📌 Kısa Cevap
Kişisel Verileri Koruma Kurulu'nun 16 Eylül 2026 tarihli ve 2026/2035 sayılı ilke kararı, 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete'de yayımlandı. Karara göre:
- ✔ Kurumsal e-posta hesabının işverene ait olması, içeriğe sınırsız erişim hakkı vermez.
- ✔ Trafik/log kaydı incelemesi de veri işleme sayılır ve KVKK'nın genel ilkelerine tabidir.
- ✔ Çalışan, denetimden önce amaç/kapsam/yöntem/saklama süresi belirtilerek somut biçimde aydınlatılmalıdır.
- ✔ Açık rıza, işçi-işveren güç dengesizliği nedeniyle genellikle yeterli hukuki sebep sayılmaz.
- ✔ Mesaj içeriğine erişim, ancak trafik incelemesi yetersiz kaldığında ve somut şüphe varsa son çare olarak kullanılabilir.
- ✔ Karar kurumsal e-postanın yanı sıra kurum içi mesajlaşma, CRM/talep sistemleri ve toplantı platformlarındaki sohbet kayıtlarını da kapsar.
- ✔ Ayrılan çalışanın hesabı süresiz açık bırakılamaz, yasal dayanağı kalmayan veri imha edilmelidir.
📑 İçindekiler
1. Karar Ne Zaman ve Nasıl Yayımlandı?
Kişisel Verileri Koruma Kurulu, 16 Eylül 2026 tarihli toplantısında "İşverenler Tarafından Çalışanlara Tahsis Edilen Kurumsal E-Posta Hesapları Başta Olmak Üzere, İşin Yürütülmesi Amacıyla Kullanılan İletişim Kanallarının Denetlenmesinde Uyulması Gereken Usul ve Esaslar Hakkında" 2026/2035 sayılı bir ilke kararı aldı. Karar, 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete'de yayımlanarak yürürlüğe girdi.
İlke kararları, Kurul'un belirli bir uygulama alanında veri sorumlularına yol gösteren, denetim ve şikâyet incelemelerinde esas alınan metinlerdir. Bu kararın ortaya çıkmasının arkasında, iş yerlerinde e-posta ve mesajlaşma denetiminin son yıllarda hem Kurul'a yapılan şikâyetlerde hem de iş mahkemelerinde giderek daha sık karşılaşılan bir konu haline gelmesi var. Karar, dağınık biçimde oluşmuş yargı kararlarını ve önceki Kurul uygulamasını tek bir çerçevede birleştiriyor.
📌 Bu Karar Neden Her Şirketi İlgilendiriyor?
- ✔ Kurumsal e-posta hesabı olmayan şirket sayısı pratikte sıfıra yakın
- ✔ Birçok şirkette e-posta/mesajlaşma denetimi yıllardır "şirket malı, istediğimiz zaman bakarız" mantığıyla yürütülüyor
- ✔ Kural ihlali bir çalışan şikâyetiyle ortaya çıkabiliyor ve hem idari para cezası hem de işe iade/tazminat davası riski doğurabiliyor
- ✔ Karar, sadece büyük şirketleri değil, iş e-postası kullanan her ölçekteki işvereni kapsıyor
2. Hangi İletişim Kanallarını Kapsıyor?
Karar, başlığında kurumsal e-postayı özellikle anıyor ama kapsamı daha geniş. Somut olayın özelliklerine göre aşağıdaki kanallar da değerlendirmeye giriyor:
| İletişim Kanalı | Örnek |
|---|---|
| Kurumsal e-posta hesabı | Şirket alan adıyla (@sirket.com) tahsis edilen e-posta kutusu |
| Kurum içi mesajlaşma uygulamaları | Şirketin kullandığı kurumsal anlık mesajlaşma/işbirliği araçları |
| Müşteri ilişkileri ve talep yönetim sistemleri | CRM ve destek/ticket sistemlerindeki yazışma kayıtları |
| Toplantı platformları | Görüntülü toplantı araçlarındaki sohbet ve kayıt alanları |
Kurul'un altını çizdiği önemli bir nokta da trafik ve log kayıtlarının (kimin kime, ne zaman, hangi büyüklükte veri gönderdiği gibi meta veriler) incelenmesinin de kişisel veri işleme sayıldığı. Yani içeriğe hiç dokunulmasa, sadece "kim kime kaç e-posta yazmış" raporu çıkarılsa bile bu işlem KVKK'nın genel ilkelerine, aydınlatma ve veri güvenliği yükümlülüklerine tabi.
