İŞÇİLERİN ELEKTRONİK ORTAMDA DENETLENMESİ VE KİŞİSEL VERİLERİ KORUMA KURULU'NUN KURUMSAL E-POSTA DENETİMİ İLKE KARARI

Uzaktan ve hibrit çalışmanın yaygınlaşmasıyla birlikte işverenlerin çalışanlarını elektronik ortamda denetleme imkanları da genişlemiştir. Kurumsal e-posta hesapları, anlık mesajlaşma uygulamaları, toplantı platformları ve çalışan izleme yazılımları işin yürütülmesini kolaylaştırırken, aynı zamanda çalışanlara ilişkin yoğun miktarda kişisel verinin oluşmasına yol açmaktadır. Bu durum, işverenin yönetim hakkı ile çalışanın özel hayatının gizliliği arasındaki dengeyi her zamankinden daha önemli hale getirmektedir.

Kişisel Verileri Koruma Kurulu, bu alanda tespit ettiği yaygın ihlaller üzerine 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı'nı almış karar 8 Ekim 2026 tarihli Resmî Gazete'de yayımlanmıştır. Karar, başta kurumsal e-posta denetimi olmak üzere işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetlenmesinde uyulması gereken usul ve esasları ortaya koymaktadır. Bu yazıda, işçilerin elektronik ortamda denetlenmesine ilişkin genel hukuki çerçeve ile ilke kararının getirdiği esaslar ve işverenler bakımından uygulamaya yönelik sonuçları ele alınmaktadır. İşverenin Denetim Yetkisi ile Çalışanın Mahremiyeti Arasındaki Denge

İşverenin denetim yetkisi, iş ilişkisinin doğal bir sonucudur. 6098 sayılı Türk Borçlar Kanunu'nun 399. maddesi uyarınca işveren, işin görülmesi ve işçilerin işyerindeki davranışlarıyla ilgili genel düzenlemeler yapabilir ve talimat verebilir. Ancak bu yetki sınırsız değildir. Aynı Kanun'un 417. maddesi işverene işçinin kişiliğini koruma ve saygı gösterme borcu yüklemekte, 419. maddesi ise işverenin işçiye ait kişisel verileri yalnızca işe yatkınlıkla ilgili veya hizmet sözleşmesinin ifası için zorunlu olduğu ölçüde kullanabileceğini öngörmektedir. Anayasa'nın 20. maddesi özel hayatın gizliliğini ve kişisel verilerin korunmasını, 22. maddesi ise haberleşme hürriyetini güvence altına almaktadır. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ise bu güvencelerin işyerindeki uygulamasını şekillendiren temel düzenlemedir.

Anayasa Mahkemesi ve Avrupa İnsan Hakları Mahkemesi kararlarında işverenin denetim yetkisinin belirli ölçütlere bağlı olduğu kabul edilmektedir. AİHM'in Bărbulescu/Romanya (Büyük Daire, 2017) kararıyla belirginleşen bu ölçütler çalışanın denetim konusunda önceden ve açıkça bilgilendirilmesi, denetimin meşru bir amaca dayanması, müdahalenin kapsamı ve derecesi bakımından ölçülü olması, daha az müdahaleci yöntemlerin öncelikle değerlendirilmesi ve çalışan bakımından yeterli güvencelerin sağlanmasıdır. İlke kararı da bu içtihat çizgisine açıkça atıf yapmakta ve içeriğin denetlenmesinin trafik verisi denetimine kıyasla daha ağır bir gerekçe gerektirdiğini vurgulamaktadır.

Elektronik Ortamda Denetim Hangi Araçları Kapsar?

Elektronik ortamda denetim yalnızca e-posta kutusunun incelenmesinden ibaret değildir. Uygulamada işverenlerin başvurduğu başlıca yöntemler şunlardır:

•       Kurumsal e-posta hesaplarının içerik veya trafik/log kayıtları üzerinden incelenmesi,

•       Kurum içi mesajlaşma ve anlık iletişim uygulamalarının denetlenmesi,

•       Müşteri ilişkileri ve talep yönetim sistemlerindeki kayıtların incelenmesi,

•       Toplantı platformlarındaki sohbet ve kayıt alanlarına erişilmesi,

•       İnternet trafiğinin izlenmesi, belirli sitelere erişimin filtrelenmesi veya engellenmesi,

•     Ekran görüntüsü alan, tuş vuruşlarını kaydeden veya kullanıcı aktivitesini ölçen çalışan izleme yazılımları,

•       Şirket telefonları ve araçlarındaki konum takip sistemleri.

