Kurumsal e-posta denetimi, uzun süre "sunucu bizim, kutu bizim, istediğimizi okuruz" diye düşünülen bir alandı. Kişisel Verileri Koruma Kurulu bu düşünceye resmî olarak son verdi. Kurul'un 16 Eylül 2026 tarihli ve 2026/2035 sayılı İlke Kararı, 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete'de yayımlandı. Karar; e-postayı, kurum içi mesajlaşmayı, talep ve CRM sistemlerindeki yazışmaları ve toplantı platformlarındaki sohbet ve kayıt alanlarını kapsıyor.
Biz bu kararı en çok sunucu ve mail sistemi kuran taraf olarak önemsiyoruz, çünkü kararın hedef aldığı ayarların çoğu bir yönetim panelinden birkaç tıkla açılıyor. Bu yazıda kararı hukukçu gözüyle değil, sistemi kuran ve yöneten kişinin gözüyle anlatıyoruz.
Kararın özü: teknik erişim, okuma yetkisi değildir
Kararın en kritik cümlesi şu anlama geliyor: işverenin bir cihaz, oturum, ağ ya da sistem üzerinde teknik yetkiye sahip olması, yazışma içeriklerine serbestçe erişebileceği anlamına gelmez. Teknik erişim imkânı ile hukuki erişim yetkisi birbirinden ayrılmalıdır.
Sistem yöneticileri bunu iyi bilir. Mail sunucusunda yönetici olan kişi her kutuyu açabilir, yönlendirme kuralı yazabilir, kutunun tamamını dışa aktarabilir. Karar, bu imkânın bir hak olmadığını söylüyor. İletişim araçlarının işverene ait olması ya da işyerinde kullanılması, tek başına sınırsız bir denetim yetkisi vermiyor.
Log da veridir, içerik çok daha ağırdır
Karar iki seviye tanımlıyor:
| Seviye | Ne işlenir | Karar ne diyor |
|---|---|---|
| Trafik/log denetimi | Gönderen, alıcı, tarih, boyut, IP, filtre sonucu | İçeriğe bakılmasa bile kişisel veri işlemedir; aydınlatma ve veri güvenliği yükümlülükleri geçerlidir |
| İçerik denetimi | Mailin gövdesi ve ekleri | En yoğun müdahaledir; yalnız somut bir şüphe varsa, iddiayla sınırlı ve istisnai olarak yapılabilir |
Kademelilik esas alınıyor: amaca daha az müdahaleci bir yolla ulaşılabiliyorsa daha ağır yönteme geçilemez. Kararda bizim için en önemli cümlelerden biri şu: kötüye kullanım filtreleme, engelleme gibi teknik yollarla önlenebiliyorsa, işverenin genel bir denetim hakkı doğmaz. Yani spam filtresi, zararlı ek engeli ya da dışarıya hassas dosya gönderimini durduran bir kural, içerik okumaktan her zaman önce gelir.
Riskli hale gelen yaygın ayarlar
Mail sistemlerinde sık gördüğümüz bazı ayarlar bu kararla birlikte yeniden düşünülmeli:
- Tüm kutuların gizli kopyası: Bütün gelen ve giden postaların bir "denetim" adresine otomatik kopyalanması. Karar, sürekli ve aralıksız gözetimin ölçülü kabul edilemeyeceğini ve çalışanın tüm işlemlerini ayrım gözetmeden kaydeden araçların hukuka aykırı sayılacağını söylüyor.
- Kimseye söylenmeden kurulan yönlendirme kuralı: Önceden bildirilmemiş gizli izleme, kararda açıkça hukuka aykırı sayılıyor.
- Ortak yönetici hesabı: Kutulara erişim yalnız yetkilendirilmiş sınırlı personelle olmalı, erişim kayıt altına alınmalı ve bu kişiler gizlilik yükümlülüğü altına girmeli. Herkesin bildiği tek bir yönetici şifresiyle bu kayıt tutulamaz.
- Ayrılan çalışanın kutusunu yöneticiye açmak: Kural olarak hesap kapatılmalı, gelen iletiler ilgisiz kişilere gösterilmemeli. İş sürekliliği için yönlendirme, otomatik cevap ya da arşivleme mümkün, ama sınırlı, süreli, yetkilisi belli ve kayıt altında olmak şartıyla.
- Şirket bilgisayarında açık kalmış kişisel hesaplar: Çalışanın kişisel e-postasına, WhatsApp'ına ya da sosyal medya mesajlarına erişim, oturum açık kalmış olsa bile bu yetkinin dışında.
Bu ayarların çoğu kötü niyetle değil, "lazım olur" düşüncesiyle açılıyor. Biz de geçmişte müşteri talebiyle bu tür kopyalama düzenleri kurduk. Karar yayımlandıktan sonra ilk işimiz, bu müşterilerimizi yazılı olarak bilgilendirmek ve alternatifleri önermek oldu.
