KVKK’dan işçi haklarını ilgilendiren ilke kararı: Denetim önceden bildirilecek, yazışmaların içeriğine erişim sınırlı olacak.
Denetimden önce çalışan bilgilendirilecek
Karara göre işveren, kurumsal e-posta hesabını denetleyecekse çalışanı önceden açık ve anlaşılır biçimde bilgilendirmek zorunda. Bu bilgilendirme, yalnızca “kurumsal e-postalar denetlenebilir” şeklindeki genel bir ifadeden ibaret olamayacak.
Denetimin amacı, hukuki dayanağı, kapsamı ve yöntemi açıklanacak. İşverenin yalnızca e-posta trafik ve kayıtlarını mı inceleyeceği, yoksa yazışmaların içeriğine de hangi koşullarda erişebileceği belirtilecek. Verilerin ne kadar süreyle saklanacağı ve çalışanın hakları hakkında da bilgi verilecek.
İşveren her yazışmanın içeriğini okuyamayacak
KVKK, denetimde daha az müdahaleci yöntemlerin öncelikli olmasını istedi. İşveren, ulaşmak istediği amaca trafik ve sistem kayıtlarını inceleyerek ulaşabiliyorsa yazışmaların içeriğine erişemeyecek.
İçerik incelemesi ancak somut bir şüphe veya belirli bir olayla bağlantılı meşru bir amaç bulunması ve erişimin zorunlu olması hâlinde, gerekli kapsamla sınırlı biçimde yapılabilecek. Genel, belirsiz ve sürekli yazışma incelemesi ölçülülük ilkesine aykırı olacak.
İşverenin kurumsal iletişim araçlarının özel amaçlı kullanımını yasaklaması da bu sınırları ortadan kaldırmayacak. Özel kullanımın yasak olduğu durumlarda bile kesintisiz ve sınırsız gözetim yapılamayacak. Bir ihlal, yazışmaların içeriğine bakılmadan anlaşılabiliyorsa ayrıca içerik incelemesine başvurulması gerekli ve orantılı kabul edilmeyecek.
Kişisel mesajlara erişim serbest değil
Karar yalnızca e-posta hesaplarını kapsamıyor. İşin yürütülmesinde kullanılan mesajlaşma uygulamaları, müşteri ilişkileri sistemleri, talep yönetim platformları ve toplantı uygulamalarındaki sohbet ve kayıt alanları da somut olayın özelliklerine göre denetime konu olabilecek.
Ancak işverenin bir bilgisayara, ağa veya kurumsal sisteme teknik olarak erişebilmesi, çalışanın kişisel e-posta hesabını, özel mesajlarını ya da sosyal medya yazışmalarını serbestçe inceleyebileceği anlamına gelmiyor. Teknik erişim imkânı ile hukuki erişim yetkisi birbirinden farklı değerlendirilecek.
İş amaçlı ve özel amaçlı yazışmaların birbirinden ayrılabildiği durumlarda denetim iş amaçlı iletişimle sınırlı tutulacak. Ayrım yapılamıyorsa işverenin denetim yetkisi daha dar yorumlanacak.
İşçinin açık rızası tek başına yeterli değil
KVKK, işçi ile işveren arasındaki güç ve bağımlılık ilişkisine de dikkat çekti. Çalışanın açık rızası, e-posta denetimi bakımından her durumda öncelikli hukuki dayanak sayılamayacak. Rızaya başvurulması hâlinde bunun özgür iradeyle verilip verilmediği ayrıca değerlendirilecek.
Denetimin hukuka uygunluğu için kişisel verilerin korunmasına ilişkin genel ilkelere uyulması, işlemenin belirli ve meşru bir amaca dayanması, ölçülü olması ve verilerin gerektiğinden uzun süre saklanmaması gerekiyor.
Denetim verilerine yalnızca yetkilendirilmiş sınırlı sayıda personel erişebilecek. Erişim kayıtları tutulacak ve bu kişilerin gizlilik yükümlülükleri güvence altına alınacak.
İşten ayrılan çalışanın hesabı da sınırsız biçimde kullanılamayacak
Karar, iş sözleşmesi sona eren çalışanların kurumsal e-posta hesaplarına ilişkin uygulamaları da düzenliyor. İş ilişkisinin sona ermesi, çalışanın hesabındaki verilerin süresiz biçimde erişilebilir tutulabileceği anlamına gelmiyor.
Kural olarak hesap aktif kullanıma ve yeni erişimlere kapatılacak; hukuki dayanağı kalmayan kişisel veriler imha edilecek. İş sürekliliği, hukuki uyuşmazlıklar veya mevzuattan doğan yükümlülükler nedeniyle yönlendirme, otomatik yanıt ya da arşivleme yapılması ise somut koşullara göre değerlendirilecek.
Kurallara aykırılık hâlinde idari işlem gündeme gelecek
KVKK, belirlediği yükümlülüklere uyulmadığının tespit edilmesi durumunda 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 18’inci maddesi kapsamında ilgili veri sorumluları hakkında işlem yapılabileceğini bildirdi.
Kararın çalışma hayatı açısından önemi açık: İşverenin işin yürütülmesi ve işyeri kaynaklarının kullanılması konusunda denetim yetkisi bulunuyor. Ancak bu yetki, çalışanın özel hayatını ve haberleşme özgürlüğünü ortadan kaldırmıyor. İşyerindeki denetimin önceden bilgilendirmeye, meşru amaca ve ölçülülüğe dayanması gerekiyor.
Resmî kaynaklar
Resmî Gazete – 8 Ekim 2026 tarihli, 33394 sayılı nüsha
KVKK – 16 Eylül 2026 tarihli ve 2026/2035 sayılı ilke kararı