Kurumsal e-posta hesapları, işverenin faaliyetlerini yürütmek için sağladığı araçlar olmakla birlikte, çalışanların iletişimlerini ve kişisel verilerini de barındırır. Hesabın şirket uzantısını taşıması, içindeki bütün bilgileri işverenin sınırsız tasarrufuna açmaz. Tartışmanın merkezinde, işverenin faaliyetlerini ve bilgi güvenliğini koruma ihtiyacı ile çalışanın mahremiyeti arasındaki denge bulunmaktadır.
Kişisel Verileri Koruma Kurulu’nun (“Kurul”) 16 Eylül 2026 tarihli ve 2026/2035 sayılı İlke Kararı (“İlke Kararı”), bu dengeyi iş iletişiminin farklı kanallarını kapsayan bir çerçeveye taşımaktadır. 8/11/2026 tarihli ve 33394 sayılı Resmî Gazete’de yayımlanan karar, yalnızca hangi e-postaların okunabileceğine değil; denetimin neden, nasıl, kim tarafından ve hangi sınırlar içinde yapılabileceğine odaklanmaktadır.
Kararın anlamını kavramak için önce işverenin denetim ihtiyacını, ardından getirilen kuralları incelemek gerekir. Önceki Kurul kararları ve Anayasa Mahkemesi’nin (“AYM”) 21/9/2022 tarih ve 2019/25604 başvuru numaralı (“Fırat Gerçek Kararı”), bu kuralların gelişimini açıklarken; Rekabet Kurumu’nun (“RK”) dijital yerinde inceleme kılavuzu (“Kılavuz”), aynı iletişim ortamlarında farklı bir yetkinin nasıl kullanıldığını göstermektedir.
1. İşveren çalışanların e-postalarını neden denetlemek ister?
İşveren bakımından kurumsal e-posta, müşteri ilişkilerinin, iş talimatlarının ve şirket içi bilgi akışının yürütüldüğü bir ortamdır. Ticari sırların dışarıya aktarılmasını önlemek, bilgi güvenliği olaylarını araştırmak, kurumsal kaynakların uygun kullanımını sağlamak ve hukuki sorumluluk risklerini yönetmek denetim ihtiyacı doğurabilir. Kurul’un 2023/86 sayılı kararında da kaynakların verimli kullanılması, ticari gizliliğin korunması, hukuki ve cezai sorumluluğa karşı korunma ve bilgi akışının kontrolü, çalışan haklarıyla dengelenmesi gereken işveren amaçları arasında sayılmıştır.
Çalışanın işten ayrılması da erişim ihtiyacı yaratabilir. Devam eden müşteri yazışmalarının ve projelerin yönetilmesi, kurumsal iletişimin kesintiye uğramaması veya bir uyuşmazlıkta gerekli kayıtların korunması gerekebilir. Yeni İlke Kararı bu ihtiyaçları kabul etmekte, ancak ayrılma sonrasındaki yönlendirme ve muhafaza uygulamalarını sınırlılık, süre, erişim yetkisi ve kayıt güvencelerine bağlamaktadır.
Dolayısıyla mesele denetim ihtiyacının varlığından çok, bu ihtiyacın ne ölçüde müdahaleyi haklılaştırdığıdır. Belirli bir veri aktarımının araştırılması ile çalışanın bütün yazışmalarının okunması aynı değildir. İşverenin meşru bir amacı bulunması, bu amaca ulaşmak için seçtiği her yöntemin uygun olduğu anlamına gelmez.
2. İlke Kararı ne getiriyor?
İlke Kararı’nın ilk önemli yönü, kapsamının kurumsal e-postayla sınırlı olmamasıdır. Kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları, müşteri ilişkileri ve talep yönetim sistemleri ile toplantı platformlarının sohbet ve kayıt alanları da somut olayın özelliklerine göre değerlendirmeye dâhildir. Böylece iletişimin farklı bir platforma taşınması, denetimin hukuki güvencelerini ortadan kaldırmaz.
İkinci olarak, içerik okunmasa bile trafik ve log kayıtlarının işlenmesi kişisel veri işleme faaliyetidir. Kimin kimle ve ne zaman iletişim kurduğuna ilişkin kayıtlar, içerikten ayrı olmakla birlikte hukuki değerlendirmeye tabidir. Karar, iletişim aracının işverene ait olmasının sınırsız denetim yetkisi sağlamadığını da açıkça belirtmektedir.
