Kişisel Verileri Koruma Kurumu çalışan iletişimlerinin denetlenmesine ilişkin ilke kararı yayımladı

Kişisel Verileri Koruma Kurumu’nun 2026/2035 sayılı ve 16 Eylül 2026 tarihli İlke Kararı, 8 Ekim 2026 tarihinde Resmî Gazete’de yayımlandı.

Karar, işverenlerin yönetim ve gözetim yetkileri ile çalışanların kişisel verilerinin korunması, özel hayatın gizliliği ve haberleşme özgürlüğü hakları arasındaki dengeyi gözeterek, işverenlerce kurumsal e-posta hesaplarının ve işin yürütülmesi amacıyla çalışanlar tarafından kullanılan diğer iletişim kanallarının denetlenmesinde uyulması gereken temel ilkeleri belirlemektedir.

Kurum, özellikle iletişim içeriklerine erişilmeksizin yalnızca trafik veya log kayıtlarının incelenmesinin dahi 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında kişisel veri işleme faaliyeti teşkil ettiğini açıklığa kavuşturmaktadır. Bu doğrultuda, işverenlerin söz konusu veri işleme faaliyetlerini uygun bir hukuki sebebe dayandırmaları, çalışanları önceden yeterli şekilde bilgilendirmeleri, meşru bir amacın varlığını ve gerçekleştirilen denetim faaliyetlerinin gerekli ve ölçülü olmasını sağlamaları gerekmektedir. İletişim içeriklerine erişim ise kural olarak daha az müdahaleci yöntemlerin yetersiz kaldığı durumlar ile sınırlı tutulmalıdır.

Karar, bilgi güvenliğinin sağlanması, mevzuata uyum, iç denetim, iş yeri soruşturmaları ve işverenler ile çalışanlar arasında ortaya çıkan uyuşmazlıklar veya hukuki süreçler gibi amaçlarla kurumsal iletişim kanallarını denetleyen işverenler bakımından yol gösterici açıklamalar içermektedir. Ayrıca Karar ile iş ilişkisinin sona ermesinin ardından kurumsal e-posta hesaplarının yönetimine ilişkin hususlar da ele alınmaktadır.

Karar’da öngörülen ilkelere uyulmaması, somut olayın koşullarına bağlı olarak işverenleri KVKK’nın 18. maddesi uyarınca idari para cezası riskiyle karşı karşıya bırakacaktır.

Karar’da ortaya konulan temel prensipler aşağıda ayrıntılı olarak ele alınmaktadır.

Kurumsal iletişim kanallarının işveren tarafından denetlenmesi

Karar, işverenlerin denetleyebileceği iletişim kanallarının yalnızca kurumsal e-posta hesaplarıyla sınırlı olmadığını; kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları, müşteri ilişkileri veya talep yönetim sistemleri ile toplantı platformlarındaki sohbet ve kayıt alanları gibi işin yürütülmesi amacıyla kullanılan diğer iletişim araçlarını da kapsadığını açıklamaktadır.

Söz konusu iletişim araçlarının işverene ait olması, işyerinde kullanılması veya işverenin bu araçlara teknik olarak erişebilmesi işverene tek başına sınırsız bir denetim ve inceleme yetkisi tanımamaktadır.

Denetimin izin verilen kapsamı belirlenirken iletişim araçlarının iş amaçlı ve özel amaçlı kullanımı arasındaki ayrımın gözetilmesi gerekmektedir. İşverenler, yönetim hakları kapsamında kurumsal iletişim araçlarının kişisel amaçlarla kullanımını yasaklayabilir veya koşullara bağlayabilir. Ancak bu yöndeki kuralların çalışanlara önceden açık ve anlaşılır şekilde bildirilmesi gerekmektedir.

Kişisel kullanımın yasaklandığı durumlarda dahi iletişim içeriklerine erişim her durumda haklı görülemeyecektir. Örneğin, kullanım yasağının ihlal edildiğinin trafik veya log kayıtları üzerinden tespit edilebildiği durumlarda yazışma içeriklerine ayrıca erişilmesi ölçüsüz bir müdahale oluşturabilecektir. Kişisel kullanıma izin verilen durumlarda ise denetimin mümkün olduğunca iş amaçlı iletişimler ile sınırlandırılması ve çalışanların özel yazışmalarının kapsam dışında tutulması gerekmektedir.

