Kişisel Verileri Koruma Kurulu, kurumsal e-posta denetimi konusunda bağlayıcı esaslar getiren bir ilke kararı yayımladı. 16 Eylül 2026 tarihli ve 2026/2035 sayılı karar, KVKK'nın internet sitesinde 8 Ekim 2026'da yayımlandı. Ekip yöneten her işletmeyi, ajansları da ilgilendiriyor.
KVKK 2026/2035 ilke kararı neyi düzenliyor?
Karar; çalışanlara tahsis edilen kurumsal e-posta hesapları başta olmak üzere, işin yürütülmesi için kullanılan iletişim kanallarının denetlenmesinde uyulacak usul ve esasları belirliyor. Temel mesaj şu: bir sisteme teknik olarak erişebiliyor olmanız, onu denetleme hakkınız olduğu anlamına gelmiyor.
İşverenler ne yapmalı?
- Denetimi yalnızca kanundaki işleme şartları ve hukuka uygunluk, ölçülülük ve amaçla sınırlılık ilkeleri çerçevesinde yapın.
- İş amaçlı ve kişisel kullanımı ayırın; kişisel kullanım kurallarını açık ve çalışanların bildiği biçimde yazın.
- Çalışanları önceden; amaç, kapsam, yöntem, hukuki sebep, içeriğe hangi durumlarda erişileceği, saklama süresi ve haklarını kapsayacak şekilde bilgilendirin.
- Önce daha az müdahaleci yöntemlerle başlayan kademeli bir yaklaşım izleyin.
- İçerik incelemesini yalnızca somut bir şüphe ya da belirli bir olaya bağlı amaçla ve bu amaçla sınırlı yapın.
- Erişimi yetkili kişilerle sınırlayın, erişim kayıtlarını tutun ve gizlilik yükümlülüğü getirin.
Yapılmaması gerekenler
- Şirketin sahibi olduğunuz için sınırsız denetim hakkınız olduğunu varsaymayın.
- Çalışanın açık rızasına varsayılan dayanak olarak güvenmeyin; iş ilişkisinde rızanın özgür olup olmadığı ayrıca değerlendiriliyor.
- Geniş, belirsiz ya da sürekli içerik incelemesi yapmayın.
- Verileri gerekenden uzun saklamayın; iş ilişkisi bittikten sonra erişime devam etmeyi varsaymayın.
Neden önemli?
Kurul, karara uyulmamasının Kanunun 18. maddesi kapsamında işlem yapılmasına yol açabileceğini belirtiyor. "Şirket e-postaları izlenebilir" gibi genel bir bildirim artık yeterli sayılmıyor. Bizim önerimiz: aydınlatma metinlerinizi ve iç politikalarınızı bu karara göre güncelleyin.
Kaynaklar
Sık sorulan sorular
Şirket e-postalarını izleyebileceğimizi bildirmek yeterli mi?
Hayır. Karara göre amaç, kapsam, yöntem, hukuki sebep, saklama süresi ve çalışanın haklarını içeren açık ve önceden yapılan bir bilgilendirme gerekiyor.
Çalışandan rıza almak sorunu çözer mi?
Karar, iş ilişkisinde rızanın özgür iradeyle verilip verilmediğinin ayrıca incelenmesi gerektiğini vurguluyor. Bu yüzden açık rıza varsayılan dayanak olmamalı.
Karar ne zaman yayımlandı?
Kurulun 16 Eylül 2026 tarihli ve 2026/2035 sayılı ilke kararı, KVKK'nın sitesinde 8 Ekim 2026'da yayımlandı.