Özel kullanım kuralları bu değerlendirmenin önemli bir parçasıdır. İşveren özel kullanımı yasaklayabilir veya sınırlandırabilir; ancak kurallar açık, anlaşılır ve çalışan tarafından bilinebilir olmalıdır. Yasak bulunsa dahi sürekli ve aralıksız gözetim ölçülü değildir. Özel kullanımın ihlali içerik dışındaki unsurlardan anlaşılabiliyorsa, ayrıca yazışmanın okunması gerekli kabul edilmez. Özel kullanıma izin verilen hâllerde ayrıştırılabilen özel yazışmalar denetim dışında bırakılmalı; ayrıştırmanın mümkün olmadığı durumlarda yetki daha dar yorumlanmalıdır.
Aynı yaklaşım kişisel hesaplara erişimde de geçerlidir. Şirket bilgisayarındaki açık bir oturum veya sistem yöneticisinin teknik yetkisi, çalışanın kişisel e-posta hesabının ya da özel mesajlarının serbestçe incelenmesini sağlamaz. Kararın ayırdığı iki kavram, teknik erişim imkânı ile hukuki erişim yetkisidir.
Şeffaflık bakımından yalnızca “kurumsal e-postalar denetlenebilir” şeklindeki bildirim yeterli değildir. Aydınlatma; hukuki sebebi, amacı, kapsamı, trafik veya içerik incelemesi ayrımını, içeriğe erişilecek hâlleri, saklama süresini ve çalışanın haklarını somutlaştırmalıdır. Karar ayrıca anayasal içtihatta aranan önceden bilgilendirme ile kanuni aydınlatmanın aynı kavramlar olmadığını belirtir. Her bilgilendirme aydınlatma sayılmaz; gerekli unsurları içeren, amaç, kapsam ve yöntemi açıklayan aydınlatma ise önceden bilgilendirmeyi de karşılayabilir.
Çalışanın açık rızası da bütün denetimleri hukuka uygun hâle getiren bir çözüm değildir. İş ilişkisindeki bağımlılık ve güç dengesizliği nedeniyle rıza öncelikli dayanak olarak esas alınmamalı; kullanıldığında özgür iradeyle açıklanıp açıklanmadığı ayrıca değerlendirilmelidir. Hukuki yükümlülük, hakların korunması veya meşru menfaat gibi diğer dayanaklar da sınırsız inceleme sağlamaz.
Denetimin yönteminde kademelilik esastır. Daha az müdahaleci yöntem yeterliyse ağır yönteme başvurulamaz. İçerik incelemesi, trafik denetiminin yetersiz kaldığı, erişimin zorunlu olduğu ve somut şüpheyle bağlantılı istisnai hâllerle sınırlıdır. Kapsamı belirsiz ve sürekli içerik taraması bu yaklaşımın tersidir.
Son olarak İlke Kararı, özel nitelikli veriler ve yazışma muhataplarının verileri üzerindeki etkilerin gözetilmesini; gizli ve ayrım gözetmeyen izleme yöntemlerinden kaçınılmasını; erişimin yetkilendirilmiş sınırlı personele verilmesini, erişim kayıtlarının tutulmasını ve gizliliğin sağlanmasını istemektedir. Yükümlülüklere uyulmaması hâlinde somut olay değerlendirilerek idari işlem uygulanacağı belirtilmiştir.
3. Önceki Kurul kararları ve AYM kararıyla ilişki
Kronolojik olarak önce gelen Fırat Gerçek kararı yayımlanmıştır. Olay doğrudan e-posta değil, işten ayrılan bir çalışanın iade ettiği şirket telefonundaki mesajlaşmalarla ilgilidir. İşveren müşteri iletişim bilgilerini bulmak amacıyla telefonu incelemiş; başka bir çalışanla yapılan yazışmaları elde ederek bu çalışanın iş sözleşmesini feshetmiştir.
AYM, şirketin genel kullanım politikasının denetim yetkisini ve sonuçlarını açıklayıp açıklamadığının, ayrıca başvurucunun bilgilendirilip bilgilendirilmediğinin derece mahkemelerince araştırılmadığını belirlemiştir. Müşteri bilgilerine ulaşma amacıyla elde edilen özel görüş içerikli mesajların fesihte kullanılması bakımından da amaçla uyumlu ve sınırlı inceleme gösterilememiştir. Anayasal güvenceleri gözeten değerlendirme yapılmadığı için özel hayata saygı hakkı ve haberleşme hürriyetinin ihlaline karar verilmiştir.
