KVKK kurumsal e-posta denetimine 16 maddelik yeni sınır getirdi

Kişisel Verileri Koruma Kurulu'nun (KVKK) işverenlerin çalışanlara ait kurumsal e-posta hesaplarını ve kurumsal iletişim kanallarını denetlemesine ilişkin ilke kararı, 8 Ekim 2026 tarihli Resmî Gazete'de yayımlanarak yürürlüğe girdi. Karar, şirketin iletişim araçlarının sahibi olmasının tek başına sınırsız bir denetim yetkisi doğurmadığını açıkça ortaya koyuyor.

Kurul kararında, teknik olarak bir cihaza, oturuma veya ağa erişebilmenin hukuken içeriği okuma yetkisi vermediği belirtiliyor. Dikkat çeken bir başka nokta ise yalnızca trafik ve log kaydı tutmanın da kişisel veri işleme sayılması: içerik okunmasa bile bu kayıtlar KVKK'nın genel ilkelerine, işleme şartlarına, aydınlatma yükümlülüğüne ve veri güvenliği tedbirlerine tabi.

Kararın getirdiği temel sınırlar

• Önceden ve somut aydınlatma: "Hesabınız denetlenebilir" gibi genel ifadeler yeterli değil. Aydınlatma metni; hukuki sebebi, amacı ve kapsamı, denetimin log mu içerik mi kapsadığını, içeriğe hangi hallerde erişilebileceğini, saklama süresini ve ilgili kişi haklarını ayrı ayrı belirtmeli.
• Kademelilik: Önce en az müdahaleci yöntem kullanılmalı. İçeriğe erişim, trafik verisi incelemesinin yetersiz kaldığı istisnai hallerde ve zorunluluk şartıyla mümkün.
• Somut şüphe ve ölçülülük: Belirsiz, genel ve kesintisiz içerik incelemesi kabul edilmiyor. Kişisel kullanım yasaklanmış olsa bile sürekli izleme ölçülü sayılmıyor.
• Gizli izleme yasak: Önceden bildirim yapılmadan yürütülen gizli denetim ve çalışanın tüm eylemlerini ayrım gözetmeksizin kaydeden araçlar hukuka aykırı kabul ediliyor.
• Açık rıza tek başına dayanak değil: İş ilişkisindeki güç dengesizliği nedeniyle açık rızanın kural olarak temel hukuki sebep olarak kullanılmaması gerekiyor.

KOBİ'ler için pratikte ne değişiyor?

Kurul, kararın usul ve esaslarını 16 madde halinde düzenledi (Kaynak: Memurlar.net, karar 16.09.2026 tarihli ve 2026/2035 sayılı). Yükümlülüklere uyulmaması halinde 6698 sayılı Kanun'un 18. maddesi kapsamında veri sorumluları hakkında idari işlem uygulanabileceği de kararda belirtiliyor.

Bu, yalnızca büyük kurumların hukuk departmanını ilgilendiren bir gelişme değil. Mail sunucusunu kendisi işleten, Microsoft 365 veya Google Workspace üzerinde yönetici hesabı bulunan, çalışan ayrılışlarında hesabı yönlendiren ya da arşivleyen her işletme bu kararın muhatabı. Uygulamada en sık rastlanan üç hata şunlar: sözleşmede yer alan tek cümlelik "izleme" ibaresini aydınlatma saymak, yönetici hesabıyla mailbox içeriğine kayıt tutmadan erişmek ve ayrılan çalışanın hesabını süresiz biçimde başka bir adrese yönlendirmek.

Karar, ayrılan çalışanın kurumsal hesabının kural olarak kapatılmasını, yönlendirme, otomatik yanıt veya arşivlemenin ise ancak sınırlı, süreli, erişimi kontrollü ve kayıt altına alınmış biçimde yapılabileceğini öngörüyor. Yani teknik olarak kolay olan şey, artık hukuken serbest değil.

Kamer Bilişim olarak ne öneriyoruz?

• Aydınlatma metninizi teknik gerçeklikle eşleştirin. Mail sisteminizde hangi logların tutulduğunu, ne kadar süre saklandığını ve içeriğe hangi senaryoda erişildiğini önce envanter olarak çıkarın; aydınlatma metni bu envanteri birebir yansıtsın. Belgedeki ifade ile sunucudaki yapılandırma uyuşmuyorsa karar karşısında savunulabilir bir pozisyon kalmaz.
• Yönetici erişimini kayıtlı ve iki aşamalı hale getirin. Mailbox içeriğine erişim yetkisini sınırlı sayıda kişiye verin, bu erişimleri loglayın ve içerik incelemesini yazılı gerekçe ile onaya bağlayın. Microsoft 365 veya Exchange tarafında denetim kaydı (audit log) özelliğinin açık olduğundan emin olun.
• Ayrılış sürecini yazılı bir prosedüre bağlayın. Hesap kapatma, yönlendirme süresi (örneğin 30 gün), arşiv saklama süresi ve bu adımların kim tarafından onaylandığı tek bir kontrol listesinde tanımlı olsun. Böylece hem denetimde belge gösterebilir hem de kurumsal hafızayı kaybetmeden süreci kapatabilirsiniz.

Mail altyapınızın, log politikanızın ve KVKK dokümantasyonunuzun bu karara uyumlu olup olmadığını birlikte gözden geçirmek isterseniz iletişim sayfasından bize ulaşabilirsiniz. İstanbul Anadolu Yakası genelinde yerinde, diğer bölgelerde uzaktan destek veriyoruz.

Kaynak: Anadolu Ajansı, Memurlar.net, T.C. Resmî Gazete (8 Ekim 2026, Sayı 33394)