8 Ekim'de Ne Yayımlandı
Kişisel Verileri Koruma Kurulu'nun 16 Eylül 2026 tarihli ve 2026/2035 sayılı ilke kararı, 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete'de yayımlandı. Karar, işverenin çalışana verdiği kurumsal e-posta hesabını ve iş için kullanılan diğer iletişim kanallarını denetlerken uyması gereken kuralları belirliyor. Kurul ilke kararını, bir konuda ihlalin yaygın olduğunu tespit ettiğinde alıyor. Bu yüzden karar tek bir şirketi değil, çalışanı olan bütün işletmeleri ilgilendiriyor.
Kapsam Yalnızca E-posta Değil
Kurul, iş yerindeki iletişimin e-postadan ibaret olmadığını özellikle belirtiyor. Kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları, müşteri ilişkileri ve talep yönetim sistemleri, toplantı platformlarındaki sohbet ve kayıt alanları da denetime konu olabilecek kanallar arasında sayılıyor.
Kararın Öne Çıkan Noktaları
- İletişim aracının işverene ait olması ya da iş yerinde kullanılması, işverene sınırsız denetim yetkisi vermiyor.
- Yazışmaların içeriğine bakmadan yalnızca trafik ve log kayıtlarını incelemek de kişisel veri işleme sayılıyor. Aydınlatma ve veri güvenliği yükümlülükleri bu durumda da geçerli.
- Denetimde kademelilik esas. Amaca daha az müdahaleci bir yolla ulaşılabiliyorsa daha ağır yönteme başvurulamıyor. İçeriğe erişim ancak somut bir şüphe varsa ve iddiayla sınırlı olarak gündeme gelebiliyor. Sürekli ve aralıksız gözetim ölçülü kabul edilmiyor.
- Teknik erişim imkânı hukuki yetki anlamına gelmiyor. Çalışanın kişisel e-postası, kişisel mesajlaşma uygulaması ya da sosyal medya mesaj kutusu, cihaz şirkete ait olsa bile serbestçe okunamıyor.
- Çalışanın önceden bilgilendirilmediği gizli izleme ve tüm işlemleri ayrım gözetmeden kaydeden araçlarla yapılan denetim hukuka aykırı sayılıyor.
- İş ilişkisindeki güç dengesizliği nedeniyle çalışanın açık rızası kural olarak öncelikli dayanak kabul edilmiyor.
Genel Bir Cümle Yetmiyor
Kararın işletmeleri en çok etkileyecek kısmı aydınlatma. "Kurumsal e-posta hesabınız denetlenebilir" gibi genel bir bildirim yeterli sayılmıyor. Çalışana denetimin hukuki sebebi, amacı, kapsamı, trafik kayıtlarıyla mı yoksa içerik incelemesiyle mi yapılacağı, içeriğe hangi hallerde erişilebileceği, verilerin ne kadar saklanacağı ve Kanun'un 11. maddesindeki hakları açık ve somut biçimde anlatılmalı.
İşten Ayrılan Çalışanın Hesabı
Çalışan ayrıldıktan sonra hesap kural olarak kullanıma ve yeni erişimlere kapatılmalı, hukuki dayanağı kalmayan veriler imha edilmeli. İşin aksamaması için yönlendirme, otomatik cevap ya da arşivleme yapılabiliyor ama bunun sınırlı, süreli, yetkileri belli ve kayıt altında olması gerekiyor.
İşletmeler Şimdi Ne Yapmalı
- Ekibin kullandığı bütün iletişim araçlarını listeleyin. E-posta, ortak WhatsApp hattı, kurum içi mesajlaşma, müşteri takip sistemi ve toplantı kayıtları bu listeye girer.
- Bu araçların özel amaçla kullanılıp kullanılamayacağını yazılı ve açık bir kurala bağlayın, çalışanlara duyurun.
- Çalışan aydınlatma metnini karardaki başlıklara göre gözden geçirin.
- Kayıtlara kimin erişebileceğini görev tanımına bağlayın ve erişim kayıtlarını tutun.
- Ayrılan çalışanların hesapları için süresi ve yetkilisi belli bir kapatma adımı belirleyin.
Kurul, bu yükümlülüklere uyulmadığı tespit edilirse Kanun'un 18. maddesi uyarınca idari işlem uygulanacağını belirtiyor. Kararın tam metnine Resmî Gazete'den ya da Kurum'un ilke kararları sayfasından ulaşabilirsiniz. Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Ekibin ortak bir WhatsApp hattını kayıtlı ve yetkileri belli biçimde kullandığı düzeni WhatsApp Business hizmet sayfamızda anlattık.