Kurumsal E-posta Denetimi: KVKK’nın 2026/2035 Sayılı İlke Kararı ve İşverenlerin Yükümlülükleri

Kişisel Verileri Koruma Kurulu’nun (KVKK) 16 Eylül 2026 tarihli ve 2026/2035 sayılı İlke Kararı, 8 Ekim 2026 tarihli Resmî Gazete’de yayımlanarak yürürlüğe girdi. Karar, işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları başta olmak üzere, işin yürütülmesi amacıyla kullanılan tüm iletişim kanallarının denetlenmesinde uyulması gereken usul ve esasları 16 madde halinde belirledi. Bu yazıda kararın kapsamını, işletmeler için pratik sonuçlarını ve uyum için atılması gereken adımları ele alıyoruz.

İlke Kararı neyi düzenliyor?

Karar, işverenin yönetim hakkı ile çalışanın özel hayatının gizliliği ve haberleşme hürriyeti arasındaki dengeyi kuruyor. Temel mesaj açık: kurumsal bir iletişim aracının işverene ait olması, o araç üzerinde sınırsız denetim yetkisi vermez. Çalışana tahsis edilen e-posta hesabının mülkiyetinin işverende olması, içeriğe serbestçe erişme hakkı olarak yorumlanamaz.

Kurul, kurumsal e-posta ve iletişim kanalları üzerinden yapılan izleme, yazışma içeriğine erişim, trafik ve log kayıtlarının incelenmesi, filtreleme ve rutin denetim gibi işlemlerin tamamını 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında bir kişisel veri işleme faaliyeti olarak değerlendiriyor. Dolayısıyla bu faaliyetler, Kanun’un 4. maddesindeki genel ilkelere ve 5. maddesindeki işleme şartlarına tabidir.

Yalnızca e-posta değil: kapsam geniş

Karar yalnızca kurumsal e-posta hesaplarıyla sınırlı değil. İşin yürütülmesi amacıyla kullanılan şu kanallar da somut olayın özelliklerine göre denetime konu kabul ediliyor:

• Kurum içi mesajlaşma ve anlık iletişim uygulamaları (Microsoft Teams, Slack, kurumsal WhatsApp vb.)
• Müşteri ilişkileri ve talep yönetim sistemleri (CRM, yardım masası)
• Toplantı platformlarındaki sohbet ve kayıt alanları
• İşverence tahsis edilen cihazlar, oturumlar ve kurumsal ağ sistemleri

Önemli bir sınır da şu: İşverenin bir cihaz, oturum veya ağ üzerinde teknik yetkiye sahip olması; çalışanın kişisel e-posta hesabına, kişisel anlık mesajlaşma uygulamasına veya sosyal medya mesaj kutusuna serbestçe erişebileceği anlamına gelmiyor.

İşverenlerin uyması gereken dört temel ilke

1. Önceden, açık ve anlaşılır aydınlatma

Denetim yapılabilmesi için çalışanın; denetimin amacı, hukuki dayanağı, kapsamı, yöntemi, verilerin saklanma süresi ve hakları konusunda, denetim başlamadan önce açık ve anlaşılır biçimde bilgilendirilmesi şarttır. Kurul, “kurumsal e-posta hesapları denetlenebilir” şeklindeki genel ve soyut bir bildirimin yeterli olmayacağını özellikle vurguluyor.

2. Teknik erişim, hukuki inceleme yetkisi değildir

Kararın en kritik ayrımlarından biri budur: Bilgi işlem (IT) biriminin bir posta kutusuna teknik olarak erişebiliyor olması, o yazışmaları hukuken inceleme yetkisine sahip olduğu anlamına gelmez. Teknik erişim ile hukuki erişim birbirinden ayrı değerlendirilir.

