Kişisel Verileri Koruma Kurulu'nun 16 Eylül 2026 tarihli ve 2026/2035 sayılı ilke kararı, 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete'de yayımlandı. Karar, işverenlerin çalışanlarına tahsis ettiği iletişim araçlarını denetlerken uyması gereken usul ve esasları belirliyor.
Hangi araçları kapsıyor?
Kurumsal e-posta hesapları, kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları, müşteri ilişkileri ve talep yönetim sistemleri ile toplantı platformlarındaki sohbet ve kayıt alanları kapsamda.
Öne çıkan esaslar
- Kayıtlara bakmak da veri işlemedir: Yalnızca trafik ve log kayıtlarının incelenmesi bile kişisel veri işleme sayılıyor.
- Sınırsız denetim yok: Araçların işverene ait olması sınırsız denetim yetkisi vermiyor; iş ve özel kullanım birbirinden ayrılmalı.
- Önceden ve açık bilgilendirme: Çalışanlar denetimin amacı, kapsamı, yöntemi ve özel kullanım sınırları hakkında önceden bilgilendirilmeli. "E-postalar denetlenebilir" gibi genel bir cümle yeterli görülmüyor.
- Ölçülülük: Denetim sürekli gözetime dönüşmemeli; daha az müdahaleci bir yöntem yeterliyse o seçilmeli. İçeriğe erişim ancak somut bir şüphe olduğunda ve iddiayla sınırlı olarak gündeme gelebilir.
- Kişisel hesaplar kapsam dışı: Teknik olarak erişilebiliyor olması, çalışanın kişisel hesaplarındaki yazışmalara erişme yetkisi vermiyor.
- Açık rıza öncelikli dayanak değil: İş ilişkisindeki güç dengesizliği nedeniyle açık rıza kural olarak öncelikli hukuki dayanak sayılmıyor.
- Yetkili erişim ve kayıt: Denetimle elde edilen verilere yalnızca yetkili kişiler erişmeli, erişimler kayıt altına alınmalı.
- İşten ayrılan çalışan: Hesap kural olarak kapatılmalı; yönlendirme ve arşivleme sınırlı ve süreli olmalı, gerekmeyen veriler imha edilmeli.
Bilgi işlem tarafında neler yapılmalı?
- E-posta ve iletişim araçlarındaki yönetici ve denetim yetkilerini kişi bazında gözden geçirin; yalnızca gerekli kişilerde bırakın.
- Microsoft 365 veya kendi e-posta sunucunuzda denetim kayıtlarını (audit log) açın; kimin hangi posta kutusuna eriştiği izlenebilsin.
- Saklama ve silme politikalarınızı belirleyin; işten ayrılan çalışanlar için hesabı kapatma, süreli yönlendirme ve arşivleme adımlarını yazılı hale getirin.
- Aydınlatma metinlerinizi ve iç politikalarınızı hukuk danışmanınızla birlikte karara göre güncelleyin.
Microsoft 365 ve kurumsal e-posta altyapınızda bu ayarları sizin için yapılandırabiliriz. Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş yerine geçmez.