Kısaca
İşveren, çalışana tahsis ettiği kurumsal e-posta hesabını sınırsız biçimde okuyamaz. Denetim; meşru amaca, uygun kişisel veri işleme şartına, önceden açık aydınlatmaya ve ölçülülüğe dayanmalıdır. Hesabın veya cihazın işverene ait olması tek başına hukuki erişim yetkisi vermez.
KVKK Kurulunun 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı, 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete'de yayımlandı. Karara göre yalnız trafik/log kayıtlarını incelemek de kişisel veri işlemedir; yazışma içeriğine erişim ise daha güçlü ve somut gerekçe gerektiren istisnai bir adımdır.
Karar hangi iletişim kanallarını kapsıyor?
Kararın kapsamı kurumsal e-postayla sınırlı değildir. İşin yürütülmesinde kullanılan kurum içi mesajlaşma, kurumsal anlık iletişim, müşteri ilişkileri veya talep yönetim sistemleri ve toplantı platformlarının sohbet ve kayıt alanları da somut olaya göre değerlendirilir.
Kişisel kullanıma elverişli uygulamalarda hesabın iş amacıyla tahsis edilip edilmediğine, çalışanın kişisel hesabının kullanılıp kullanılmadığına ve makul mahremiyet beklentisine ayrıca bakılır. Şirket cihazında açık kalan kişisel e-posta veya sosyal medya hesabına teknik olarak erişebilmek, içeriği serbestçe inceleme hakkı sağlamaz. (Karar: giriş ve esas 4.)
Meşru amaç ve ölçülülük nasıl belirlenir?
Önce denetimin hangi somut ihtiyacı karşılayacağı belirlenir. Örneğin bir bilgi güvenliği olayını araştırma ihtiyacı, bütün çalışanların bütün yazışmalarını süresiz okumanın gerekçesi olamaz. Denetimin amacı, kapsamı, süresi ve yöntemi birbiriyle uyumlu olmalıdır.
KVKK m.4 uyarınca işleme hukuka ve dürüstlük kurallarına uygun; belirli, açık ve meşru amaçla bağlantılı, sınırlı ve ölçülü yürütülür. Veriler yalnız gerekli süre boyunca saklanır. Daha az müdahaleci yöntem amaca yetiyorsa ağır yönteme geçilemez. Kötüye kullanım filtreleme veya engellemeyle önlenebiliyorsa bundan genel bir denetim hakkı doğmaz. (Esas 9–10.)
- Araştırılan olayı ve meşru amacı somutlaştırın.
- Önce daha az veri gerektiren yöntemleri değerlendirin.
- İlgili hesap, dönem ve veri türüyle kapsamı sınırlandırın.
- Erişecek kişileri ve saklama süresini belirleyin.
- Uygulamada gerekçe ve erişim kararını yazılı kayda bağlayın.
KVKK m.5: açık rıza otomatik çözüm değildir
İş ilişkisindeki bağımlılık ve güç dengesizliği nedeniyle çalışanın açık rızası, e-posta denetiminde kural olarak öncelikli hukuki dayanak alınmamalıdır. Rızaya dayanılıyorsa özgür iradeyle verilip verilmediği ayrıca incelenir. Aydınlatma metninin imzalanması da kendi başına açık rıza veya sınırsız denetim izni değildir.
Karar; somut koşullara göre KVKK m.5/2-ç kapsamında hukuki yükümlülüğün yerine getirilmesi için zorunluluk, m.5/2-e kapsamında bir hakkın tesisi, kullanılması veya korunması için zorunluluk ve m.5/2-f kapsamında temel hak ve özgürlüklere zarar vermeden meşru menfaat için zorunluluk şartlarının gündeme gelebileceğini belirtir. Bunlardan birinin varlığı da sınırsız yetki sağlamaz. ‘Şirketin menfaati var’ demek, zorunluluk ve çalışan hakları değerlendirmesinin yerine geçmez. (Esas 8.)
Çalışan önceden nasıl aydınlatılmalı?
‘Kurumsal e-postalar denetlenebilir’ şeklindeki genel bildirim yeterli değildir. Karar, önceden bilgilendirme ile KVKK m.10 anlamında aydınlatmanın birebir aynı kavram olmadığını vurgular. Kanuni unsurları ve denetimin amaç, kapsam ve yöntemini açıkça içeren usulüne uygun aydınlatma, önceden bilgilendirme şartını da karşılayabilir.
