Kişisel Verileri Koruma Kurulu, kurumsal e-posta ve iş iletişim kanallarının denetlenmesine ilişkin 16 maddelik ilke kararını Resmî Gazete'de yayımladı. Karar, gizli izlemeyi hukuka aykırı sayıyor ve içeriğe erişimi istisnai hale getiriyor.
Kişisel Verileri Koruma Kurulu, işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları ve işin yürütülmesi amacıyla kullanılan diğer iletişim kanallarının denetlenmesine ilişkin ilke kararını yayımladı. 16/09/2026 tarihli ve 2026/2035 sayılı karar, 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete'de yayımlandı. 6698 sayılı Kanun'un 15. maddesinin altıncı fıkrasına dayanan karar 16 maddeden oluşuyor.
Karar ne diyor?
Kurulun çıkış noktası net: cihazın, hesabın ya da hattın işverene ait olması tek başına sınırsız denetim yetkisi vermiyor. Yalnızca trafik ve log kayıtlarının tutulması bile kişisel veri işleme sayılıyor ve Kanun'un genel ilkelerine uymak zorunda.
- Kademeli yaklaşım: amaca ulaşmak için en az müdahaleci yöntem seçilecek. İçeriğe erişim istisnai; ancak trafik verisinin yetersiz kaldığı, somut şüphenin bulunduğu hallerde ve o şüpheyle sınırlı olarak mümkün.
- Aydınlatma somut olacak: "kurumsal e-postalar denetlenebilir" türü genel bir ifade yeterli değil. Hukuki sebep, amaç ve kapsam; denetimin trafik verisini mi içeriği mi kapsadığı; içeriğe hangi hallerde erişilebileceği; saklama süresi ve ilgili kişinin hakları ayrı ayrı belirtilecek.
- Gizli izleme hukuka aykırı: önceden bildirim yapılmadan yürütülen izleme ve tüm hareketleri ayrım gözetmeksizin kaydeden araçlar hukuka aykırı kabul ediliyor. Sürekli ve kesintisiz izleme ölçülü sayılmıyor.
- Kişisel hesaplar kapsam dışı: cihaza, oturuma veya ağa yönetici düzeyinde erişim; çalışanın kişisel e-postasına, mesajlaşma uygulamalarına veya sosyal medya içeriğine serbestçe erişim hakkı doğurmuyor.
- İşten ayrılışta hesap: hesap kural olarak kapatılacak, gelen mesajlar ilgisiz kişilere görünür olmayacak. Yönlendirme, otomatik yanıt veya arşivleme gibi önlemler ancak sınırlı, süreli, erişimi denetlenen ve kayıt altına alınan biçimde değerlendirilebiliyor.
Karar yalnızca e-postayla sınırlı değil. Kurumsal mesajlaşma uygulamaları, CRM ve talep yönetimi sistemleri, toplantı platformlarındaki sohbet ve kayıt özellikleri de aynı çerçeveye giriyor. Kurul ayrıca istihdam ilişkisindeki güç dengesizliği nedeniyle açık rızanın kural olarak temel hukuki sebep olmaması gerektiğini belirtiyor.
KOBİ'ler için ne anlama geliyor?
Küçük ve orta ölçekli işletmelerde e-posta denetimi çoğu zaman yazılı bir politikaya değil, BT sorumlusunun ya da dış destek firmasının teknik erişimine dayanıyor. Mail sunucusunda yönetici hesabıyla bir kutuya bakmak teknik olarak kolay; karar bunun hangi şartlarda yapılabileceğini netleştiriyor. Ayrılan çalışanın kutusunu süresiz açık tutmak, log toplayan araçları varsayılan ayarlarıyla çalıştırmak ve aydınlatma metnine tek satır eklemekle yetinmek, uyumsuzluk riski taşıyan yaygın alışkanlıklar. Karara uymayan veri sorumluları hakkında 6698 sayılı Kanun'un 18. maddesi kapsamında idari işlem uygulanabiliyor.
Kamer Bilişim olarak ne öneriyoruz?
- Mevcut denetim pratiğinizi yazıya dökün. Hangi sistemde kim hangi veriye erişebiliyor, hangi loglar ne kadar süre tutuluyor? Mail sunucusu, güvenlik duvarı, CRM ve toplantı platformunu tek bir envanterde çıkarın. Kararın istediği somut aydınlatma metni ancak bu envanter üzerinden yazılabilir.
- İçerik erişimini yetkiye ve kayda bağlayın. Yönetici hesaplarının sayısını azaltın, erişimleri loglayın ve içerik incelemesini somut şüphe ile onay adımı gerektiren tanımlı bir sürece dönüştürün. Böylece hem kademeli yaklaşım hem de ölçülülük ilkesi karşılanmış olur.
- İşten ayrılış sürecini standartlaştırın. Hesap kapatma, yönlendirme süresi, arşiv saklama süresi ve veri silme adımlarını tanımlı bir kontrol listesine bağlayın. Süresiz açık kalan posta kutuları hem veri ihlali hem de uyumsuzluk kaynağı oluyor.
Mail altyapınızın, log ve yedekleme politikanızın bu ilke kararıyla uyumlu olup olmadığını birlikte gözden geçirebiliriz. İstanbul Anadolu Yakası'ndaki ofisinizde yerinde ya da uzaktan destekle yapılacak bir değerlendirme için iletişim sayfamızdan bize ulaşabilirsiniz.
Kaynak: Kişisel Verileri Koruma Kurumu (kvkk.gov.tr), Anadolu Ajansı, Resmî Gazete, 8 Ekim 2026, Sayı 33394