Pek çok işyerinde aynı cümle duyulur: "Mail şirketin, bilgisayar şirketin, istediğimizi okuruz." Kişisel Verileri Koruma Kurulu bu alışkanlığa resmi bir sınır koydu. Kurulun 16 Eylül 2026 tarihli ve 2026/2035 sayılı ilke kararı, 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete'de yayımlandı. Karar, işverenin çalışana verdiği kurumsal e-posta hesabıyla birlikte iş için kullanılan bütün iletişim kanallarının nasıl denetlenebileceğini tarif ediyor.
Kurul, kararı Kanun'un 15/6. maddesine dayandırıyor. Bu madde, ihlalin "yaygın" olduğu tespit edildiğinde ilke kararı alınmasını öngörüyor. Yani işyerlerinde yazışmaların gelişigüzel izlenmesi, Kurul'un gözünde artık münferit değil, yaygın bir sorun.
Hangi yazışmalar kapsamda?
Karar yalnızca e-postayla sınırlı değil. Kurum içi mesajlaşma uygulamaları, kurumsal anlık mesaj hesapları, müşteri ve talep yönetim sistemleri, toplantı platformlarındaki sohbet ve kayıt alanları da somut olaya göre kapsama girebiliyor. Kurul'a göre kurumsal e-posta hesabı "bir iletişim aracının ötesinde" bir veri kaynağı: çalışanın mesleki, kimi zaman da kişisel ilişki ağını, çalışma düzenini ve yazışmalarını barındırıyor.
Çalışan açısından 6 temel güvence
**1. Mülkiyet sınırsız yetki vermez.** Kararın en net cümlesi şu: "İletişim araçlarının işverene ait olması ya da işyerinde bulunması, tek başına işverene sınırsız ve mutlak bir denetim yetkisi tanımamaktadır."
**2. Yalnızca kayıt tutmak bile denetimdir.** İşveren yazışmanın içeriğini açmasa da kimin kime, ne zaman yazdığını gösteren trafik ve log kayıtlarını incelemesi kişisel veri işleme sayılıyor. Bu da Kanun'daki bütün kurallara tabi.
**3. "Mailler denetlenebilir" cümlesi yetmez.** İşveren denetimin amacını, kapsamını, yalnızca log mu yoksa içerik mi inceleneceğini, içeriğe hangi durumlarda bakılacağını, verilerin ne kadar saklanacağını ve çalışanın haklarını açık ve somut biçimde yazmak zorunda. Karar, bu yapılmadıysa çalışanın yazışmalarına müdahale edilmeyeceği yönünde "makul bir beklenti" taşıyacağını kabul ediyor.
**4. İçeriğe ancak somut şüpheyle bakılabilir.** Denetim kademeli olmak zorunda. Daha hafif bir yöntem yeterliyse ağırına geçilemez. İçeriğe erişim, ancak log incelemesinin yetmediği istisnai durumlarda, somut bir şüphe varsa ve yalnızca o iddiayla sınırlı olarak mümkün. Sürekli ve aralıksız gözetim ölçülü sayılmıyor.
**5. Gizli izleme hukuka aykırı.** Çalışana önceden bildirilmeyen gizli izleme ile çalışanın tüm işlemlerini ayrım gözetmeden kaydeden araçlarla yapılan denetim, kararda açıkça "hukuka aykırı" sayılıyor.
**6. Kişisel hesaplarınız işverenin alanı değil.** İşverenin cihaz ya da ağ üzerinde teknik yetkisinin olması, çalışanın kişisel e-postasına, WhatsApp gibi kişisel mesajlaşma uygulamalarına ya da sosyal medya mesaj kutusuna girebileceği anlamına gelmiyor. Kurul'un ifadesiyle teknik erişim ile hukuki yetki ayrı şeyler.
