İşveren Çalışanın Kurumsal E-postasını Okuyabilir mi? KVKK'nın Yeni İlke Kararı Neleri Değiştiriyor?

Kişisel Verileri Koruma Kurulu, işyerindeki iletişim araçlarının denetimine ilişkin ilke kararını Resmî Gazete'de yayımladı. 16 Eylül 2026 tarihli ve 2026/2035 sayılı karar, 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete'de yer aldı. Kararın özü şu: Kurumsal e-posta ve mesajlaşma hesapları şirkete ait olsa da işveren bunları istediği zaman, istediği kadar okuyamaz.

Kurul ne dedi?

Kurul, iletişim aracının işverene ait olmasının "tek başına işverene sınırsız ve mutlak bir denetim yetkisi tanımadığını" vurguluyor. Karara göre:

• E-postanın içeriğini açmadan yalnızca kimin kime, ne zaman yazdığını gösteren trafik ve log kayıtlarını incelemek de kişisel veri işleme sayılıyor ve 6698 sayılı Kanun'a tabi.
• Denetimin "sürekli ve aralıksız gözetim" şeklinde yapılması ölçülü kabul edilmiyor. Kişisel kullanım tamamen yasaklanmış olsa bile bu değişmiyor.
• İçeriğe erişim yalnızca somut ve belirli bir şüphe bulunan istisnai durumlarda, trafik verisinin incelenmesi yetersiz kaldığında ve sınırlı biçimde mümkün.
• Önce daha az müdahaleci yöntemler, örneğin filtreleme veya belirli içeriklerin engellenmesi, tercih edilmeli.
• Çalışanlar önceden ve açıkça bilgilendirilmeli. Gizli izleme ve çalışanın bütün hareketlerini ayrım gözetmeden kaydeden yazılımlar kabul edilmiyor.

"Teknik erişim" ile "hukuki yetki" aynı şey değil

Kararın en dikkat çeken vurgularından biri bu ayrım. Bilgi işlem departmanının sistem yöneticisi olarak her hesaba girebilmesi, işverene bu hesapları okuma hakkı vermiyor. Kurul, teknik erişim imkânı ile hukuki erişim yetkisinin birbirinden ayrılması gerektiğini belirtiyor. Çalışanın şirket bilgisayarında açık kalmış kişisel e-posta ya da sosyal medya hesabına girmek de bu nedenle hukuka aykırı.

Açık rıza neden çözüm değil?

Birçok şirket işe girişte çalışana "e-postalarımın denetlenmesine açık rıza veriyorum" yazan bir form imzalatıyor. Kurul, iş ilişkisindeki güç dengesizliği nedeniyle bu tür rızaların özgür iradeye dayandığının kabul edilmesinin zor olduğunu ve işverenin esas olarak rızaya dayanmaması gerektiğini belirtiyor. Hukuki dayanak çoğu durumda Kanun'un 5. maddesindeki "meşru menfaat" olacak; bu da işverenin denetimin neden gerekli ve ölçülü olduğunu her somut olayda gösterebilmesini gerektiriyor.

İşten ayrılan çalışanın hesabı

Karar, iş ilişkisi sona erdikten sonraki dönemi de düzenliyor. İşveren, otomatik yanıt veya iletim gibi süreli ve sınırlı tedbirler alabiliyor; ancak bu tedbirlerin erişim kontrolüyle ve kayıt altına alınarak yürütülmesi gerekiyor. Ayrılan çalışanın hesabını süresiz açık tutmak ya da sonradan gelen e-postaları serbestçe okumak ilkeye aykırı. Veriler, amaç için gereken süreden daha uzun saklanmamalı.

Çalışan ve işveren açısından ne değişiyor?

Kurala uymayan veri sorumlularına 6698 sayılı Kanun'un 18. maddesi uyarınca idari para cezası verilebiliyor. Haberleşmenin gizliliği aynı zamanda Anayasa'nın 22. maddesiyle güvence altında; kişiler arasındaki haberleşmenin içeriğine hukuka aykırı olarak erişmek TCK 132 kapsamında suç da oluşturabiliyor. Avrupa İnsan Hakları Mahkemesi de 2017'deki Bărbulescu/Romanya kararında, çalışanın önceden bilgilendirilmediği iş yeri yazışma denetimini özel hayata saygı hakkının ihlali saymıştı; Kurul'un yaklaşımı bu çizgiyle uyumlu.

Şirketler ne yapmalı?

İşverenlerin ilk adımı, mevcut aydınlatma metinlerini ve bilgi güvenliği politikalarını gözden geçirmek. Hangi kayıtların, hangi amaçla, ne kadar süreyle tutulduğu ve içeriğe hangi şartlarda kimin erişebileceği açıkça yazılmalı. İçerik incelemesi yapılacaksa bu kararın kim tarafından, hangi gerekçeyle verildiği belgelenmeli. KVKK Kurulu'nun yapısına ilişkin önceki haberimize de göz atabilirsiniz.