İşveren çalışanın e-postasını okuyabilir mi? Kişisel Verileri Koruma Kurulu’nun (KVKK) 8 Ekim 2026 tarihli Resmi Gazete’de yayımlanan ilke kararına göre işveren kurumsal e-posta hesaplarını denetleyebilir, ancak bu yetki sınırsız değil: Çalışanın önceden ve açıkça bilgilendirilmesi, denetimin ölçülü olması ve e-posta içeriğine yalnızca istisnai durumlarda erişilmesi gerekiyor.
KVKK’nın ilke kararı neyi düzenliyor?
Kurul’un 16 Eylül 2026 tarihli ve 2026/2035 sayılı ilke kararı, işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları başta olmak üzere işin yürütülmesi için kullanılan iletişim kanallarının denetiminde uyulacak usul ve esasları 16 maddede belirliyor. Kararda, bu hesapların yalnızca iş yazışmalarını değil, çalışanın mesleki ve zaman zaman kişisel ilişki ağını da barındırdığına dikkat çekiliyor; denetimin işverenin yönetim hakkı ile çalışanın kişisel verilerinin korunması ve haberleşme özgürlüğü arasında denge gerektirdiği vurgulanıyor.
İşveren çalışanın e-postasını okuyabilir mi?
- Sahiplik sınırsız yetki vermiyor: İletişim araçlarının işverene ait olması veya işyerinde bulunması, işverene sınırsız ve mutlak bir denetim yetkisi tanımıyor.
- Log kaydı da kişisel veri: İçeriğe girmeden yalnızca trafik veya log kayıtlarının işlenmesi bile kişisel veri işleme faaliyeti sayılıyor.
- Kademeli denetim: İçeriğe erişim, ancak trafik verilerinin incelenmesinin yeterli olmadığı ve içeriğe bakmanın zorunlu hale geldiği istisnai durumlarda gündeme gelebiliyor.
- Gizli izleme hukuka aykırı: Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri ile çalışanın tüm işlemlerini ayrım gözetmeden kaydeden araçlarla yapılan denetim hukuka aykırı kabul ediliyor.
Kişisel e-posta ve mesajlaşma uygulamalarına erişilebilir mi?
Hayır. Kurul’a göre işverenin belirli bir cihaz, oturum, ağ veya kurumsal sistem üzerinde teknik yetkiye sahip olması; çalışanın kişisel e-posta hesabına, özel mesajlaşma uygulamalarına veya sosyal medya mesaj kutularına serbestçe erişebileceği anlamına gelmiyor. Denetimin kapsamı belirlenirken iş amaçlı ve özel amaçlı kullanım ayrımının gözetilmesi gerekiyor.
İşverenler iletişim araçlarının özel kullanımını yasaklayabilir, sınırlayabilir veya belirli zaman ve yöntemlere bağlayabilir. Ancak bu kuralların açık, anlaşılır ve çalışan tarafından bilinebilir olması, çalışanın önceden bilgilendirilmesi şart.
İşveren çalışana neleri bildirmek zorunda?
Aydınlatmanın genel bir ifadeden ibaret olması yeterli sayılmıyor. Çalışana şu bilgilerin açık ve somut biçimde verilmesi gerekiyor:
- Kişisel verilerin hangi hukuki sebeple işlendiği
- Denetimin amacı ve kapsamı
- Yalnızca trafik ve log kayıtlarının mı, yoksa içeriklerin de mi inceleneceği
- İçeriğe hangi durumlarda erişilebileceği
- Verilerin ne kadar süre saklanacağı
Kurallara uymayan işverene ne olacak?
Kurul, ilke kararındaki yükümlülüklere uyulmadığını tespit ederse somut olaya göre inceleme yapacak; ihlal halinde 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 18. maddesi kapsamında veri sorumlusu hakkında idari işlem uygulanabilecek.
Bankalar ve finans kuruluşları için ne anlama geliyor?
Bankalar, bilgi güvenliği ve mevzuata uyum gerekçeleriyle kurumsal yazışmaları izleyen işverenler arasında. Karar bu izlemeyi yasaklamıyor, ancak çerçevesini daraltıyor: Aydınlatma metinlerinin ve iç politikaların denetimin kapsamını, içeriğe erişim koşullarını ve saklama sürelerini somut biçimde yazacak şekilde gözden geçirilmesi gerekecek. Çalışanlar açısından ise kurumsal hesap kullanmak, yazışmaların işverence serbestçe okunabileceği anlamına gelmiyor.
Kurul bu yıl işyerindeki veri işlemeye ilişkin başka kararlar da açıklamıştı: mesai takibinde biyometrik veri kullanımına ilişkin ilke kararı ve bir banka çalışanının ses kaydı talebine ilişkin karar bunlar arasında.