3. "Hesap Bize Ait" ile "Okuma Hakkımız Var" Aynı Şey Değil
⚠️ Karıştırılmaması Gereken İki Ayrı Kavram
Mülkiyet / tahsis yetkisi
Kurumsal e-posta hesabının, bilgisayarın veya iletişim aracının işverene ait olması ve çalışana iş amacıyla tahsis edilmiş olması. Bu, işverenin olağan ve meşru bir hakkıdır.
Denetim / içeriğe erişim yetkisi
Bu hesaptaki yazışmaların içeriğine serbestçe bakabilme yetkisi. Kurul, bunun mülkiyetten otomatik olarak doğmadığını, ayrı bir hukuki sebebe, önceden aydınlatmaya ve ölçülülük testine bağlı olduğunu belirtiyor.
Pratikte en sık görülen hata tam burada ortaya çıkıyor: işveren, "hesap şirkete ait, istediğim zaman açıp bakarım" varsayımıyla hareket ediyor. Kurul'un kararı bu varsayımı açıkça reddediyor. Teknik olarak erişebilmek de ayrı bir konu; BT ekibinin sistem yönetimi amacıyla bir hesaba teknik erişimi olması, o hesabın içeriğini inceleme yetkisi anlamına gelmiyor.
4. Aydınlatma Yükümlülüğü Ne İçermeli?
Karar, çalışma sözleşmesi veya personel el kitabındaki tek bir genel-geçer cümlenin ("şirket e-postanız denetlenebilir" gibi) aydınlatma yükümlülüğünü karşılamadığını açıkça belirtiyor. Çalışan, denetim başlamadan önce ve somut biçimde şu konularda bilgilendirilmelidir:
- Amaç: Denetimin hangi somut gerekçeyle yapıldığı (bilgi güvenliği, ticari sır koruması, performans vb.)
- Kapsam: Hangi hesapların/kanalların denetime tabi olduğu
- Yöntem: Trafik/log incelemesi mi yapılacağı, içerik erişiminin hangi şartlarda devreye gireceği
- Kişisel kullanım kuralı: Kurumsal hesaplarda kişisel kullanımın yasak olup olmadığı, yasaksa bunun nasıl duyurulduğu
- Saklama süresi: Denetim kayıtlarının ne kadar süre saklanacağı
- İlgili kişi hakları: Çalışanın KVKK m.11 kapsamındaki başvuru hakları
5. Açık Rıza Neden Yeterli Hukuki Sebep Sayılmıyor?
Çoğu şirket, işe başlarken imzalatılan bir açık rıza formunun konuyu çözdüğünü düşünür. Kurul bu yaklaşıma mesafeli: işçi ile işveren arasındaki ekonomik ve hukuki güç dengesizliği nedeniyle, işe alım sırasında veya istihdam devam ederken alınan açık rızanın gerçekten özgür iradeyle verilip verilmediği tartışmalıdır. Çalışan, işini kaybetme riskiyle karşı karşıya kaldığında rızayı reddetme özgürlüğüne sahip sayılmayabilir.
Bunun yerine Kurul, denetimin somut olaya göre şu hukuki sebeplerden birine dayandırılabileceğini belirtiyor: bir kanun hükmünün gereğinin yerine getirilmesi, bir hakkın tesisi veya korunması için verinin işlenmesinin zorunlu olması, ya da işverenin meşru menfaati. Ancak bu sebeplerin varlığı da işverene otomatik ve sınırsız bir denetim yetkisi vermez; her durumda ölçülülük testi ayrıca uygulanır.
6. Kademeli Denetim: Trafik mi, İçerik mi?
Kararın uygulamadaki en somut katkısı, denetimi tek bir eylem değil, kademeli bir süreç olarak tanımlaması:
Trafik/Log İncelemesi
Kim kime, ne zaman, ne büyüklükte veri göndermiş; içeriğe dokunulmaz
Somut Şüphenin Doğması
Trafik incelemesi, bilgi sızıntısı veya kural ihlaline işaret eden belirtiler ortaya koyar
Sınırlı İçerik Erişimi
Ancak iddianın gerektirdiği ölçüde, yetkilendirilmiş kişilerce ve kayıt altında
💡 Uzman Notu:Uygulamada en sık gözden kaçan nokta, işverenlerin bu kademeli yapıyı atlayıp doğrudan içerik incelemesine geçmesi. Kurul'un yaklaşımında, filtreleme veya trafik analizi gibi daha az müdahaleci bir yöntemle amaca ulaşılabiliyorsa, içerik erişimi ölçülü kabul edilmiyor. Bu da şirketlerin denetim politikalarını "önce trafik, gerekirse içerik" mantığıyla iki aşamalı kurgulamasını, ikinci aşamaya geçiş gerekçesini de yazılı olarak belgelemesini gerektiriyor.
7. İşten Ayrılan Çalışanın Hesabı Ne Olur?
Karar, iş ilişkisi sona erdikten sonraki duruma da ayrıca değiniyor. Genel kural, çalışanın hesabının aktif kullanıma ve yeni erişime kapatılması ve artık hukuki dayanağı kalmayan verilerin imha edilmesi. Hesabı süresiz açık bırakmak, gelen e-postaları sınırsız biçimde yöneticiye yönlendirmek veya otomatik yanıtı belirsiz bir süre aktif tutmak, karardaki ölçülülük ilkesiyle uyuşmuyor.
İş sürekliliği, hukuki savunma veya kanuni bir yükümlülüğün yerine getirilmesi gibi somut ve belgelenebilir bir gerekçe varsa, sınırlı ve süreli bir yönlendirme/arşivleme mümkün; ancak bu istisna, kuraldan ayrı olarak her olayda tek tek değerlendirilmesi gereken bir durum.
8. İhlal Halinde Karşılaşılabilecek Yaptırımlar
2026/2035 sayılı karar, kendi içinde ayrı bir ceza maddesi içermiyor; ihlaller, 6698 sayılı Kanun'un m.18'inde düzenlenen genel idari para cezası rejimine göre değerlendiriliyor. Denetim ihlalinin niteliğine göre uygulanabilecek, 2026 yılı için güncellenmiş kalemler şöyle:
| İhlal Türü | Alt Sınır | Üst Sınır |
|---|---|---|
| Aydınlatma yükümlülüğüne aykırılık (yetersiz/geçersiz bilgilendirme) | ≈ 85.400 TL | ≈ 1.709.200 TL |
| Veri güvenliği yükümlülüklerine aykırılık (yetkisiz erişim, erişim kaydı tutmama) | ≈ 256.357 TL | ≈ 17.092.242 TL |
| Kurul kararlarının yerine getirilmemesi (şikâyet sonrası düzeltilmemesi) | ≈ 427.263 TL | ≈ 17.092.242 TL |
İdari para cezasının yanı sıra, usulsüz e-posta/mesaj denetimi tespit edilen bir işten çıkarmanın dayanağı sayılıyorsa, bu durum iş mahkemesinde işe iade veya tazminat davasının da dayanağı olabiliyor. Yani risk, tek başına KVKK cezasıyla sınırlı değil; iş hukuku tarafında da ayrı bir maliyet doğurabiliyor.
9. İşverenler İçin Uyum Checklist'i
1. İletişim kanallarının envanterini çıkarın
E-posta, mesajlaşma, CRM, toplantı platformu dahil tüm kurumsal kanalları listeleyin.
2. Kişisel kullanım kuralını yazılı hale getirin
Kurumsal hesapta kişisel kullanımın serbest mi, sınırlı mı, yasak mı olduğunu açıkça belirleyin ve duyurun.
3. Denetimi trafik ve içerik olarak ayırın
İçerik erişimine ne zaman geçileceğine ilişkin yazılı bir prosedür belirleyin.
4. Aydınlatma metnini güncelleyin
Amaç, kapsam, yöntem, saklama süresi ve haklar bölümlerini somutlaştırın.
5. Erişim yetkisini sınırlayın ve kayıt tutun
Denetim verisine kimin eriştiğini loglayın, erişimi yalnızca yetkili kişilerle sınırlayın.
6. İşten çıkış prosedürünü belgeleyin
Hesap kapatma, yönlendirme ve veri imha adımlarını standart bir sürece bağlayın.
