Bir proje dosyasının şirket dışına gönderildiğinden şüphelenildiğini düşünelim. Bilgi işlem ekibinin, bir çalışanın posta kutusunu açacak teknik imkânı var. O kutuda müşterilerle yazışmalar, ekip içi konuşmalar ve belki soruşturmayla hiçbir ilgisi olmayan kişisel mesajlar da var. Şirketin elindeki imkân ile o gün gerçekten neyi incelemesi gerektiği arasındaki mesafe, meselenin tam merkezinde duruyor.
Kişisel Verileri Koruma Kurulunun Ekim 2026’da yayımlanan İlke Kararı bu soruyu kurumsal e-posta ve iş için kullanılan diğer iletişim kanalları bakımından ele alıyor. Bir incelemenin sınırını amacı, hukuki dayanağı ve o amaca ulaşmak için erişilmesi gereken bilgiler belirliyor. [1–2]
Önce hangi soruya cevap aranıyor?
“Şirket bilgilerini korumak” meşru bir amaç olabilir. Bir inceleme başlatırken bu amacı somutlaştırmak gerekir. Hangi dosyanın, hangi olayla bağlantılı olarak, hangi zaman aralığında gönderilmiş olabileceği araştırılıyor? Bu soru, incelemenin nereye kadar uzanabileceğini de belirler. Şirket ayrıca işlemenin 6698 sayılı Kanun’da hangi şarta dayandığını değerlendirmeli. Meşru menfaate dayanıyorsa işlemenin o menfaat için zorunlu olması ve çalışanın temel hak ve özgürlüklerine zarar vermemesi gerekir. Şirket hesabı kişisel amaçla kullanmayı yasaklamış olsa bile inceleme ölçülü olmalı. [1–2]
Çalışan bunu ne zaman öğreniyor?
Bir çalışanın, denetimin ne zaman ve hangi yöntemle yapılabileceğini daha işin başında anlayabilmesi gerekir. “Kurumsal e-posta denetlenebilir” cümlesi tek başına, mesajların içeriğine hangi koşullarda bakılacağını açıklamaz. Kurul, denetim öncesi bilgilendirme ile KVKK’nın 10. maddesindeki aydınlatma arasında ayrım yapıyor. Kanun’un aradığı bilgileri içeren ve denetimin amacını, kapsamını ve yöntemini açıkça anlatan bir aydınlatma, denetimden önce çalışana sunulduğunda iki koşulu da karşılayabilir. Çalışana bir metin tebliğ edilmesi, açık rıza verdiği anlamına gelmez. İş ilişkisinde açık rızaya dayanılıyorsa çalışanın bunu özgürce verip veremediği ayrıca değerlendirilir. [1–2]
Çalışan, veri sorumlusu olan işverenine başvurarak e-posta incelemesinde kendisiyle ilgili hangi verilerin ne amaçla işlendiğini sorabilir. Başvurusu reddedilirse, yanıtı yetersiz bulursa veya 30 gün içinde yanıt alamazsa kanuni süreler içinde Kurula şikâyette bulunabilir. [2, 6]
Mesajı okumadan soruya cevap verilebilir mi?
Aynı sonuca daha az müdahaleci bir yolla ulaşılabiliyorsa, daha ağır denetim yöntemine başvurulmamalı. Örneğimizde önce dosya paylaşım kayıtlarına bakmak, sorunun cevabını verebilir. E-posta incelemesi gerekiyorsa, ilgili zaman aralığındaki gönderim bilgileri bazı durumlarda yeterlidir. Bu bilgilerin incelenmesi de hukuki dayanak ve ölçülülük gerektirir. Mesajın gövdesi ve ekleri daha fazla bilgi açığa çıkarır. Kurul, içeriğe erişimi kural olarak somut bir şüphe veya belirli bir olaya bağlı meşru bir amaçla ve o amacın gerektirdiği kapsamla sınırlandırıyor. [1–2]
Anayasa Mahkemesinin iki kararı bu farkı gösteriyor. E.Ü. başvurusunda, çalışana önceden bilgi verildiği gösterilemedi. Mesajların neden okunması gerektiği açıklanamadı ve inceleme, soruşturmayla ilgisi belirsiz yazışmalara da uzandı. AYM, derece mahkemelerinin bu konuları yeterince tartışmaması nedeniyle kişisel verilerin korunmasını isteme hakkı ile haberleşme hürriyetinin ihlal edildiğine karar verdi. Celal Oraj Altunörgü başvurusunda ise çalışan iş sözleşmesinde önceden bilgilendirilmişti. İnceleme, başka bir işte çalıştığı iddiasıyla ilgili mesajlarla sınırlıydı ve mahkemeler başka delilleri de değerlendirdi. AYM bu olayda ihlal görmedi. [3–4]
Avrupa İnsan Hakları Mahkemesi de Bărbulescu kararında işyerindeki mesajlaşmayı incelerken benzer sorular sordu. Çalışan önceden ne biliyordu? İnceleme ne kadar genişti? Aynı sonuca daha az müdahaleyle ulaşılabilir miydi? Romanya mahkemelerinin bu güvenceleri yeterince incelememesi, özel hayata ve haberleşmeye saygı hakkının ihlaline yol açtı. [5]
İnceleme bitince eldeki bilgilere ne oluyor?
Erişim, görev ve yetkisi belirlenmiş kişilerle sınırlanmalı ve kayda alınmalı. Bir ek dosyada sağlık bilgisi ya da yazışmanın karşı tarafına ait verilerle karşılaşılabileceği de hesaba katılmalı. İnceleme sırasında alınan kayıtlar, ilgili mevzuatta öngörülen süreyle veya işleme amacı için gereken süreyle sınırlı olarak tutulur. Çalışan işten ayrıldığında hesabı açık tutmanın veya eldeki verileri işlemeye devam etmenin hukuki dayanağı ayrıca değerlendirilir. [1–2]
En baştaki dosyaya dönelim. Gönderim kaydı soruyu cevaplıyorsa, posta kutusundaki diğer mesajlara ihtiyaç kalmaz. İnceleme daha ileri gidecekse, o anda sorulması gereken soru hâlâ aynı. Bu mesajı okumak, araştırdığımız olay hakkında hangi soruyu cevaplayacak?
Av. Dr. Çağrı TUNA
Kaynaklar
- Kişisel Verileri Koruma Kurulu, 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı. Resmî Gazete, 08.10.2026, sayı 33394. Kurum duyurusu · Resmî Gazete
- 6698 sayılı Kişisel Verilerin Korunması Kanunu, m. 4, 5, 6 ve 10–14. Yürürlükteki metin · TBMM kabul metni (m. 4, 5 ve 10–14’ün teyidi)
- AYM, E.Ü. [GK], B. No. 2016/13010, 17.09.2020, §§70, 73–79. Resmî Gazete, 14.10.2020, sayı 31274. Kararlar Bilgi Bankası · AYM karar derlemesi
- AYM, Celal Oraj Altunörgü [1. B.], B. No. 2018/31036, 12.01.2021, §§7–9, 40–45. Resmî Gazete, 05.02.2021, sayı 31386. Kararlar Bilgi Bankası · AYM karar PDF’i
- AİHM, Bărbulescu/Romanya [BD], B. No. 61496/08, 05.09.2017, §§121–122, 133–141. HUDOC
- Kişisel Verileri Koruma Kurulu, 24.01.2019 tarihli ve 2019/9 sayılı karar duyurusu. Veri sorumlusuna başvuru ve Kurula şikâyet sürelerinin hesabı. Kurum duyurusu