İlke kararı, kurumsal e-posta hesaplarının yanı sıra kurum içi mesajlaşma uygulamalarını, kurumsal anlık iletişim hesaplarını, müşteri ilişkileri veya talep yönetim sistemlerini ve toplantı platformlarındaki sohbet ve kayıt alanlarını da açıkça kapsama dahil etmektedir. Kişisel kullanıma da elverişli uygulamalar bakımından ise hesabın iş amacıyla tahsis edilip edilmediği, çalışanın kişisel hesabı üzerinden kullanılıp kullanılmadığı ve çalışanın makul mahremiyet beklentisi ayrıca değerlendirilecektir. Konum takibi gibi kararda doğrudan düzenlenmeyen denetim yöntemleri bakımından da kararın ortaya koyduğu ölçütlerin yol gösterici olacağı değerlendirilmektedir.

Kişisel Verileri Koruma Kurulu'nun 2026/2035 Sayılı İlke Kararı: Temel Esaslar, Kurumsal E-Posta Denetimi

Kurul, kararı 6698 sayılı Kanun'un 15. maddesinin altıncı fıkrasına ve 22. maddesindeki düzenleyici işlem yetkisine dayandırmıştır. Kararın öne çıkan esasları aşağıda özetlenmektedir.

Log Kayıtlarının İncelenmesi de Kişisel Veri İşlemedir

Kurul'a göre çalışana tahsis edilen kurumsal e-posta hesabı, bir iletişim aracının ötesinde çalışanın mesleki ve zaman zaman kişisel ilişki ağını, çalışma örüntüsünü ve yazışma içeriklerini barındıran bir veri kaynağıdır. Bu nedenle işverenin yazışma içeriğine hiç erişmeksizin yalnızca trafik/log kayıtlarını incelemesi dahi başlı başına bir kişisel veri işleme faaliyetidir ve KVKK'nın genel ilkelerine, işleme şartlarına, aydınlatma ve veri güvenliği yükümlülüklerine tabidir. İletişim araçlarının işverene ait olması veya işyerinde kullanılması, işverene sınırsız bir denetim yetkisi tanımamaktadır.

İş Amaçlı ve Özel Amaçlı Kullanım Ayrımı

İşveren, yönetim hakkı kapsamında kurumsal iletişim araçlarının özel amaçla kullanımını yasaklayabilir, sınırlandırabilir veya belirli koşullara bağlayabilir. Ancak bu kuralların açık, anlaşılır ve çalışan tarafından bilinebilir nitelikte olması ve çalışana açıkça duyurulması gerekmektedir. Karar, özel kullanımın yasaklanmış olduğu hallerde dahi denetim yetkisinin ölçülülük ilkesiyle sınırlı olduğunu, sürekli ve aralıksız gözetimin ölçülü kabul edilemeyeceğini belirtmektedir. Yasağın ihlal edildiği içerik dışı unsurlardan anlaşılabiliyorsa yazışma içeriğine ayrıca erişilmesi gerekli ve orantılı sayılmayacaktır. Çalışanın özel nitelikteki yazışmaları denetim dışında bırakılmalı iş amaçlı ve özel amaçlı kullanımın birbirinden ayrılamadığı hallerde ise işverenin denetim yetkisi daha dar yorumlanmalıdır.

Teknik Erişim, Hukuki Erişim Yetkisi Değildir

İşverenin bir cihaz, oturum, ağ veya kurumsal sistem üzerinde teknik yetkiye sahip olması, çalışanın kişisel e-posta hesabına, kişisel mesajlaşma uygulamasına veya sosyal medya mesaj kutusuna serbestçe erişebileceği anlamına gelmemektedir. Örneğin şirket bilgisayarında açık kalmış kişisel bir mesajlaşma oturumundaki yazışmalara erişilmesi, teknik olarak mümkün olsa da hukuki bir erişim yetkisine dayanmayan müdahale niteliği taşıyacaktır.

