İşveren e-posta denetimi konusunda çalışanların mahremiyeti ile işyerinin bilgi güvenliği arasındaki sınır yeniden gündemde. Kişisel Verileri Koruma Kurulunun (KVKK) 2026/2035 sayılı ilke kararı, kurumsal e-posta hesapları ve iş amaçlı iletişim kanallarının incelenmesinde kişisel verilerin korunmasına ilişkin yükümlülükleri hatırlatıyor.
Karar, işverenin çalışana tahsis ettiği hesabı hiçbir koşulda denetleyemeyeceği anlamına gelmiyor. Ancak hesabın işyerine ait olması da yazışmaların sınırsız biçimde incelenebileceği anlamına gelmiyor. Denetimin hukuki dayanağı, amacı, kapsamı ve çalışanlara yapılan bilgilendirme önem taşıyor.
İşverenler; işin yürütülmesi, bilgi güvenliği veya hukuki yükümlülükler gibi gerekçelerle kurumsal iletişim sistemlerinde belirli kontroller uygulayabiliyor. Bununla birlikte kişisel verilerin işlenmesinde amaçla bağlantılılık, ölçülülük ve gereklilik ilkeleri gözetilmeli. Daha az müdahaleci bir yöntemle sonuca ulaşılabiliyorsa yazışma içeriğine doğrudan erişim ayrıca değerlendirilmek zorunda.
İşveren e-posta denetiminde hangi sınırlar geçerli?
Çalışanların hangi iletişim araçlarının, hangi amaçlarla ve ne ölçüde denetlenebileceği konusunda önceden açık biçimde bilgilendirilmesi temel bir gereklilik. İşverenin denetim yetkisini genel ve sınırsız bir izin gibi yorumlamaması; elde edilen verileri belirlenen amaç dışında kullanmaması gerekiyor.
Kurumsal e-posta hesabının denetlenmesiyle özel haberleşmenin korunması arasındaki denge, her olayın koşullarına göre değerlendirilir. Bir çalışanın iş hesabını kullanması, kişisel verilerinin korunmasına ilişkin bütün haklarından vazgeçtiği anlamına gelmez. Öte yandan kararın tüm denetimleri kategorik olarak yasakladığı şeklindeki yorum da doğru olmaz.
Bu çerçeve, yalnızca çalışanları değil, şirketlerin insan kaynakları, bilgi işlem ve hukuk birimlerini de ilgilendiriyor. Kurumların mevcut bilgilendirme metinlerini, erişim yetkilerini ve kayıt saklama uygulamalarını kararın ortaya koyduğu ilkeler doğrultusunda gözden geçirmesi önem taşıyor.
Kaynak: Kişisel Verileri Koruma Kurulu, 2026/2035 sayılı ilke kararı; 8 Ekim 2026 tarihli Resmî Gazete.
Yorumlar kapalı.