Aydınlatma: "e-postanız denetlenebilir" cümlesi yetmez
Karar, iş sözleşmesine eklenen genel bir cümlenin yeterli olmadığını açıkça söylüyor. Çalışana denetimden önce şunlar somut olarak anlatılmalı:
- Hangi hukuki sebeple ve hangi amaçla denetim yapıldığı
- Denetimin log üzerinden mi, içerik üzerinden mi yürüdüğü
- İçeriğe hangi hallerde erişilebileceği
- Verilerin ne kadar süre saklandığı
- Çalışanın KVKK'nın 11. maddesindeki hakları
Bilgilendirilmeyen çalışanın, yazışmalarına müdahale edilmeyeceği yönünde makul bir beklenti taşıdığı kabul ediliyor. Bir de önemli ayrıntı: iş ilişkisindeki güç dengesizliği nedeniyle açık rıza kural olarak dayanak olmamalı. Dayanak, somut duruma göre hukuki yükümlülük, bir hakkın korunması ya da meşru menfaat olabilir; bunlar da sınırsız yetki vermiyor. Aydınlatma ile açık rızanın farkını açık rıza yazımızda ayrıca anlattık.
Kurumun özel kullanım kuralı da önemli. Kurumsal kanalların yalnız iş için kullanılacağı açıkça yazılıp duyurulmuşsa denetimin çerçevesi farklı, hiç kural yoksa farklı değerlendiriliyor. Ama yasak olsa bile denetim ölçülülükle sınırlı kalıyor ve çalışanın özel nitelikteki yazışmaları denetim dışında bırakılıyor.
Sistem tarafında kontrol listesi
Kararı uygulamak büyük ölçüde teknik bir iş. Mail sisteminizde şunlara bakmanızı öneririz:
- Sunucuda tanımlı tüm otomatik kopya (BCC), yönlendirme ve vekâlet kurallarını listeleyin. Her birinin amacını ve dayanağını yazın.
- Toplu kopya gerekiyorsa okunabilir bir kutu yerine erişimi kayıt altında olan bir arşive çevirin. Arşiv yalnız yazılı talep ve onayla, belirli hesap ve tarih aralığıyla sınırlı olarak açılsın.
- Yönetici hesaplarını kişiye özel yapın; ortak şifreyi kaldırın.
- Kutu erişimlerini, dışa aktarmaları ve kural değişikliklerini silinemeyen bir kayda yazdırın.
- Spam ve zararlı yazılım filtresi, giden hassas veri engeli gibi teknik önlemleri öne alın; içerik okumayı son çare olarak bırakın.
- Ayrılan çalışan için yazılı bir akış belirleyin: hesap kapatma, süreli otomatik cevap ya da yönlendirme, saklama süresi ve imha.
- Log ve arşivler için saklama süresi koyun; süre dolunca silinsin.
Bu adımların çoğu kurumsal e-posta kurulumunun ve KVKK uyumu çalışmasının doğal parçası. Ortak kutular ve ayrılan çalışanın kutusu için pratik düzeni ortak kutular rehberimizde bulabilirsiniz.
Mail sistemini barındıran firma, müşterisinin çalışanları için veri sorumlusu değildir. Aydınlatma metnini yayımlamak ve denetim kararını vermek işverenin, yani veri sorumlusunun işidir.
Uyulmazsa ne olur?
Karar, yükümlülüklere uyulmadığı tespit edilirse somut olaya göre inceleme yapılacağını ve KVKK'nın 18. maddesi uyarınca idari işlem uygulanacağını söylüyor. İdari para cezası aralıkları her yıl güncelleniyor; 2026 tutarlarını KVKK yaklaşımımız sayfasında kaynağıyla birlikte verdik. Yazışmalara yetkisiz erişim ayrıca ceza hukuku açısından da sonuç doğurabilir. Bu nedenle son kararı hukuk danışmanınızla birlikte vermenizi öneririz.
Sık sorulan sorular
İşveren kurumsal e-postayı hiç denetleyemez mi?
Denetleyebilir, ama sınırlı. Çalışan önceden somut biçimde bilgilendirilmeli, denetim meşru bir amaca dayanmalı ve önce log ile teknik önlemler kullanılmalı. İçeriğe yalnız somut bir şüphe varsa ve iddiayla sınırlı olarak bakılabilir.
Çalışana imzalı onay aldık; bu yeterli mi?
Kural olarak hayır. Karar, iş ilişkisindeki güç dengesizliği nedeniyle açık rızanın e-posta denetiminde öncelikli dayanak olarak kullanılmamasını istiyor. İmzalı form, ancak çalışanın bilgilendirildiğini belgelemek için işe yarar.
Tüm postaların bir adrese kopyalanmasını istiyoruz; yapılabilir mi?
Okunabilir bir kutuya sürekli kopya, karara göre ciddi risk taşır. İhtiyaç iş sürekliliği ya da olası uyuşmazlıklarsa, erişimi onaya ve kayda bağlı bir arşiv çok daha güvenli bir çözümdür.
Karar yalnız e-postayı mı kapsıyor?
Hayır. Kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları, CRM ve talep sistemleri ile toplantı platformlarındaki sohbet ve kayıt alanları da kapsamda.
Mevcut mail sistemimizi kontrol edebilir misiniz?
Evet. Sunucudaki kopya, yönlendirme ve erişim ayarlarını çıkarıp size sade bir rapor hazırlıyoruz. İletişim sayfasından ya da 0850 432 55 13 numaralı telefondan bize ulaşabilirsiniz.
Kaynak: Kişisel Verileri Koruma Kurulu, 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı, Resmî Gazete 08.10.2026, Sayı 33394.
Globya asistanı 7/24 çevrimiçi; sorunuzu hemen yanıtlar, gerekirse ekibe iletir.