Bilgilendirme ve Aydınlatma: Genel İfadeler Yeterli Değil

Kararın en önemli tespitlerinden biri, Anayasa Mahkemesi içtihadında aranan önceden bilgilendirme ile KVKK'nın 10. maddesinde düzenlenen aydınlatma yükümlülüğünün birebir aynı kavramlar olmadığıdır. Her bilgilendirme aydınlatma sayılmayabilir ancak KVKK m.10 unsurlarını taşıyan ve denetimin amacı, kapsamı ve yöntemi hakkında açık bilgi içeren usulüne uygun bir aydınlatma, önceden bilgilendirme şartını da karşılayabilecektir. Karar uyarınca çalışan aydınlatma metni işlemenin hukuki sebebini, amacını, kapsamını, denetimin trafik/log kayıtlarının incelenmesiyle mi yoksa içerik denetimiyle mi yürütüleceğini, içeriğe hangi hallerde erişilebileceğini, verilerin saklama süresini ve çalışanın KVKK m.11 kapsamındaki haklarını açık ve somut biçimde içermelidir. "Kurumsal e-posta hesabınız işveren tarafından denetlenebilir" şeklindeki genel nitelikli bildirimler, ne bilgilendirme koşulunu ne de aydınlatma yükümlülüğünü karşılayacaktır. Usulüne uygun şekilde bilgilendirilmeyen çalışanın, kişisel verilerine ve haberleşme hürriyetine müdahale edilmeyeceğine ilişkin makul bir beklenti taşıdığı kabul edilmektedir.

Açık Rıza Değil, Kanuni İşleme Şartları

İş ilişkisindeki bağımlılık ve taraflar arasındaki güç dengesizliği nedeniyle çalışanın açık rızası, e-posta denetimi bakımından kural olarak öncelikli hukuki dayanak olarak kabul edilmemektedir. Açık rızaya dayanılan hallerde rızanın özgür iradeyle açıklanıp açıklanmadığı ayrıca değerlendirilecektir. Kurul, denetim faaliyetinin somut olayın koşullarına göre KVKK m.5/2 kapsamındaki hukuki yükümlülüğün yerine getirilmesi (ç), bir hakkın tesisi, kullanılması veya korunması (e) ve veri sorumlusunun meşru menfaati (f) işleme şartlarına dayandırılabileceğini belirtmiş ancak bu şartların varlığının da işverene sınırsız bir denetim yetkisi tanımayacağını vurgulamıştır.

Kademeli Denetim ve İçerik İncelemesinin İstisnai Niteliği

Kararda kademelilik esas alınmıştır. İşveren, ulaşmak istediği meşru amaca daha az müdahaleci bir yolla ulaşabiliyorsa daha ağır bir denetim yöntemine başvuramaz. İçeriğe erişim, ancak trafik verisi denetiminin yetersiz kaldığı ve içeriğe erişimin zorunlu olduğu istisnai hallerde gündeme gelebilecektir. Kötüye kullanımın filtreleme veya engelleme gibi teknik yollarla önlenebildiği hallerde ise işverenin genel bir denetim hakkı doğmayacaktır.

Yazışma içeriğinin denetlenmesi, çalışanın özel hayatına ve haberleşme hürriyetine yönelen en yoğun müdahaleyi oluşturduğundan daha güçlü ve somut bir meşru gerekçe gerektirmektedir. İçerik denetimine yalnızca somut şüphe bulunan hallerde ve iddiayla sınırlı olacak biçimde başvurulmalı kapsamı belirsiz, genel ve süreklilik arz eden içerik incelemelerinden kaçınılmalıdır. İçerik denetiminde ileti gövdesinde veya eklerde özel nitelikli kişisel verilerin bulunabileceği ve yazışmaların çoğu zaman üçüncü kişilere ait verileri de barındırdığı gözetilmelidir.

Gizli ve Kapsamlı İzleme Hukuka Aykırıdır

Karar, çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri ile çalışanın tüm işlemlerini ayrım gözetmeksizin kaydeden araçlar aracılığıyla yürütülen denetimin hukuka aykırı sayılacağını açıkça hükme bağlamıştır. Denetimin çalışanın bilgisi dahilinde ve öngörülebilir bir çerçevede yürütülmesi gerekmektedir. Bu esas, özellikle ekran kaydı ve tuş kaydı yapan çalışan izleme yazılımlarını kullanan işverenler bakımından doğrudan önem taşımaktadır.

