8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete’de yayımlanan Kişisel Verileri Koruma Kurulunun 16/09/2026 tarihli ve 2026/2035 sayılı İlke Kararı ile işverenlerin çalışanlara tahsis ettiği kurumsal e-posta, anlık mesajlaşma ve iletişim kanallarının denetlenmesine ilişkin bağlayıcı usul ve esaslar yürürlüğe girdi.
İşverenin sınırsız denetim yetkisi yoktur
Kurul, işverenin yönetim hakkı ile çalışanın Anayasa ile güvence altına alınan haberleşme hürriyeti ve özel hayatın gizliliği arasındaki hassas dengeye dikkat çekti:
- Log ve trafik verisi dahi kişisel veridir: Kurumsal e-posta veya mesaj içeriklerine girilmese dahi; kiminle, ne zaman ve ne sıklıkta yazışıldığını gösteren metaverilerin, IP ve log kayıtlarının incelenmesi doğrudan bir kişisel veri işleme faaliyetidir.
- Genel uyarılar geçersizdir: Şirket içi disiplin yönetmeliklerinde veya sözleşmelerde yer alan “Şirket iletişim araçları denetlenebilir” şeklindeki genel ve soyut ifadeler yeterli kabul edilmez.
- Açık rıza tek başına dayanak olamaz: İşçi ile işveren arasındaki bağımlılık ve ekonomik hiyerarşi nedeniyle, çalışanın denetime rıza göstermesi özgür iradeye dayanmadığından kural olarak geçerli bir veri işleme şartı oluşturmaz.
Kapsamlı ön aydınlatma ve ölçülülük şartı
İşverenlerin herhangi bir denetim mekanizması işletmeden önce yerine getirmesi gereken zorunlu adımlar sıralandı:
- Şeffaf ve somut bilgilendirme: Çalışana denetimin hukuki sebebi, meşru amacı, kapsamı, hangi verilere erişilebileceği, verilerin ne kadar süreyle saklanacağı ve itiraz hakları açıkça önceden tebliğ edilmelidir.
- Kademeli müdahale ilkesi: Amaca daha az müdahaleci yollarla (örneğin sadece trafik yoğunluğu takibi) ulaşılabiliyorsa içerik incelemesine gidilemez.
- İçerik denetiminde somut şüphe: E-posta veya mesaj içeriklerinin okunabilmesi için şirket sırrının sızdırılması veya suç işlendiğine dair somut, haklı ve güçlü bir delil bulunmalıdır.
Slack, Teams ve CRM kayıtları da kapsamda
İlke kararı yalnızca kurumsal e-posta hesaplarını değil; Slack, Microsoft Teams gibi anlık mesajlaşma araçlarını, müşteri ilişkileri yönetim (CRM) sistemlerini ve online toplantı platformlarındaki sohbet ve video kayıtlarını da doğrudan kapsamaktadır.