Kişisel Verileri Koruma Kurulu’nun 16 Eylül 2026 tarihli ve 2026/2035 sayılı İlke Kararı, 8 Ekim 2026’da Resmî Gazete’de yayımlandı. Karar, işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları başta olmak üzere iş amaçlı iletişim kanallarını denetlerken uyması gereken usul ve esasları belirliyor. Kurul, kararın gerekçesinde çalışanların bu denetim hakkında yeterli, açık ve somut biçimde bilgilendirilmediği örneklerle karşılaştığını belirtiyor.
Ne oldu
İlke kararı, şu başlıklar altında kurallar getiriyor: Kanun kapsamındaki yükümlülükler; iş amaçlı ve özel amaçlı kullanım ayrımı; özel kullanıma ilişkin kurallar; teknik erişim yetkisi ile hukuki erişim yetkisinin ayrılması; önceden bilgilendirme ve aydınlatmanın kapsamı; genel nitelikli bildirimlerin yeterli olmaması; açık rızanın değerlendirilmesi; genel ilkeler ve ölçülülük; kademeli denetim; içerik denetimi; özel nitelikli kişisel veriler ve üçüncü kişilere ait veriler; erişim yetkilendirmesi ve veri güvenliği; iş ilişkisinin sona ermesi.
Kararın ana vurgularından biri, cihazın ya da hesabın işverene ait olmasının, denetim yetkisinin sınırı olmadığı anlamına gelmediği. Bir hesaba teknik olarak erişebilmek, o hesaptaki özel yazışmalara ya da çalışanın kişisel hesaplarına hukuken erişim hakkı anlamına gelmiyor. Çalışma ilişkisindeki bağımlılık nedeniyle açık rıza, e-posta denetiminin kendiliğinden dayanağı sayılmıyor.
Kimleri etkiler
Karar, çalışanına kurumsal e-posta ya da iş amaçlı iletişim kanalı tahsis eden her işvereni ilgilendiriyor; sektör ya da büyüklük ayrımı yok. Pratikte en çok etkilenecek süreçler şunlar: işe giriş bildirimleri ve aydınlatma metinleri, bilgi güvenliği politikaları, e-posta arşivleme ve günlük kayıtlarına erişim yetkileri, iç soruşturma prosedürleri ve işten ayrılan çalışanın hesabının ne olacağına ilişkin kurallar.
Kurul, yalnız “kurumsal e-posta denetlenebilir” diyen genel bir bildirimin yeterli olmadığını açıkça yazıyor. Aydınlatmanın hukuki sebebi, amacı, kapsamı, yöntemi, içeriğe erişim koşullarını, saklama süresini ve çalışanın haklarını içermesi gerekiyor. İçerik denetiminin kural olarak somut şüphe ya da belirli bir olayla bağlantılı meşru bir amaçla yapılması; sürekli ve geniş kapsamlı içerik taramasından kaçınılması isteniyor.
Üretici ne öneriyor
Burada bir yazılım üreticisi değil, düzenleyici kurum söz konusu; Kurul’un beklentileri şöyle özetlenebilir: denetimin en az müdahaleci yöntemle başlaması ve gerek olmadan ağırlaştırılmaması (kademeli denetim); erişimin az sayıda yetkili kişiyle sınırlanması, erişim kayıtlarının tutulması ve gizlilik yükümlülüklerinin güvence altına alınması; verinin gerekli süreden uzun saklanmaması; iş ilişkisi sona erdiğinde hesaba erişimin ayrı bir hukuki dayanakla değerlendirilmesi. Kurul, kurallara uymayan veri sorumluları hakkında Kanun’un 18. maddesi uyarınca işlem yapılabileceğini belirtiyor.
Bu haber hukuki görüş içermez; kararın tam metni ve Resmî Gazete bağlantısı yan sütunda.