Erişim Yetkileri ve İş İlişkisinin Sona Ermesi

Denetim yoluyla elde edilen verilere erişim, yalnızca bu görevle yetkilendirilmiş sınırlı bir personelle sınırlandırılmalı erişim yetkileri görev tanımlarıyla belirlenmeli, erişim kayıtları tutulmalı ve verilere erişen kişiler gizlilik yükümlülüğü altına alınmalıdır.

İş ilişkisinin sona ermesinin ardından çalışana tahsis edilen hesap kural olarak aktif kullanıma ve yeni erişimlere kapatılmalı, hesaba gelen iletilerin ilgisiz kişilerce görüntülenmesine imkan verilmemeli ve hukuki dayanağı kalmayan kişisel veriler imha edilmelidir. Bununla birlikte iş sürekliliğinin sağlanması, hukuki uyuşmazlıklarda savunma hakkının kullanılabilmesi veya mevzuattan kaynaklanan yükümlülüklerin yerine getirilmesi amacıyla sınırlı, süreli, erişim yetkileri belirlenmiş ve kayıt altına alınmış yönlendirme, otomatik cevap, arşivleme veya muhafaza uygulamaları somut olayın koşullarına göre değerlendirilebilecektir.

Kararın İş Hukukuna Yansımaları

Kurum'un duyurusunda, incelemeler sırasında denetim yoluyla elde edilen verilerin disiplin ve fesih süreçlerinde kullanıldığının tespit edildiği belirtilmektedir. Bu nedenle kararın etkisi yalnızca KVKK uyumuyla sınırlı kalmayacak, doğrudan iş yargılamasına da yansıyacaktır. 6100 sayılı Hukuk Muhakemeleri Kanunu'nun 189. maddesinin ikinci fıkrası uyarınca hukuka aykırı olarak elde edilmiş deliller mahkemece dikkate alınamaz. Çalışanın usulüne uygun şekilde aydınlatılmadığı, kademelilik ilkesine aykırı biçimde içeriğe erişildiği ya da kişisel hesaplardan elde edilen yazışmalara dayanılan bir fesih işleminde, işçi tarafından bu delillerin hukuka aykırı olduğu ileri sürülebilecektir. Bu durum, haklı nedene dayanan fesihlerde işverenin ispat yükünü karşılamasını güçleştirerek işe iade ile kıdem ve ihbar tazminatı davalarında önemli bir risk oluşturabilecektir. Bunun yanı sıra çalışanın kişisel e-posta veya mesajlaşma hesaplarına yetkisiz erişim, somut olayın özelliklerine göre Türk Ceza Kanunu'nun haberleşmenin gizliliğini ve özel hayatın gizliliğini koruyan hükümleri kapsamında cezai sorumluluk da doğurabilecektir. Kurul ise karara aykırılık tespit edilmesi halinde KVKK m.18 uyarınca idari yaptırım uygulanacağını açıkça belirtmiştir. Kararda herhangi bir geçiş süresi öngörülmemiş olup karar yayımı itibarıyla uygulanmaktadır.

İşverenler İçin Uyum Yol Haritası

İlke kararı karşısında işverenlerin mevcut uygulamalarını aşağıdaki başlıklar çerçevesinde gözden geçirmeleri önerilmektedir:

1.     Envanter çıkarılması: Kullanılan tüm iletişim kanalları, devredeki denetim ve izleme araçları ile bu araçlara erişimi bulunan kişiler tespit edilmelidir.

2.     Kullanım ve denetim politikası: Özel amaçlı kullanıma ilişkin açık bir kural (yasak veya sınırlı izin), kademeli denetim prosedürü ve içerik incelemesi için yazılı onay mekanizması içeren bir politika hazırlanmalıdır.

3.     Aydınlatma metninin güncellenmesi: Çalışan aydınlatma metni karardaki unsurları içerecek şekilde revize edilmeli ve çalışanlara ispatlanabilir biçimde duyurulmalıdır.

4.     Hukuki dayanağın belirlenmesi: Denetim faaliyetleri açık rıza yerine KVKK m.5/2'deki uygun işleme şartlarına dayandırılmalı meşru menfaate dayanılan hallerde denge testi yazılı olarak belgelenmelidir.

5.     İzleme yazılımlarının gözden geçirilmesi: Ekran kaydı, tuş kaydı veya topyekûn aktivite kaydı yapan araçlar kaldırılmalı ya da kapsamı ölçülü hale getirilmelidir.

