KVKK'dan Emsal İlke Kararı: İşverenlerin Kurumsal E-Posta ve İletişim Kanallarını Denetleme Sınırları Çizildi

Kişisel Verileri Koruma Kurulu (KVKK), iş dünyasını ve bilgi teknolojileri (IT) departmanlarını yakından ilgilendiren tarihi bir karara imza attı. Kurul'un 16/09/2026 tarihli ve 2026/2035 sayılı İlke Kararı Resmi Gazete ve Kurum bülteninde yayımlanarak tüm veri sorumluları için bağlayıcı hale getirildi. Karar, işverenlerin çalışanlara tahsis ettiği kurumsal e-posta, dahili mesajlaşma yazılımları ve şirket cihazlarını denetlerken uyması gereken katı sınırları belirliyor.

Önceden ve Açıkça Bilgilendirme Zorunluluğu

İlke kararına göre, işverenin yönetim hakkı ve ticari sırlarını koruma meşru menfaati bulunsa dahi, çalışanın Anayasa'nın 20. maddesiyle korunan özel hayatın gizliliği ve haberleşme hürriyeti hakkı ihlal edilemez. Denetim yapılabilmesi için şu şartların bir arada bulunması gerekiyor:

• Kapsamlı İç Yönerge ve Aydınlatma: Çalışana işe başlarken veya denetim öncesinde, sistemlerin izlendiği, loglandığı ve hangi amaçlarla denetlenebileceği yazılı olarak açıkça bildirilmeli; aydınlatma metninde muğlak ifadelere yer verilmemelidir.
• Kişisel Kullanım Sınırları: Kurumsal e-posta veya iletişim kanallarının şahsi amaçla kullanılıp kullanılamayacağı, kullanılması halinde bunun nasıl tecrit edileceği kurumsal politikalarda net olarak belirtilmelidir.
• Ölçülülük ve Son Çare İlkesi: İşveren denetim yapmadan önce daha az müdahaleci yöntemlerin bulunup bulunmadığını değerlendirmelidir. İletişimin içeriğinin incelenmesi ancak son çare (ultima ratio) olarak gündeme gelebilir.

Log Kayıtları ve DLP Sistemlerine KVKK Filtresi

Kararda, Veri Sızıntısı Önleme (DLP), çalışan takip yazılımları (monitoring software) ve SIEM loglama araçları kullanan kurumların, çalışanların özel görüşmelerini veya hassas nitelikli kişisel verilerini içeren iletileri doğrudan filtrelemesi gerektiği vurgulandı. Şirket bilgisayarında bulunan ve açıkça 'Kişisel' olarak etiketlenen klasör veya e-postaların incelenmesi hukuka aykırı delil ve veri ihlali olarak kabul edilecek.

KVKK, ilke kararına aykırı şekilde habersiz izleme veya içerik incelemesi yapan işletmelere Kanun'un 18. maddesi uyarınca en üst sınırdan idari para cezası uygulanacağını ve ilgili personelin savcılığa suç duyurusunda bulunma hakkının saklı olduğunu duyurdu.