KVKK'dan İlke Kararı: İşverenin E-Posta Denetimine Sınır Getirildi
Kişisel Verileri Koruma Kurulu yayımladığı ilke kararıyla, işverenlerin kurumsal e-posta ve iletişim araçları üzerindeki denetim yetkisini ölçülülük ve aydınlatma şartına bağladı.
Valentra Analiz
- Kimleri ilgilendiriyor?
Tüm işverenler, şirketlerin insan kaynakları, bilgi işlem ve hukuk birimleri ile bordrolu çalışanlar.
- Ne değişti?
İşverenin kurumsal iletişim kanallarını sınırsız ve gizli denetlemesi yasaklandı; denetim öncesi somut aydınlatma, kademelilik ve ölçülülük şartları zorunlu hale getirildi.
- İşletmeye etkisi
Şirketlerin iç disiplin ve bilgi güvenliği prosedürlerini yenilemesini gerektirecek; hukuka aykırı denetim yapılması halinde 6698 sayılı Kanun uyarınca idari para cezası ve tazminat riskleri doğacaktır.
- Ne zaman uygulanacak?
8 Ekim 2026 tarihli Resmî Gazete yayımıyla yürürlüğe girdi.
- Ne yapılmalı?
- Çalışanlara e-posta denetiminin amacını, kapsamını, saklama süresini ve log/içerik ayrımını içeren somut aydınlatma metnini tebliğ edin
- Denetimlerde içerik incelemesinden önce öncelikle trafik ve log kayıtlarını inceleyin
- Çalışanların tüm işlemlerini ayrım gözetmeksizin kaydeden gizli ve aralıksız izleme yazılımlarına son verin
- İşten ayrılan personelin kurumsal hesaplarını yeni erişimlere kapatıp dayanağı kalmayan verileri imha edin
Kişisel Verileri Koruma Kurulunun 16 Eylül 2026 tarihli ve 2026/2035 sayılı ilke kararı, 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete'de yayımlandı. Kararda, iletişim araçlarının ve cihazların mülkiyetinin işverene ait olmasının veya işyerinde bulunmasının, işverene sınırsız ve mutlak bir denetim yetkisi tanımayacağı açıkça hükme bağlandı.
İlke kararı; çalışanlara tahsis edilen kurumsal e-posta hesaplarının yanı sıra kurum içi anlık mesajlaşma uygulamalarını, müşteri ilişkileri ve talep yönetim sistemleri ile çevrim içi toplantı platformlarındaki sohbet ve kayıt alanlarını kapsıyor. İşverenlerin denetim faaliyetine başlamadan önce çalışanları açık, anlaşılır ve somut biçimde aydınlatması zorunlu kılındı. Yalnızca kurumsal hesapların denetlenebileceğine dair soyut ve genel bildirimler mevzuat açısından geçersiz sayılacak.
Düzenleme uyarınca denetimlerde kademelilik ve ölçülülük esası geçerli olacak. İşveren, meşru amacına trafik veya log kayıtlarını inceleyerek ulaşabiliyorsa yazışma içeriklerine erişemeyecek. İçerik denetimine yalnızca somut bir şüphenin varlığı halinde ve iddiayla sınırlı olmak üzere başvurulabilecek. Çalışanın önceden bilgilendirilmediği gizli izleme faaliyetleri ile sürekli ve aralıksız gözetim sağlayan yazılımlar hukuka aykırı kabul edilecek.
İşverenin kurumsal sistemler üzerinde teknik erişim imkanına sahip olması, çalışanın kişisel e-posta, kişisel mesajlaşma veya sosyal medya hesaplarına hukuki erişim yetkisi vermeyecek. İş amaçlı kullanım ile özel amaçlı kullanımın ayrılabildiği sistemlerde denetim yalnızca iş yazışmalarıyla sınırlı kalacak; ayrılamadığı durumlarda ise işverenin yetkisi dar yorumlanacak. Ayrıca iş ilişkisindeki bağımlılık nedeniyle çalışanın açık rızası kural olarak öncelikli hukuki dayanak sayılamayacak.
İş sözleşmesi sona eren personelin kurumsal hesapları aktif kullanıma derhal kapatılacak ve hukuki dayanağı kalmayan kişisel veriler imha edilecek. İlke kararına aykırı hareket eden işverenler hakkında 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 18'inci maddesi kapsamında idari yaptırım uygulanacak.
Haberin kaynağı
Alomaliye
Haberin tamamını Alomaliye sitesinde okuyun →- Resmî dayanak
- Kişisel Verileri Koruma Kurulunun 16/09/2026 Tarihli ve 2026/2035 Sayılı İlke Kararı; 08 Ekim 2026 Tarihli ve 33394 Sayılı Resmî Gazete
- Yürürlük
- 8 Ekim 2026 tarihli Resmî Gazete yayımıyla yürürlüğe girdi.
- Valentra'da yayım
- 8 Ekim 2026, 21:26
Bu metin, Alomaliye tarafından yayımlanan haberden Valentra tarafından hazırlanmış bir özettir. Haberin tamamı ve ayrıntılar için kaynağına başvurun.