6.     Erişim yetki matrisi: Denetim verilerine erişebilecek kişiler görev tanımlarıyla belirlenmeli ve tüm erişimler kayıt altına alınmalıdır.

7.     Ayrılan çalışan hesapları: Hesapların kapatılması, yönlendirme ve arşivleme süreleri saklama ve imha politikasında açıkça düzenlenmelidir.

8.     Disiplin ve fesih prosedürleri: Delil toplama sürecinde önce log ve üst veri incelemesine başvurulmalı, içeriğe geçilmesi halinde gerekçe ve kapsam yazılı olarak kayıt altına alınmalıdır.

Sıkça Sorulan Sorular

İşveren çalışanın kurumsal e-postasını okuyabilir mi?

Kural olarak sınırsız şekilde okuyamaz. Kurumsal e-posta içeriğine erişim çalışanın önceden usulüne uygun şekilde aydınlatılmış olması, somut bir şüphenin bulunması, daha az müdahaleci yöntemlerin yetersiz kalması ve incelemenin iddiayla sınırlı tutulması koşullarıyla istisnai olarak mümkündür.

Çalışandan açık rıza almak e-posta denetimi için yeterli midir?

Hayır. İlke kararına göre iş ilişkisindeki güç dengesizliği nedeniyle açık rıza kural olarak öncelikli dayanak değildir. Denetim, KVKK m.5/2'deki hukuki yükümlülük, hakkın tesisi ve korunması veya meşru menfaat gibi işleme şartlarına dayandırılmalıdır.

İş sözleşmesine "e-postalar denetlenebilir" maddesi eklemek yeterli midir?

Yeterli değildir. Karar, bu tür genel nitelikli bildirimlerin bilgilendirme koşulunu sağlamayacağını ve aydınlatma yükümlülüğünün yerine getirildiği sonucunu doğurmayacağını açıkça belirtmektedir. Denetimin yöntemi, içeriğe hangi hallerde erişileceği ve saklama süresi gibi hususların somut biçimde aydınlatılması gerekir.

Şirket bilgisayarında açık kalan kişisel mesajlaşma yazışmaları delil olarak kullanılabilir mi?

Kararda teknik erişim imkanı ile hukuki erişim yetkisinin birbirinden ayrılması gerektiği vurgulanmıştır. Çalışanın kişisel hesabındaki yazışmalara bu yolla erişilmesi KVKK ihlali oluşturabileceği gibi, bu şekilde elde edilen yazışmaların iş davalarında hukuka aykırı delil olarak değerlendirilme riski de bulunmaktadır.

İşten ayrılan çalışanın e-posta hesabı ne yapılmalıdır?

Hesap kural olarak aktif kullanıma ve yeni erişimlere kapatılmalı, dayanağı kalmayan veriler imha edilmelidir. İş sürekliliği veya devam eden bir uyuşmazlık nedeniyle yönlendirme, otomatik cevap veya arşivleme yapılacaksa bu uygulamaların sınırlı, süreli ve kayıt altında yürütülmesi gerekir.

Şikayet veya ihbar üzerine çalışanın yazışmaları incelenebilir mi?

Somut bir şikayet veya ihbar, içerik incelemesi için aranan somut şüphe niteliğini taşıyabilir. Ancak bu durumda da inceleme şikayet konusuyla sınırlı tutulmalı, öncelikle log kayıtları incelenmeli, özel nitelikteki yazışmalar inceleme dışında bırakılmalı ve erişimler kayıt altına alınmalıdır.

Sonuç

2026/2035 sayılı İlke Kararı, işçilerin elektronik ortamda denetlenmesi konusunda dağınık haldeki içtihat ve Kurul kararlarını genel ve bağlayıcı bir çerçeveye kavuşturmaktadır. Karar sonrasında işverenlerin "araç şirketindir, denetim serbesttir" yaklaşımını terk ederek şeffaf, kademeli, amaçla sınırlı ve belgelenmiş bir denetim modeline geçmeleri gerekmektedir. Bu dönüşüm yalnızca idari yaptırım riskini azaltmakla kalmayacak, olası iş davalarında işverenin delil ve ispat konumunu da güçlendirecektir.

Bu yazı genel bilgilendirme amacıyla hazırlanmış olup hukuki görüş niteliği taşımamaktadır. Somut durumunuza ilişkin değerlendirme için uzman bir avukattan destek almanız önerilir.