Kişisel Verileri Koruma Kurulu'nun (KVKK) işverenler tarafından çalışanlara tahsis edilen kurumsal e-posta hesapları ve iletişim kanallarının denetlenmesine ilişkin ilke kararı, 08 Ekim 2026 tarihinde Resmi Gazete'de yayımlandı. Kurul kararında, kurumsal e-posta hesaplarının çalışanın mesleki ve kişisel yazışma içeriklerini barındıran bir veri kaynağı niteliği taşıdığı vurgulandı. İletişim araçlarının işverene ait olmasının veya iş yerinde bulunmasının işverene sınırsız ve mutlak bir denetim yetkisi tanımadığı belirtilen kararda, işverenin yazışma içeriklerine serbestçe erişemeyeceği ifade edildi.
Çalışanın e-posta denetimi nasıl yapılacak?
Kişisel Verileri Koruma Kurulu'nun kararına göre, denetim faaliyetinin kapsamı belirlenirken iş yeri iletişim araçlarının iş amaçlı ve özel amaçlı kullanım ayrımı dikkate alınacak. İşverenin özel kullanımına ilişkin kurallar belirleyebileceği ancak bu kuralların açık, anlaşılır ve çalışan tarafından bilinebilir nitelikte olması gerektiği aktarıldı. Özel amaçlı kullanımın yasaklanması veya sınırlandırılması halinde bunun çalışana açıkça duyurulması gerektiği vurgulandı. Denetim faaliyetinde kademeliliğin esas olduğu belirtilerek, içeriğe erişimin ancak trafik verisi denetiminin yetersiz kaldığı ve içeriğe erişimin zorunlu olduğu istisnai hallerde gündeme gelebileceği ifade edildi.
Çalışanlar denetim hakkında nasıl bilgilendirilecek?
Çalışanın denetim faaliyeti hakkında önceden bilgilendirilmesi gerektiği belirtilen kararda, işverenin yapacağı aydınlatmanın somut ve açık olması şartı getirildi. Aydınlatma yükümlülüğü; kişisel veri işleme faaliyetinin hukuki sebebini, amacını, kapsamını, denetimin trafik veya log kayıtlarının incelenmesiyle mi yoksa içerik denetimiyle mi yürütüleceğini, içeriğe hangi hallerde erişilebileceğini ve verilerin saklama süresini açık biçimde içerecek. Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri ile çalışanın tüm işlemlerini ayrım gözetmeksizin kaydeden araçlar aracılığıyla yürütülen denetimler hukuka aykırı sayılacak.
Kurallara uymayan işverenlere ne olacak?
Kişisel Verileri Koruma Kurulu ilke kararında yer alan yükümlülüklere uyulmadığının tespit edilmesi halinde, somut olayın özellikleri dikkate alınarak gerekli incelemenin yapılacağı bildirildi. Karara göre, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 18. maddesi uyarınca ilgili veri sorumluları hakkında idari işlem tesis edilecek.
