Kişisel Verileri Koruma Kurulunun
16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı, 8 Ekim 2026 tarihli ve
33394 sayılı Resmî Gazete’de yayımlanmıştır. İşverenler tarafından çalışanlara
tahsis edilen kurumsal e-posta hesapları başta olmak üzere, işin yürütülmesi
amacıyla kullanılan iletişim kanallarının denetlenmesi suretiyle
gerçekleştirilen kişisel veri işleme faaliyetlerinde uyulması gereken usul ve
esasları konu alan karar, işverenin yönetim ve denetim yetkisi ile çalışanın
özel hayatın gizliliği ve haberleşme hürriyeti arasındaki dengenin
gözetilmesine odaklanmaktadır.
Kurul, çalışanların kurumsal e-posta
hesaplarının içeriklerine erişilmeksizin yalnızca trafik ve log kayıtlarının
işlenmesinin dahi başlı başına bir kişisel veri işleme faaliyeti oluşturduğunu
belirtmiştir. Bu nedenle söz konusu denetim faaliyetlerinin, 6698 sayılı
Kişisel Verilerin Korunması Kanunu’nun 4. maddesinde düzenlenen genel ilkelere,
5. ve 6. maddelerinde yer alan kişisel veri işleme şartlarına, 10. maddesindeki
aydınlatma yükümlülüğüne ve 12. maddesindeki veri güvenliğine ilişkin
yükümlülüklere uygun yürütülmesi gerekmektedir. Ayrıca işverenin kullandırdığı
iletişim araçlarının mülkiyetine sahip olması veya bu sistemlere teknik erişim
imkânının bulunması, çalışanların iletişim içeriklerine sınırsız biçimde
erişilebileceği anlamına gelmemektedir.
Kararda, denetimin hukuka uygunluğunun
değerlendirilmesinde çalışanların denetimden önce açık ve anlaşılır biçimde
bilgilendirilmesinin önemine özellikle dikkat çekilmiştir. İşveren tarafından
yapılacak bilgilendirmenin; denetimin amacını, hukuki sebebini, kapsamını ve
yöntemini, trafik verilerinin mi yoksa iletişim içeriklerinin mi
inceleneceğini, verilere hangi durumlarda erişilebileceğini ve saklama süresini
içermesi gerektiği belirtilmiştir. Yalnızca kurumsal sistemlerin
denetlenebileceğine ilişkin genel nitelikte bildirimlerin, 6698 sayılı Kanun’un
10. maddesi kapsamındaki aydınlatma yükümlülüğünü kendiliğinden yerine
getirmeyeceği de vurgulanmıştır. Bunun yanında, işverenin işyerinde kullanılan
iletişim araçlarının kişisel amaçlarla kullanımına ilişkin kurallar
koyabileceği; ancak bu kuralların açık, anlaşılır ve çalışanlar tarafından
önceden bilinebilir olması gerektiği ifade edilmiştir.
Kurul, denetimde ölçülülük ve
kademelilik ilkelerinin esas alınması gerektiğini de ortaya koymuştur. Buna
göre işverenin meşru amacına daha az müdahaleci bir yöntemle ulaşmasının mümkün
olduğu durumlarda daha ağır denetim yöntemlerine başvurulmamalı; iletişim
içeriklerinin incelenmesi, trafik verilerinin denetiminin yetersiz kaldığı ve
içeriğe erişimin gerekli olduğu istisnai hâllerle sınırlı tutulmalıdır. İçerik
denetiminin çalışanın özel hayatına ve haberleşme hürriyetine daha yoğun bir
müdahale oluşturması nedeniyle, somut bir şüpheye ve belirli bir iddiaya
dayanması; kapsamı belirsiz, genel ve sürekli içerik incelemelerinden
kaçınılması gerektiği belirtilmiştir. Ayrıca denetim sonucunda elde edilen
verilere erişimin yalnızca bu konuda yetkilendirilmiş personelle
sınırlandırılması, erişim kayıtlarının tutulması ve verilere erişen kişilerin
gizlilik yükümlülüğüne tabi olması gerektiği açıklanmıştır.
Kararda, iş ilişkisinin sona ermesi
hâlinde çalışana tahsis edilen kurumsal e-posta hesabının ve bu hesaptaki
verilere erişimin nasıl yönetileceğine de yer verilmiştir. Kural olarak hesabın
çalışanın aktif kullanımına kapatılması ve hesaba yeni erişimlerin
engellenmesi; diğer yandan iş sürekliliğinin sağlanması, hukuki uyuşmazlıklarda
savunma hakkının kullanılması veya mevzuattan kaynaklanan yükümlülüklerin
yerine getirilmesi gibi amaçlarla yönlendirme, otomatik yanıt, arşivleme ve
muhafaza uygulamalarının somut olayın koşullarına göre değerlendirilmesi
gerektiği belirtilmiştir. Kurul, belirlenen yükümlülüklere aykırılık tespit
edilmesi hâlinde ilgili veri sorumluları hakkında 6698 sayılı Kanun’un 18.
maddesi uyarınca işlem tesis edilebileceğini de ifade etmiştir.
Kaynak: https://www.resmigazete.gov.tr/eskiler/2026/10/20261008-6.pdf
