İşveren Çalışanın E-postasını Okuyabilir mi? KVKK Kurumsal E-posta Denetimi İlke Kararı
KVKK'nın kurumsal e-posta ve iş yeri iletişim kanallarının denetlenmesine ilişkin ilke kararı 8 Ekim'de Resmî Gazete'de yayımlandı. İşverenler neyi yapabilir, neyi yapamaz? Log kayıtlarından eski çalışan hesaplarına kadar özetledik.
KVKK'nın kurumsal e-posta hesapları ve iş yeri iletişim kanallarının denetlenmesine ilişkin ilke kararı 8 Ekim 2026'da Resmî Gazete'de yayımlandı. Kısa cevap: İşveren denetleyebilir, ama sınırsız değil. Karar; log kayıtlarından eski çalışan hesaplarına kadar pek çok uygulamayı doğrudan etkiliyor.
Ne Yayımlandı?
Kişisel Verileri Koruma Kurulu'nun 16.09.2026 tarihli ve 2026/2035 sayılı ilke kararı, 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete'de yayımlandı. Kararın kapsamı yalnızca e-posta değil; kurum içi mesajlaşma uygulamaları, kurumsal anlık mesajlaşma hesapları, CRM sistemleri ve toplantı platformlarındaki sohbet ve kayıt alanları da kararın kapsamında.
Kararın Temel İlkeleri
Araç şirketin diye sınırsız denetim olmaz: E-posta hesabının şirkete ait olması, işverene sınırsız denetim yetkisi vermez.
İçerik incelemesi istisnai: Yazışma içeriğine erişim, ancak somut bir şüphe veya belirli bir olay olduğunda, güçlü ve somut bir gerekçeyle ve iddiayla sınırlı şekilde yapılabilir.
Loglar da kişisel veri: Yalnızca trafik ve log kayıtlarını incelemek de kişisel veri işleme sayılır; hukuki dayanak, saklama süresi, erişim yetkisi ve aydınlatma gerektirir.
Sürekli gözetim yok: Kişisel kullanım yasaklanmış olsa bile çalışanların sürekli izlenmesi kabul edilmiyor.
Önceden ve yeterli bilgilendirme: "Kurumsal e-postanız denetlenebilir" gibi genel bir ifade, aydınlatma yükümlülüğünü karşılamaz.
Açık rıza birincil dayanak değil: İş ilişkisindeki bağımlılık nedeniyle, çalışanın rızası e-posta denetiminin ana hukuki dayanağı olarak görülmemeli.
Daha az müdahaleci yöntem önce: Amaç daha hafif yöntemlerle sağlanabiliyorsa, içerik incelemesine başvurulmamalı.
İşten Ayrılan Çalışanın E-postası
Karara ilişkin değerlendirmelere göre iş ilişkisi sona erdiğinde kurumsal e-posta hesabı kural olarak kapatılmalı, hesaba gelen yeni iletiler ilgisiz kişilerce görüntülenmemeli ve hukuki dayanağı olmayan veriler imha edilmelidir. Uygulamada sık görülen "eski çalışanın hesabını yöneticisine yönlendirme" alışkanlığı bu nedenle yeniden değerlendirilmelidir.
İşverenler İçin Uyum Kontrol Listesi
Alan | Yapılması gereken |
|---|---|
Politika | Kurumsal iletişim kanallarının kullanımı ve denetimine ilişkin yazılı, ayrıntılı politika |
Aydınlatma | Hangi kanalın, hangi amaçla, hangi koşullarda denetlenebileceğinin açıkça anlatılması |
Kademeli model | Önce log ve meta veri, yalnızca somut şüphede sınırlı içerik incelemesi |
Yetkilendirme | İncelemeyi kimin onaylayacağı ve kimin yapacağının belirlenmesi |
Kayıt | Her incelemenin gerekçesi, kapsamı ve sonucunun belgelenmesi |
Saklama | E-posta ve log kayıtları için belirli saklama süreleri |
Çıkış süreci | Ayrılan çalışanların hesaplarının kapatılması ve verilerin imhası |
BT Ekipleri İçin Teknik Notlar
Log erişimini kısıtlayın: E-posta sunucusu ve güvenlik ürünlerinin loglarına yalnızca yetkili kişiler erişebilmeli; erişimler de kayıt altına alınmalı.
Saklama sürelerini otomatikleştirin: Belirlenen süre dolan loglar otomatik olarak silinmeli.
Güvenlik taramasını ayırın: Spam ve zararlı yazılım filtreleri gibi otomatik güvenlik kontrolleri ile içerik incelemesi farklı amaçlardır; politikada ayrı ayrı tanımlanmalıdır.
KVKK'nın çalışan verilerine ilişkin bir diğer güncel kararını biyometrik mesai takibi yazımızda ele almıştık.
Sık Sorulan Sorular
İşveren çalışanın kurumsal e-postasını okuyabilir mi?
Ancak somut bir şüphe veya olay varsa, güçlü bir gerekçeyle, çalışan önceden bilgilendirilmişse ve inceleme iddiayla sınırlı tutulursa. Sürekli ve genel bir okuma kabul edilmiyor.
Sadece e-posta loglarını incelemek serbest mi?
Hayır. Karara göre trafik ve log kayıtlarının incelenmesi de kişisel veri işleme sayılır ve KVKK'daki tüm ilkelere uygun yapılmalıdır.
Teams, Slack gibi uygulamalar da kapsamda mı?
Evet. Karar; kurum içi mesajlaşma uygulamalarını, kurumsal anlık mesajlaşma hesaplarını ve toplantı platformlarındaki sohbet ve kayıt alanlarını da kapsıyor.
Olfe ile Kontrolünüzdeki E-posta Altyapısı
Olfe, İzmir Bornova'daki Tier III veri merkezinde e-posta sunucularınızı ve log altyapınızı yurt içinde, erişimi kontrol edilebilir bir ortamda barındırmanızı sağlar. Bizimle iletişime geçin.
Sonuç
Yeni ilke kararıyla kurumsal iletişim kanallarının denetimi "yapılabilir mi?" sorusundan "nasıl, ne zaman ve ne kadar?" sorusuna taşındı. Politikasını, aydınlatma metnini ve teknik log yönetimini bugün gözden geçiren işverenler, yarının şikâyetlerine hazırlıklı olacak.
Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımaz. Kararın tam metni için Resmî Gazete esas alınmalıdır.