İşe girişteki "rıza kutucuğu" kalkan değil
İşe girişte imzalatılan formlardaki "denetime açık rıza veriyorum" kutucuğu da işvereni korumuyor. Kurul, iş ilişkisindeki bağımlılığı ve güç dengesizliğini gerekçe göstererek açık rızanın e-posta denetiminde kural olarak öncelikli dayanak olamayacağını belirtiyor. İşveren başka hukuki gerekçelere dayanabilir, ama karar bunların da "sınırsız bir denetim yetkisi" vermeyeceğinin altını çiziyor.
Aynı kararda işten ayrılanlar için de güvence var. İş ilişkisi bittiğinde hesap kural olarak kapatılmalı, gelen iletiler ilgisiz kişilerce görülmemeli, dayanağı kalmayan veriler imha edilmeli. Yönlendirme ya da arşiv ancak sınırlı, süreli ve kayıt altında tutulabilir. Denetimle elde edilen verilere de yalnızca bu işle görevli sınırlı sayıda personel erişebilir ve erişimler kayıt altına alınmalı.
Ne yapabilirsiniz?
**İşyerindeki politikayı isteyin.** Kurumsal e-posta ve mesajlaşma kullanımına ilişkin yazılı kuralları ve aydınlatma metnini talep edin. Metin yalnızca "denetlenebilir" diyorsa karardaki ölçütleri karşılamıyor.
**Kişisel yazışmaları ayırın.** Özel yazışmalarınızı kişisel hesabınızdan ve kişisel cihazınızdan yapmak, karardaki iş-özel ayrımını sizin lehinize netleştirir.
**Bilgi talep edin.** 6698 sayılı Kanun'un 11. maddesi, verilerinizin işlenip işlenmediğini, hangi amaçla işlendiğini ve kimlere aktarıldığını öğrenme hakkı tanıyor. Başvuruyu yazılı olarak işverene yapabilirsiniz. Kanun'un 13. maddesine göre işveren en geç 30 gün içinde yanıt vermek zorunda.
**Gerekirse Kurul'a şikâyet edin.** Başvurunuz reddedilir, yanıt yetersiz kalır ya da süresinde yanıt verilmezse Kanun'un 14. maddesine göre yanıtı öğrendiğiniz tarihten itibaren 30 gün, her durumda başvurudan itibaren 60 gün içinde Kurul'a şikâyette bulunabilirsiniz. Karar, yükümlülüklere uymayan işverenler hakkında Kanun'un 18. maddesi uyarınca idari işlem yapılacağını belirtiyor.
**Disiplin ve fesihte itiraz edin.** Hakkınızdaki disiplin işlemi ya da fesih, habersiz izlemeyle veya ölçüsüz içerik incelemesiyle elde edilmiş yazışmalara dayanıyorsa, bunu iş mahkemesi sürecinde avukatınızla birlikte gündeme getirin.
Sendikalar için yeni bir masa başlığı
Karar, sendikalara toplu sözleşme masasında somut bir dayanak veriyor. Hangi kanalların denetleneceği, log ile içerik incelemesinin sınırı, içeriğe kimin hangi şüpheyle bakabileceği, verilerin saklama süresi ve işten ayrılanın hesabının akıbeti artık sözleşme maddesi olarak yazılabilir. Gizli izlemenin ve her işlemi kaydeden araçların işyerinden kaldırılması da doğrudan talep edilebilir.
Bu, örgütlenme açısından da önemli. Sendikal yazışmaların işverenin gözü önünde olduğu bir işyerinde örgütlenmek zor. Kurul'un "sürekli ve aralıksız gözetim ölçülü değildir" tespiti, iletişimin izlenerek örgütlenmenin baskılanmasına karşı çalışanların elinde yeni bir argüman.
Karar Kurul'da oy çokluğuyla alındı. Uygulamada ne kadar işe yarayacağını, işverenlerin aydınlatma metinlerini ne hızla değiştireceği ve Kurul'un ilk şikâyetlerde nasıl karar vereceği belirleyecek.
