KVKK kurumsal e-posta denetimine sınır getirdi: neler değişiyor?

Kişisel Verileri Koruma Kurulu'nun kurumsal e-posta hesapları ile iş yeri iletişim kanallarının denetlenmesine ilişkin 16/09/2026 tarihli ve 2026/2035 sayılı ilke kararı, 8 Ekim 2026'da Resmî Gazete'de yayımlandı. Karar, işverenin çalışan yazışmaları üzerindeki denetim yetkisini ilk kez bu ayrıntıda çerçeveye oturtuyor ve tek bir şikâyetle sınırlı olmadığı için tüm veri sorumlularını ilgilendiriyor.

Karar ne diyor?

Kurul'un çıkış noktası şu: çalışanın e-posta trafiğine ait yalnızca log kayıtlarının incelenmesi, içerik hiç okunmasa dahi başlı başına bir kişisel veri işleme faaliyeti sayılıyor. Dolayısıyla iletişim araçlarının işverene ait olması ya da iş yerinde bulunması, sınırsız ve mutlak bir denetim yetkisi doğurmuyor. Kararın öne çıkan başlıkları:

• Önceden ve somut aydınlatma zorunlu. Çalışana denetimin hukuki dayanağı, amacı, kapsamı, yalnızca trafik verisini mi yoksa içeriği de mi kapsadığı, içeriğe hangi hâllerde erişilebileceği ve verilerin saklama süresi açıkça bildirilmeli. Genel ve soyut ifadeler yeterli kabul edilmiyor.
• Denetim kademeli ve ölçülü olmalı. İçeriğe erişim istisnai bir yöntem; önce log kaydı veya konu başlığı gibi daha az müdahaleci yolların yeterli olup olmadığı değerlendirilmeli.
• Teknik erişim, hukuki yetki demek değil. Bilgi işlem biriminin sisteme, cihaza veya oturuma erişebiliyor olması, yazışmaları inceleme yetkisi anlamına gelmiyor.
• Gizli ve ayrımsız izleme hukuka aykırı. Çalışan bilgilendirilmeden yapılan izleme ile tüm faaliyeti ayrım gözetmeksizin kaydeden araçlar kabul edilmiyor.
• Özel yazışmaya rastlanırsa inceleme durur. Kişisel nitelikli içerik kopyalanmamalı ve kayıt altına alınmamalı.

Uymayan veri sorumluları 6698 sayılı Kanun'un 18. maddesi kapsamında idari işlemle karşılaşabiliyor.

KOBİ'ler için pratik karşılığı

Büyük ölçekli şirketlerde yazılı bilgi işlem politikaları, çalışan aydınlatma metinleri ve log yönetimi çoğunlukla kurulu. KOBİ'lerde ise kurumsal e-posta genellikle tek bir yönetici hesabı üzerinden yürütülüyor. Personel ayrıldığında posta kutusunun açılması, bir şüphe durumunda yedeklerin taranması ya da tüm trafiği kaydeden bir güvenlik aracının devreye alınması sıradan bir BT işi gibi görülüyor. Bu karardan sonra söz konusu adımların her biri yazılı bir politika, belgelenmiş bir dayanak ve önceden yapılmış bir aydınlatma gerektiriyor.

Risk, yazışmanın ticari sürecin merkezinde olduğu yapılarda daha yüksek: denizcilik ve acente firmaları, inşaat ofisleri, lojistik şirketleri ve plaza ofisleri günlük işin büyük bölümünü e-posta üzerinden yürütüyor. Aynı posta kutularında müşteri, tedarikçi ve çalışan verisi bir arada bulunuyor.

Kamer Bilişim olarak ne öneriyoruz?

• Kurumsal e-posta politikanızı yazıya dökün ve duyurun. Özel kullanımın sınırları, hangi verilerin ne kadar süreyle tutulduğu ve içeriğe hangi hâllerde erişilebileceği tek bir metinde yer almalı. Çalışan aydınlatma metinleriniz bu politikayla birebir uyumlu hâle getirilmeli.
• Yönetici hesabı yetkilerini ayırın ve erişimi loglayın. Posta kutusu erişimi tek kişinin takdirine bırakılmamalı; kimin, hangi onayla, hangi posta kutusuna eriştiği kayıt altına alınmalı ve bu kayıtlar için bir saklama süresi tanımlanmalı.
• Mevcut izleme ve yedekleme araçlarınızı gözden geçirin. Mail gateway, DLP, uç nokta ajanı veya yedekleme çözümünüz "her şeyi kaydet" modunda çalışıyorsa, denetim kapsamı amaçla sınırlı biçimde daraltılmalı ve ayarlar belgelenmeli.

Kurumsal e-posta altyapınızı, log ve yedekleme politikalarınızı bu karara göre gözden geçirmek isterseniz iletişim sayfamızdan bize ulaşabilirsiniz. İstanbul Anadolu Yakası genelinde yerinde, diğer bölgelerde uzaktan destek veriyoruz.

Kaynak: Alomaliye.com — Kişisel Verileri Koruma Kurulunun 16/09/2026 tarihli ve 2026/2035 sayılı ilke kararı (Resmî Gazete, 8 Ekim 2026); Ekonomim ve Diken haberleriyle doğrulanmıştır.