Kişisel Verileri Koruma Kurumu, çalışanların e-posta ve iletişim kanallarının denetimine yönelik yeni bir karar aldı. Resmî Gazete'nin 8 Ekim 2026 tarihli ve 33394 sayılı nüshasında yayımlanan karar, iş dünyası için önemli sınırlar getiriyor. Kurul, 16 Eylül 2026 tarihli ve 2026/2035 sayılı kararıyla, işverenlerin iletişim kanallarını denetleme yetkisinin kurallarını netleştirdi.
Kurul, işverenlerin iletişim kanallarını denetlerken 6698 sayılı Kişisel Verilerin Korunması Kanunu'na uyması gerektiğini bildirdi. Çalışanlara tahsis edilen e-posta hesaplarının sadece bir iletişim aracı olmadığı vurgulandı. Kurul, "Çalışanlara tahsis edilen kurumsal e-posta hesabı, bir iletişim aracının ötesinde; çalışanın mesleki ve zaman zaman kişisel ilişki ağını, çalışma örüntüsünü ve yazışma içeriklerini barındıran bir veri kaynağı niteliği taşımaktadır." değerlendirmesini yaptı.
Kurul, işverenin yönetim hakkı ile çalışanın Anayasa'nın 20 ve 22'nci maddelerinde güvence altına alınan hakları arasında denge kurulması gerektiğini belirtti.
İşverenin mutlak denetim hakkı bulunmuyor
Kurum, işyerinde kullanılan iletişim kanallarının sadece e-postadan ibaret olmadığını hatırlattı. Kurum içi mesajlaşma uygulamaları, sohbet alanları ve müşteri ilişkileri sistemlerinin de denetime konu olabileceğini ifade etti. Kurul, iletişim araçlarının işverene ait olmasının mutlak bir denetim yetkisi vermediğini aktardı. Karar metninde, "İletişim araçlarının işverene ait olması ya da işyerinde bulunması, tek başına işverene sınırsız ve mutlak bir denetim yetkisi tanımamaktadır." ifadeleri yer aldı.
Kurul, e-posta içeriğine bakılmadan sadece trafik ve log kayıtlarının incelenmesinin bile kişisel veri işleme faaliyeti olduğunu açıkladı. İşverenin, yönetim hakkı kapsamında işyeri iletişim araçlarında özel amaçlı kullanım kurallarını belirleyebileceğini kaydetti. Ancak bu kuralların açık, anlaşılır ve çalışanlar tarafından bilinebilir olması gerektiğini vurguladı.
Kurum, özel kullanımın yasaklandığı durumlarda bile işverenin denetim yetkisinin ölçülülük ilkesiyle sınırlı olduğunu belirtti. Sürekli ve aralıksız gözetimin ölçülü kabul edilemeyeceğini bildirdi. Kurul, "Özel kullanım yasağının ihlal edildiği içerik dışı unsurlardan anlaşılabiliyorsa, yazışma içeriğine ayrıca erişilmesinin gerekli ve orantılı kabul edilemeyeceği" uyarısında bulundu.
Gizli izleme yöntemleri hukuka aykırı sayılacak
Kurum, işverenin teknik yetkiye sahip olmasının, çalışanın kişisel hesaplarına hukuki erişim hakkı vermediğini anlattı. İşverenin çalışana ait sosyal medya veya benzeri özel iletişim alanlarındaki yazışmalara serbestçe erişemeyeceğini ifade etti. Kurul, denetimin hukuka uygun olması için çalışanın önceden 6698 sayılı Kanun'un 10'uncu maddesine uygun aydınlatılması gerektiğini hatırlattı.
Kurum, genel nitelikli bildirimlerin aydınlatma şartını taşımayacağını söyledi. Kurul, "Yalnızca kurumsal e-posta hesabının işveren tarafından denetlenebileceği şeklindeki genel nitelikli bildirimlerin bilgilendirme koşulunu sağlamayacağı" tespitini yaptı. İşverenin yapacağı aydınlatmanın, denetimin amacını, kapsamını ve yöntemini somut bir biçimde içermesi gerektiğini ifade etti.
Kurul, iş ilişkisindeki güç dengesizliği nedeniyle çalışanın açık rızasının öncelikli hukuki dayanak yapılamayacağını bildirdi. Denetimde kademeliliğin esas olduğunu, daha az müdahaleci yöntemler varken ağır yöntemlere başvurulamayacağını kaydetti. Kurum, içerik denetiminin sadece somut şüphe bulunan hallerde ve iddiayla sınırlı yapılabileceğini açıkladı.
Kurul, çalışanın haberi olmadan yapılan gizli denetimlerin yasa dışı olduğunu aktardı. Karar metninde, "Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri ile çalışanın tüm işlemlerini ayrım gözetmeksizin kaydeden araçlar aracılığıyla yürütülen denetimin hukuka aykırı sayılacağı" belirtildi. Kurum, elde edilen verilere erişimin sadece yetkili personelle sınırlandırılması ve kayıt altına alınması gerektiğini bildirdi.
Kurul, işten ayrılan personelin e-posta hesaplarının yeni erişimlere kapatılmasını ve hukuki dayanağı kalmayan verilerin imha edilmesini istedi. Kurallara uymayan işverenler hakkında 6698 sayılı Kanun'un 18'inci maddesi uyarınca idari işlem yapılacağı duyuruldu.