ÇALIŞANIN MAİLİNE ‘KEYFİ’ BAKILAMAYACAK

Çalışanların iş yerinde kullandığı e-posta ve iletişim hesaplarının denetlenmesine ilişkin sınırlar netleşti. Kişisel Verileri Koruma Kurumu’nun (KVKK) 16 Eylül 2026 tarihli ilke kararıyla işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları ile işin yürütülmesinde kullanılan diğer iletişim kanallarını hangi şartlarda inceleyebileceği belirlendi. KVKK, kurumsal e-posta hesaplarının yalnızca bir iletişim aracı olmadığını, çalışanların mesleki ilişkileri, çalışma düzenleri ve yazışma içerikleri hakkında kişisel veriler barındırdığını belirtti. Bu nedenle yapılan denetimin, işverenin yönetim hakkı ile çalışanın özel hayatının ve haberleşme özgürlüğünün korunması arasında denge gözetilerek yürütülmesi gerekiyor.

TEKNİK ERİŞİM, SINIRSIZ YETKİ DEĞİL

Kararın dikkat çeken noktalarından biri, işverenin teknik erişim imkânıyla hukuki erişim yetkisinin birbirinden ayrılması oldu. Bir şirketin çalışanına tahsis ettiği cihaz, ağ veya kurumsal sisteme teknik olarak erişebilmesi, çalışanın kişisel e-posta hesabındaki, özel mesajlaşma uygulamalarındaki veya sosyal medya mesaj kutusundaki içerikleri istediği gibi inceleyebileceği anlamına gelmiyor. KVKK, teknik olarak erişilebilir olmanın tek başına hukuki erişim yetkisi oluşturmadığını vurguladı.

ÇALIŞAN ÖNCEDEN BİLGİLENDİRİLECEK

İşverenin denetim yapabilmesi için çalışanların önceden bilgilendirilmesi de kararın temel şartları arasında yer aldı. Yapılacak bilgilendirmenin genel bir ifadeyle sınırlı kalmaması gerekiyor. Çalışana denetimin hukuki sebebi, amacı ve kapsamının yanı sıra trafik ve log kayıtlarının mı inceleneceği, yoksa iletişim içeriklerine de erişilip erişilmeyeceği açıkça bildirilecek. İçeriğe hangi durumlarda erişilebileceği ve elde edilen verilerin ne kadar süre saklanacağı konusunda da çalışanların bilgilendirilmesi gerekiyor.

MESAJLARIN İÇERİĞİNE ERİŞİM İSTİSNA

KVKK, denetimde kademeli bir yöntemin uygulanmasını istedi. Buna göre öncelikle trafik ve log kayıtları gibi daha sınırlı veriler üzerinden denetim yapılması, iletişim içeriklerine erişimin ise bunun yetersiz kaldığı ve gerçekten gerekli olduğu istisnai durumlarla sınırlı tutulması gerekiyor. Çalışanın önceden haberdar edilmediği gizli izleme yöntemleriyle yapılan denetimler ile çalışanın bütün işlemlerini ayrım gözetmeden kaydeden sistemlerin kullanılması da hukuka aykırı kabul edilebilecek.

KURALLARA UYMAYANA İDARİ İŞLEM

Kurumsal iletişim kanallarından elde edilen verilere erişimin de sınırlandırılması gerekiyor. KVKK, bu verilere yalnızca görev ve yetki verilen personelin erişebilmesini, erişim kayıtlarının tutulmasını ve verilere ulaşan kişilerin gizlilik yükümlülüklerinin güvence altına alınmasını istedi. İlke kararında belirtilen yükümlülüklere uyulmadığının tespit edilmesi halinde, olayın özelliklerine göre inceleme yapılacağı ve 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında veri sorumluları hakkında idari işlem uygulanabileceği belirtildi.