Kurul’un 19 Ocak 2023 tarihli ve 2023/86 sayılı kararı ise hukuka uygun bulunan bir inceleme örneğidir. Şirket bilgilerinin ve bir telefon görüşmesi kaydının kurumsal hesaptan dışarı aktarılmasına ilişkin olayda, önce şüpheli e-posta trafiği saptanmış, ardından sınırlı içerik incelemesi yapılmıştır. Kurul; çalışan aydınlatmasını, işverenin haklı menfaatini ve incelemenin ilgili kişiyle ve amaçla sınırlı tutulmasını dikkate alarak işleme faaliyetinde hukuka aykırılık bulmamıştır.
Bu sonuçlar çelişkili değildir. Her ikisinde de belirleyici olan, hesabın veya cihazın mülkiyeti değil; bilgilendirme, amaç ve müdahalenin sınırlarıdır. Yeni İlke Kararı aynı yaklaşımı genel kurallara dönüştürmekte; özellikle trafik kayıtları, kişisel hesaplar, rıza, erişim yönetimi ve ayrılma süreçlerini daha ayrıntılı açıklamaktadır.
Ayrılan ortağın e-postalarına ilişkin 3 Ağustos 2023 tarihli ve 2023/1321 sayılı karar da bu gelişimle paraleldir. Hesap kapatılmış olsa da gelen iletilerin “tanımsız mail” mekanizmasıyla yöneticiye aktarılması nedeniyle veri işleme sürmüştür. Kurul, işleme dayanağı bulunmadığı sonucuyla yaptırım uygulanmasına ve sistemin düzeltilmesine karar vermiştir. Yeni İlke Kararının ayrılma sonrasındaki işlemleri ayrıca gerekçelendiren yaklaşımıyla ortak nokta budur. Bununla birlikte yeni karar, gerekli güvencelerle sınırlı yönlendirme ve muhafazanın değerlendirilebileceğini açıklamaktadır; bütün ayrılma sonrası işlemleri kategorik olarak yasaklamaz.
4. Rekabet Kurumunun dijital inceleme kılavuzuyla paralellik
RK’nın da yerinde incelemelerde dijital verilerin incelenmesine ilişkin bir kılavuzu bulunmaktadır. Kılavuz; sunucular, bilgisayarlar, taşınabilir cihazlar, yedekler ve bulut ortamlarındaki teşebbüs verilerinin incelenme yöntemlerini açıklamaktadır. Taşınabilir cihazlarda teşebbüs verisi bulunup bulunmadığını belirleyen hızlı gözden geçirme öngörülürken, kişisel kullanıma özgülendiği doğrulanan cihazların incelenmeyeceği belirtilmektedir.
İlke Kararı ile paralellik, cihaz mülkiyetinin tek başına belirleyici olmaması ve iş verisiyle özel iletişimin ayrıştırılmasının öneminde görülür. Ancak hukuki yetkiler farklıdır: RK’nın incelemesi kamusal denetim yetkisine dayanır; işverenin çalışanını denetlemesi kendi amaçları bakımından ayrıca değerlendirilir. Bu nedenle Kılavuz’daki inceleme imkânları, işverene çalışanların kişisel hesaplarını inceleme yetkisi vermez.
Kılavuz ayrıca teşebbüsün bilgi sistemleri konusunda tam ve aktif destek sağlamasını; gerekli e-posta erişimini ve teknik yetkileri sunmasını öngörmektedir. İşveren bakımından ortak uygulama ihtiyacı, gerekli veriye erişebilen fakat ilgisiz iletişimi gereksiz yere açmayan bir teknik yapı kurmaktır. Buradaki karşılaştırma Kılavuz’un bağımsız metnine değil, ekli değerlendirmede aktarılan hükümlerine dayanmaktadır. Aynı değerlendirme, Kılavuz’da kişisel verilerin korunmasına doğrudan atıf bulunmadığını da belirtmektedir; dolayısıyla iki metnin aynı ayrıntıda koruma sağladığı söylenemez.