10. Resmî Kaynaklar
Bu yazı, aşağıdaki birincil ve resmî kaynaklara dayanmaktadır. Uygulamaya geçmeden önce kararın tam metnini okumanızı öneririz:
- 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete (Kişisel Verileri Koruma Kurulu'nun 2026/2035 sayılı ilke kararının yayımlandığı nüsha)
- Kişisel Verileri Koruma Kurumu resmî internet sitesi (kvkk.gov.tr) (Kurul kararları ve duyurular sayfası)
- 6698 sayılı Kişisel Verilerin Korunması Kanunu, m.10 (Aydınlatma), m.12 (Veri Güvenliği) ve m.18 (İdari Para Cezaları)
11. Uyum Sürecinizi Biz Yönetelim
🤝 Aydınlatma Metninden Denetim Prosedürüne Kadar Tek Elden
Koray Akdağ / Sistem Global Danışmanlık olarak, şirketinizin mevcut e-posta ve iletişim kanalı denetim uygulamasını 2026/2035 sayılı karar karşısında değerlendiriyor, aydınlatma metninizi güncelliyor ve kademeli denetim prosedürünüzü birlikte kuruyoruz. Ayrı bir hukuk bürosu veya danışmanlık firması aramanıza gerek kalmadan, KVKK uyum sürecinizi ve sonrasındaki periyodik takibi tek noktadan yürütebiliriz. Şirketinizin mevcut denetim uygulamasını birlikte gözden geçirmek için bizimle iletişime geçebilirsiniz.
12. Sık Sorulan Sorular
İşveren çalışanın kurumsal e-postasını hiç denetleyemez mi?
Hayır, tamamen yasaklanmıyor. Karar, denetimi yasaklamıyor; hangi şartlarda ve nasıl yapılabileceğine sınır çiziyor. Önceden aydınlatma yapılmış, meşru bir hukuki sebebe dayandırılmış ve ölçülü biçimde (önce trafik, gerekirse içerik) yürütülen bir denetim mümkün.
Çalışma sözleşmesinde "e-postanız denetlenebilir" yazması yeterli mi?
Kurul'a göre yeterli değil. Bu tür genel-geçer bir cümle, somut aydınlatma yükümlülüğünü karşılamıyor. Aydınlatmanın amaç, kapsam, yöntem, saklama süresi ve çalışanın haklarını ayrı ayrı içermesi gerekiyor.
Çalışanın açık rızasını alırsak denetim her zaman hukuka uygun olur mu?
Hayır. İşçi-işveren ilişkisindeki güç dengesizliği nedeniyle Kurul, açık rızanın tek başına yeterli ve güvenilir bir hukuki sebep olmadığını değerlendiriyor. Denetim, kanuni yükümlülük, hak tesisi/koruması veya meşru menfaat gibi başka bir sebebe dayandırılmalı ve her halde ölçülülük testine tabi olmalı.
Yalnızca trafik/log kaydına bakmak, içerik okumaktan farklı mı sayılıyor?
Evet. Kurul, trafik/log incelemesini de kişisel veri işleme saysa da, içerik erişimine kıyasla daha az müdahaleci kabul ediyor. İçeriğe erişim, ancak trafik incelemesi yetersiz kaldığında ve somut bir şüphe bulunduğunda son çare olarak devreye girmeli.
Karar yalnızca e-postayı mı kapsıyor, yoksa WhatsApp/kurumsal mesajlaşmayı da mı?
Başlıkta kurumsal e-posta özellikle anılsa da karar, somut olayın özelliklerine göre kurum içi mesajlaşma uygulamalarını, CRM/talep sistemlerini ve toplantı platformlarındaki sohbet ve kayıt alanlarını da kapsayabiliyor.
İşten ayrılan bir çalışanın e-posta hesabını süresiz açık tutabilir miyiz?
Önerilmiyor. Genel kural, hesabın aktif kullanıma kapatılması ve hukuki dayanağı kalmayan verinin imha edilmesidir. İş sürekliliği veya hukuki savunma gibi somut bir gerekçe varsa sınırlı ve süreli bir yönlendirme/arşivleme yapılabilir, ancak bu her olayda ayrıca değerlendirilmelidir.
Sonuç
2026/2035 sayılı ilke kararı, iş yerlerinde yıllardır belirsiz bir alan olan e-posta ve iletişim kanalı denetimine somut bir çerçeve getiriyor. Kararın özeti şu: kurumsal hesabın işverene ait olması, denetim yetkisini otomatik ve sınırsız hale getirmiyor; denetim önceden duyurulmalı, meşru bir hukuki sebebe dayanmalı ve kademeli (önce trafik, gerekirse içerik) biçimde yürütülmeli. Bu kuralları şimdiden uygulamaya alan şirketler, hem KVKK denetim riskini hem de olası bir işten çıkarma uyuşmazlığında doğacak ek maliyeti önemli ölçüde azaltıyor.
Şirketinizin mevcut e-posta ve iletişim kanalı denetim uygulamasının bu karara ne kadar uyumlu olduğunu birlikte değerlendirmek, aydınlatma metinlerinizi güncellemek ve kademeli denetim prosedürünüzü kurmak için Koray Akdağ / Sistem Global Danışmanlık olarak yanınızdayız.