M.10 kapsamında veri sorumlusunun ve varsa temsilcisinin kimliği, işleme amacı, aktarım yapılabilecek kişiler ve amaçları, toplama yöntemi ve hukuki sebep ile m.11 hakları açıklanır. Denetim bakımından ayrıca trafik/log incelemesi mi içerik incelemesi mi yapılacağı, içeriğe hangi hâllerde erişileceği ve saklama süresi somut biçimde belirtilmelidir. İşleme başlamadan çalışan bu çerçeveyi anlayabilmelidir. (Esas 5–7.)
| Aydınlatma konusu | Pratik açıklama |
|---|---|
| Amaç ve hukuki sebep | Hangi ihtiyaç için, hangi işleme şartıyla veri işlendiği |
| Kapsam ve yöntem | Hangi sistem, hangi trafik/log verisi, hangi denetim yöntemi |
| İçerik erişimi | Hangi istisnai koşullarda ve hangi sınırlar içinde erişileceği |
| Saklama ve aktarım | Saklama süresi; aktarım yapılacak kişiler ve aktarım amacı |
| Haklar ve sorumlu | Veri sorumlusunun kimliği ve çalışanın KVKK m.11 hakları |
Trafik ve log kayıtları neden kişisel veridir?
E-posta gövdesi açılmasa bile çalışanla ilişkilendirilen gönderici, alıcı, işlem zamanı veya sistem erişim kaydı gibi bilgiler kişinin iletişimi ve çalışma örüntüsü hakkında bilgi verebilir. Bunların kaydedilmesi ve incelenmesi başlı başına veri işlemedir.
Bu nedenle ‘yalnız loglara bakıyoruz’ denilerek aydınlatma, hukuki sebep, ölçülülük, saklama süresi ve veri güvenliği yükümlülükleri dışarıda bırakılamaz. Trafik incelemesi içerik incelemesine göre daha az müdahaleci olabilir; yine de KVKK'ya tabidir. (Esas 1.)
E-posta içeriğine ne zaman erişilebilir?
Karar kademeli denetimi esas alır: içerik erişimi ancak trafik verisi denetiminin yetersiz kaldığı ve içeriğe erişimin zorunlu olduğu istisnai hâllerde gündeme gelebilir. İçerik denetimi daha güçlü ve somut bir meşru gerekçe gerektirir; yalnız somut şüphe bulunan hâllerde, iddiayla sınırlı yürütülmelidir.
Kapsamı belirsiz, genel ve süreklilik gösteren içerik incelemesinden kaçınılır. Gövde ve eklerde sağlık bilgisi gibi özel nitelikli kişisel veriler bulunabileceğinden KVKK m.6 şartları da gözetilir. Muhataplara ait üçüncü kişi verileri üzerindeki etkiler ayrıca dikkate alınır. (Esas 10–12.)
Özel kullanım yasağı ve sürekli gözetim
İşveren özel kullanımı yasaklayabilir veya belirli koşullara bağlayabilir; kurallar açık, anlaşılır, çalışan tarafından bilinebilir olmalı ve çalışana duyurulmalıdır. Yasak konulması, denetimde ölçülülük sınırını kaldırmaz. Sürekli ve aralıksız gözetim ölçülü kabul edilemez.
Yasağın ihlali içerik dışı unsurlardan anlaşılabiliyorsa yazışmayı ayrıca okumak gerekli ve orantılı kabul edilmez. Özel kullanıma izin verilen ve iş/özel iletişimin ayrılabildiği durumlarda denetim iş iletişimiyle sınırlanır; özel yazışmalar dışarıda tutulur. Ayrım yapılamıyorsa işverenin yetkisi daha dar yorumlanır. Önceden bildirilmeyen gizli izleme ve tüm işlemleri ayrım gözetmeden kaydeden araçlarla denetim hukuka aykırı sayılır. (Esas 2–3 ve 13.)
Veri güvenliği ve erişim yetkileri
KVKK m.12 çerçevesinde hukuka aykırı işleme ve erişimi önlemek, verilerin korunmasını sağlamak için gerekli teknik ve idari tedbirler alınır. İlke Kararı, denetimde elde edilen verilere erişimin görevle yetkilendirilmiş sınırlı personelle sınırlandırılmasını; yetkilerin görev tanımlarında belirlenmesini, erişim kayıtlarının tutulmasını ve erişen kişilerin gizlilik yükümlülüğü altında olmasını ister. (Esas 14.)
Uygulamada yetki matrisi, erişim onayı, güvenli saklama, erişimlerin düzenli kontrolü ve süre sonunda imha süreçleri birlikte tasarlanabilir. Teknik yönetici yetkisi, bütün yöneticilere yazışmaları okuma hakkı sağlamaz. Güvenlik için alınan tedbirin kendisi de amaçla sınırlı olmalıdır.
İşten ayrılan çalışanın hesabına ne olur?