Denetim faaliyetlerinin KVKK kapsamında değerlendirilmesi

Yukarıda belirtildiği üzere, kurumsal e-posta hesaplarının iletişim içeriklerine erişilmeksizin yalnızca trafik veya log kayıtları üzerinden denetlenmesi dahi kişisel veri işleme faaliyeti oluşturmaktadır. Dolayısıyla denetimin kapsamı ve yönteminden bağımsız olarak, KVKK’nın 4. maddesindeki genel ilkelere, 5. ve 6. maddelerindeki veri işleme şartlarına ve 12. maddesindeki veri güvenliği yükümlülüklerine uyulması gerekmektedir.

Karar’da, iş ilişkisindeki güç dengesizliği nedeniyle çalışanların açık rızasının denetim faaliyetleri bakımından kural olarak öncelikli hukuki dayanak olarak tercih edilmemesi gerektiği de vurgulanmaktadır. Somut olayın şartlarına göre hukuki yükümlülüğün yerine getirilmesi, bir hakkın tesisi, kullanılması veya korunması ve veri sorumlusunun meşru menfaati gibi diğer veri işleme şartları değerlendirilebilir.

Bununla birlikte, uygun bir veri işleme şartının bulunması tek başına yeterli olmayıp denetimin amacıyla bağlantılı, gerekli ve ölçülü olması da gerekmektedir.

Çalışanların önceden bilgilendirilmesi ve aydınlatma yükümlülüğü

Karar, denetim faaliyetleri hakkında çalışanların bilgilendirilmesine özellikle önem atfetmektedir. Kurumsal e-posta hesaplarının işveren tarafından denetlenebileceğine ilişkin genel nitelikte bir bilgilendirme yapılması tek başına yeterli değildir. Çalışanlar denetimin kapsamı hakkında yeterli şekilde bilgilendirilmedikleri durumlarda, iletişimlerinin gizliliği bakımından makul bir mahremiyet beklentisi içerisinde olabilirler.

Karar, Anayasa Mahkemesi içtihadı kapsamında öngörülen önceden bilgilendirme şartı ile KVKK uyarınca aydınlatma yükümlülüğü arasında açık bir ayrım yapmaktadır. Çalışanlara önceden yapılan her bilgilendirme, KVKK anlamında usulüne uygun bir aydınlatma olarak kabul edilmeyecektir. Bununla birlikte KVKK’da öngörülen gereklilikleri karşılayan ve denetim faaliyetine ilişkin açık bilgiler içeren usulüne uygun bir aydınlatma metninin çalışanlara sunulması, aynı zamanda Anayasa Mahkemesi tarafından getirilen önceden bilgilendirme şartını da karşılayabilecektir.

Bu doğrultuda, işverenlerin soyut ve genel ifadelerin ötesine geçen; özellikle veri işleme faaliyetinin hukuki sebebini, denetimin amacını ve kapsamını, denetimin trafik veya log kayıtlarının incelenmesi yoluyla mı yoksa iletişim içeriklerine erişilerek mi gerçekleştirileceğini, iletişim içeriklerine hangi durumlarda erişilebileceğini, uygulanacak saklama sürelerini ve çalışanların KVKK’nın 11. maddesi kapsamındaki haklarını açık, anlaşılır ve somut bir şekilde ortaya koyan kapsamlı bir aydınlatma metninin çalışanlara sunulmasını sağlamaları gerekmektedir.

Trafik verilerinin incelenmesi ve iletişim içeriklerine ölçülü erişim

Karar uyarınca, denetim faaliyetlerinde daha az müdahaleci yöntemler öncelikli olarak tercih edilmelidir. İletişim içeriklerine erişim yalnızca trafik veya log kayıtlarının incelenmesinin yetersiz kaldığı ve öngörülen amaca ulaşılması bakımından iletişim içeriğine erişimin gerekli olduğu durumlarda değerlendirilmelidir.

İletişim içeriklerinin denetlenmesi, somut gerekçelere dayanmalı ve inceleme konusu olayla sınırlı tutulmalıdır; genel ve sürekli nitelikteki denetim faaliyetlerinden kaçınılmalıdır ve iletişim araçlarının amacı dışında kullanılmasının filtreleme veya engelleme gibi teknik tedbirlerle önlenebildiği durumlarda, iletişim içeriklerinin denetlenmesine başvurulmamalıdır. İletişim içeriklerine erişimin gerekli olduğu hâllerde ise yazışmalarda yer alan özel nitelikli kişisel verilerin ve üçüncü kişilere ait kişisel verilerin korunmasına gereken özen gösterilmelidir.

Gizli izleme yöntemleri ve veri güvenliğine ilişkin yükümlülükler

Çalışanların bilgisi dışında gerçekleştirilen izleme faaliyetleri ve ayrım gözetilmeksizin tüm iletişimlerin kaydedilmesi hukuka aykırıdır. Denetimlerin, çalışanlara önceden bildirilen amaç, kapsam ve yöntemlerle sınırlı olarak yürütülmesi gerekmektedir.