5. İlke Kararı uyarınca işveren ne yapmalı?
İşverenin ilk işi, mevcut iletişim politikalarını kararın kapsamına göre yeniden değerlendirmektir. E-posta yanında iş için kullanılan mesajlaşma ve toplantı sistemleri belirlenmeli; kurumsal ve kişisel hesapların sınırları açıklanmalıdır. Özel kullanıma ilişkin tercih belirsiz bırakılmamalı, yasak veya sınırlı izin çalışanlara açıkça duyurulmalıdır. Bununla birlikte bir kullanım yasağının tek başına içerik incelemesini haklılaştırmadığı unutulmamalıdır.
Aydınlatma metni, gerçek denetim uygulamasıyla örtüşmelidir. Çalışan hangi kayıtların, hangi amaçla ve hangi koşullarda inceleneceğini anlayabilmelidir. Trafik denetimiyle içerik incelemesi ayrı açıklanmalı; saklama süreleri ve ilgili kişi hakları somutlaştırılmalıdır. Genel bir denetim cümlesi veya imza alınmış olması, eksik açıklamaları tamamlamaz. İşverenin politika değişikliklerini çalışanlara ulaştırması ve hangi metnin bildirildiğini gösterebilmesi, şeffaflığın uygulamadaki karşılığıdır.
Denetim başlamadan önce amaç ve hukuki dayanak belirlenmelidir. İnceleme konusu olay, ilgili hesaplar, dönem ve gerekli veri kapsamı somutlaştırılmalıdır. Meşru menfaate dayanılıyorsa çalışan üzerindeki etkiyle denge kurulmalı; içerik erişimi gerekiyorsa daha hafif yöntemin neden yeterli olmadığı açıklanmalıdır. Bu değerlendirmeyi kayıt altına alan bir iç onay süreci, kararın gereklilik ve kademelilik yaklaşımını uygulanabilir hâle getirir. İnceleme, önce bütün yazışmaları okuyup sonra gerekçe arayan bir sürece dönüşmemelidir.
Erişim de denetlenebilir olmalıdır. Sistem yöneticisinin teknik yetkisiyle inceleme yapma yetkisi ayrılmalı; verilere yalnızca görevli personel erişmeli, işlemler kaydedilmeli ve gizlilik sağlanmalıdır. Özel yazışmaların, muhatap verilerinin ve özel nitelikli verilerin gereksiz biçimde raporlara veya geniş yönetim gruplarına taşınması önlenmelidir. Elde edilen bulguların disiplin veya uyuşmazlık süreçlerinde kullanılması düşünülüyorsa bu kullanımın amacı ve kapsamı ayrıca değerlendirilmelidir.
Ayrılma sürecinde ise hesabın kapatılması, yönlendirme ve arşivleme ayrı işlemler olarak ele alınmalıdır. İş sürekliliği için gerekli uygulamalar süreli, yetkilendirilmiş ve kayıtlı olmalı; hizmet sağlayıcının otomatik yönlendirmeleri de kontrol edilmelidir. Hukuki dayanağı kalmayan veriler imha edilmeli, gerekli muhafaza ise belirli amaç ve veri kapsamıyla sınırlandırılmalıdır. Aynı saklama süresini bütün kayıtlar için benimsemek yerine, her veri grubunun ihtiyacı değerlendirilmelidir.
Sonuç olarak İlke Kararı, denetimin bütünüyle yasaklanmasından çok, denetim tasarımının değiştirilmesini gerektirmektedir. İşveren için doğru soru, yalnızca “Bu e-postaya erişebilir miyim?” değildir. Asıl soru, “Hangi amaçla, hangi dayanakla, ne kadar veriye, kimlerin erişimiyle ve ne süre boyunca işlem yapmalıyım?” olmalıdır. Hukuka uygun denetim, kurumsal güvenliği çalışan mahremiyetinin karşısına koymak yerine, ikisini açık kurallar ve sınırlı erişim içinde birlikte koruyabilmektir.
Yazı: Dr. Ceylan Necipoğlu, LL.M, Hande Alp, Yasemin Kocasakal, Pekin Bayar Mizrahi
Not: Makalelerdeki Görüş ve Yorumlar Yazar veya Yazarlara Ait Olup, Etik ve İtibar Derneği’nin Konu ile İlgili Düşüncelerini Yansıtmamaktadır.