İş ilişkisi bittikten sonra hesaba ilişkin veri işlemenin hukuki dayanağı ayrıca değerlendirilir. Kural olarak hesabın çalışanın aktif kullanımına ve yeni erişimlere kapatılması, gelen iletilerin ilgisiz kişilerce görülmesine izin verilmemesi ve hukuki dayanağı kalmayan kişisel verilerin imha edilmesi gerekir.
İş sürekliliği, kurumsal iletişimin aksamaması, uyuşmazlıkta savunma hakkı veya mevzuat yükümlülükleri için sınırlı, süreli, erişim yetkileri belirlenmiş ve kayıt altına alınmış yönlendirme, otomatik cevap, arşivleme veya muhafaza uygulamaları somut koşullara göre değerlendirilebilir. Karar herkese uygulanacak sabit bir gün sayısı veya süresiz erişim izni getirmez. (Esas 15.)
- Ayrılışta hesap ve sistem erişimlerini kapatma planını uygulayın.
- Her yönlendirme veya arşivleme için amacı, hukuki dayanağı ve süreyi ayrıca belirleyin.
- Yeni görevliye bütün posta kutusunu sınırsız açmak yerine gerekli iş iletişimini sınırlandırın.
- Yetkilileri, erişimleri ve süre sonunda imha işlemini kayıt altına alın.
İşveren için uygulama kontrol listesi
Aşağıdaki liste, İlke Kararı esaslarının uygulamaya aktarılması için kullanılabilir. Denetim süreci; işe giriş, hibrit çalışma politikası ve işten ayrılma prosedürüyle birlikte ele alınmalıdır.
- İş ve özel kullanım kurallarını açıkça belirleyip duyurun.
- Denetim amacını ve KVKK m.5 kapsamındaki dayanağı somut olay için değerlendirin.
- M.10 aydınlatmasını denetim başlamadan, yöntem ve istisnai içerik erişimi koşullarıyla tamamlayın.
- Daha az müdahaleci yönteme öncelik verin; içerik erişiminin zorunluluğunu ayrıca gerekçelendirin.
- Hesap, dönem, veri türü ve erişim yetkisini sınırlayın; özel nitelikli ve üçüncü kişi verilerini gözetin.
- Saklama süresi, veri güvenliği, erişim kaydı ve imha düzenini kurun.
- Ayrılış sonrası hesap işlemleri için ayrı hukuki dayanak ve süre kontrolü yapın.
Sık sorulan sorular
Kurumsal hesap işverene aitse bütün e-postalar okunabilir mi?
Hayır. Hesabın mülkiyeti sınırsız denetim yetkisi vermez. Meşru amaç, hukuki dayanak, önceden aydınlatma ve ölçülülük gerekir; içerik erişimi ayrıca istisnai ve somut gerekçeli olmalıdır.
Yalnız trafik/log kayıtları için de KVKK uygulanır mı?
Evet. İçerik açılmadan trafik/log kaydı işlenmesi de başlı başına kişisel veri işlemedir. Kanunun genel ilkeleri, işleme şartları, aydınlatma ve veri güvenliği yükümlülükleri uygulanır.
Çalışanın onayı bütün denetimleri hukuka uygun yapar mı?
Hayır. İş ilişkisindeki güç dengesizliği nedeniyle açık rıza kural olarak öncelikli dayanak alınmamalı; rızanın özgür iradeye dayanıp dayanmadığı incelenmelidir. Onay ölçüsüz veya sınırsız denetimi meşrulaştırmaz.
Özel kullanım yasaksa içerik sürekli izlenebilir mi?
Hayır. Yasak olsa da ölçülülük gerekir. Sürekli ve aralıksız gözetim uygun değildir; ihlal içerik dışı unsurlardan anlaşılıyorsa içeriği ayrıca incelemek gerekli ve orantılı kabul edilmez.
Ayrılan çalışanın hesabı hemen ve tamamen silinmeli mi?
Karar kural olarak aktif kullanım ve yeni erişimlerin kapatılmasını, hukuki dayanağı kalmayan verilerin imhasını ister. Belirli meşru amaçlarla sınırlı ve süreli arşivleme, otomatik cevap veya yönlendirme somut koşullara göre ayrıca değerlendirilebilir.
Kaynak ve bilgilendirme notu
Bu rehberin birincil kaynağı 2026/2035 sayılı İlke Kararının Resmî Gazete'deki dört sayfalık tam metnidir; metin 8 Ekim 2026 tarihinde kontrol edilmiştir. Bölümlerdeki esas numaraları kararın ilgili bentlerini gösterir. Kontrol listesi ve örnekler uygulamayı açıklamak içindir; somut olaya ilişkin hukuki görüş yerine geçmez. Yükümlülüklere uyulmaması hâlinde kararın 16 numaralı esası uyarınca somut olay incelenerek KVKK m.18 kapsamında idari işlem gündeme gelebilir.