İşverenler ayrıca, denetim faaliyetleri kapsamında elde edilen kişisel verilere erişimin yalnızca yetkili personelle sınırlandırılmasını, erişim kayıtlarının tutulmasını ve ilgili personelin gizlilik yükümlülüklerine tabi olmasını sağlamalıdır.

İş ilişkisinin sona ermesinin ardından kurumsal e-posta hesaplarının yönetimi

İş ilişkisinin sona ermesinin ardından, çalışanlara tahsis edilen kurumsal e-posta hesapları kullanıma kapatılmalı ve yetkisiz erişime karşı korunmalı; işlenmeye devam edilmesi için hukuki bir sebep bulunmayan kişisel veriler ise imha edilmelidir.

Bununla birlikte, iş sürekliliğinin sağlanması, hukuki uyuşmazlıklarda hakların korunması veya mevzuattan kaynaklanan yükümlülüklerin yerine getirilmesi gibi amaçlarla, gerekli ve ölçülü olması kaydıyla, belirli bir süreyle sınırlı olmak üzere e-postaların yönlendirilmesi, otomatik yanıtların kullanılması, arşivleme ve saklama tedbirlerinin uygulanması mümkündür. Bu hâllerde, erişim yetkileri uygun şekilde sınırlandırılmalı ve ilgili faaliyetlere ilişkin kayıtlar tutulmalıdır.

İşverenlerce dikkat edilmesi gereken önemli hususlar

Karar doğrultusunda işverenlerin aşağıdaki hususları gözden geçirmeleri önem arz etmektedir:

• Kurumsal iletişim araçlarına erişim, bu araçların kullanımı ve denetlenmesine ilişkin iş sözleşmelerinde, iş yeri politikalarında ve iç prosedürlerde yer alan kural ve yükümlülükler; özellikle söz konusu düzenlemelerde iletişim araçlarının iş amaçlı ve kişisel kullanımı arasındaki ayrımın ve bu kuralların izin verilen denetim faaliyetlerine etkilerinin açıkça ortaya konulup konulmadığı;
• Çalışanlara yönelik aydınlatma metinleri ve denetim faaliyetleri hakkında çalışanlara sağlanan bilgiler;
• İşten ayrılan çalışanların kurumsal iletişim hesaplarına ilişkin uygulamalar;
• Farklı denetim faaliyetlerinin dayandırıldığı hukuki sebepler; özellikle bu faaliyetlerden herhangi birinin, genellikle uygun olarak değerlendirilmeyen bir dayanak olan çalışanların açık rızasına dayanıp dayanmadığı; ve
• İzleme faaliyetleri kapsamında elde edilen kişisel verilere ilişkin uygulanan teknik ve idari tedbirler; özellikle bu verilere erişimin yalnızca yetkili personelle sınırlandırılıp sınırlandırılmadığı ve verilere erişim yetkisi bulunan kişilerin uygun gizlilik yükümlülüklerine tabi olup olmadığı.

İç soruşturmalar bakımından değerlendirme

Kurumsal iletişim kanallarının ve şirket cihazlarının incelenmesi, iç soruşturmalar kapsamında iddia edilen hukuka veya iş yeri kurallarına aykırı davranışlara ilişkin bilgi ve delil elde edilmesinde başvurulan temel yöntemlerden biridir. Söz konusu incelemeler, iş ilişkisi devam ederken veya sona ermesinin ardından gerçekleştirilebilmekte olup bu incelemeler sonucunda elde edilen veriler, iş sözleşmelerinin feshi, disiplin süreçleri ve suç duyuruları da dâhil olmak üzere sonraki hukuki süreçlerde sıklıkla destekleyici delil olarak kullanılmaktadır.

İşverenin meşru menfaatleri, bir hakkın tesisi, kullanılması veya korunması ya da hukuki yükümlülüklerin yerine getirilmesi, iç soruşturmalar sırasında gerçekleştirilen kişisel veri işleme faaliyetleri bakımından KVKK uyarınca hukuki sebep teşkil edebilecek olmakla birlikte, ölçülülük, önceden bilgilendirme ve kademeli erişim ilkeleri de dâhil olmak üzere Karar’da belirlenen gereklilikler bu süreçlerde de geçerliliğini korumaktadır. Bu doğrultuda, iç soruşturma yürüten işverenlerin soruşturma süreç ve prosedürlerinin Karar’da belirlenen ilkelere uygun olmasını sağlamaları önem taşımaktadır.