3. Ölçülülük ve en az müdahale ilkesi

Denetim meşru bir amaca dayanmalı, bu amaçla bağlantılı ve ölçülü olmalıdır. İşveren, amacına e-posta içeriğini okumadan (örneğin yalnızca log kayıtları veya konu başlıkları üzerinden) ulaşabiliyorsa, içeriğe erişim yoluna gidilmemelidir. Yazışma içeriğine erişim, trafik/log incelemesine kıyasla çok daha ağır bir müdahale olarak kabul edilir.

4. Kişisel yazışmaların korunması

Denetim sırasında çalışanın kişisel hesabına veya açıkça özel nitelikli olduğu anlaşılan bir yazışmaya rastlanırsa, incelemeye derhal son verilmeli; bu veriler kopyalanmamalı ve kaydedilmemelidir. Ayrıca elde edilen kişisel veriler, işleme amacı için gerekli olandan daha uzun süre saklanmamalıdır.

İş ilişkisi sona erince kurumsal e-posta ne olacak?

Karar, iş ilişkisinin sona ermesinden sonra çalışana tahsis edilmiş kurumsal e-posta hesabına ilişkin veri işleme faaliyetlerinin hukuki dayanağının ayrıca değerlendirilmesi gerektiğini belirtiyor. Çalışan ayrıldıktan sonra hesabın süresiz açık tutulması, gelen yazışmaların okunması ya da hesabın başkasına yönlendirilmesi gibi uygulamaların her biri ayrı bir hukuki dayanak gerektirir.

Uyum için kontrol listesi

Çalışanlarına kurumsal e-posta, cihaz veya mesajlaşma uygulaması tahsis eden her işletmenin aşağıdaki adımları gözden geçirmesi gerekiyor:

• Politikaları güncelleyin: “Bilgi İşlem ve İletişim Araçları Kullanım Politikası” ile “Çalışan Aydınlatma Metni”ni 16 maddelik İlke Kararı ile uyumlu hale getirin.
• Yazılı tebligat alın: Çalışanlara denetimin hangi hallerde ve nasıl yapılacağına dair kişiye özel, yazılı veya elektronik bilgilendirme imzalatın.
• IT birimine talimat verin: Aydınlatma yapılmadan ve hukuki onay alınmadan e-posta içeriklerinin taranmaması, yedeklerinin açılmaması yönünde bağlayıcı bir prosedür oluşturun.
• Ölçülülük testi uygulayın: Her denetim öncesi, amaca içeriği okumadan ulaşılıp ulaşılamayacağını değerlendirin.
• Ayrılan çalışan sürecini tanımlayın: İşten ayrılan personelin kurumsal hesabının ne zaman kapatılacağını, yönlendirileceğini veya arşivleneceğini net bir prosedüre bağlayın.

Uyumsuzluğun iki yönlü riski

Bu kurallara uyulmaması çift yönlü risk doğurur. Önceden bilgilendirme yapılmadan ve ölçülülük sınırları aşılarak elde edilen e-posta verileri; bir yandan KVKK açısından idari para cezası gündeme getirir, diğer yandan iş hukuku uyuşmazlıklarında (işe iade, haklı fesih, tazminat) “hukuka aykırı delil” sayılarak geçersiz olabilir. Yani usulüne uygun toplanmamış bir e-posta, hem ceza riski doğurur hem de mahkemede işverenin elinde kalır.

MTDE Tech ile uyumlu bir altyapı

MTDE Tech olarak, işletmelerin bilgi teknolojileri altyapısını KVKK uyumuyla birlikte ele alıyoruz. Kurumsal e-posta ve iletişim politikalarının teknik tarafını; erişim yetkilerinin doğru yapılandırılması, log ve denetim kayıtlarının mevzuata uygun yönetimi, ayrılan çalışan hesaplarının güvenli kapatılması ve Microsoft 365 ortamında denetim izlerinin düzgün tutulması gibi başlıklarda kuruyoruz. KVKK uyum süreçlerinizi hem hukuki hem teknik yönüyle ele almak için bizimle iletişime geçebilirsiniz.

Kaynak: Kişisel Verileri Koruma Kurulu’nun 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı — 08.10.2026 tarihli ve 33393 sayılı Resmî Gazete. Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez.