araç işverene aitse denetimin serbest olduğu yönünde yaygın anlayış | Aracın işverene ait olması tek başına sınırsız ve mutlak denetim yetkisi vermiyor |
| Sözleşmedeki genel "e-posta denetlenebilir" ifadesi | Amaç, kapsam, yöntem, saklama süresi ve hakları içeren somut aydınlatma gerekiyor |
Sık sorulan sorular
Çalışanın kişisel e-postası veya WhatsApp'ı da denetlenebilir mi?
Kurula göre işverenin cihaz, ağ veya sistem üzerindeki teknik yetkisi, kişisel e-posta, mesajlaşma uygulaması ya da sosyal medya mesaj kutusundaki yazışmalara serbestçe erişebileceği anlamına gelmiyor. Teknik erişim imkânı ile hukuki erişim yetkisi ayrı tutuluyor.
Özel kullanım yasaksa işveren yazışmaları okuyabilir mi?
Hayır, otomatik olarak okuyamaz. Yasak olsa bile denetim ölçülü olmak zorunda; sürekli ve aralıksız gözetim ölçülü sayılmıyor. Yasağın ihlali içerik dışı unsurlardan anlaşılıyorsa yazışma içeriğine ayrıca erişmek gerekli ve orantılı kabul edilmiyor.
Denetim verilerine kimler erişebilir?
Yalnızca bu görevle yetkilendirilmiş sınırlı sayıda personel. Erişim yetkisi görev tanımlarıyla belirlenmeli, erişim kayıtları tutulmalı ve verilere erişenler gizlilik yükümlülüğü altına alınmalı.
Bu içerik yapay zekâ desteğiyle hazırlanmış, editör kontrolünden geçmiştir.
Bu içerik genel bilgilendirme amaçlıdır; somut bir olaya ilişkin değerlendirme ve hukuki danışmanlık içermez.