KVKK İlke Kararı: İşveren Tarafından Çalışanlara Tahsis Edilen İletişim Kanallarının Denetlenmesine İlişkin Usul ve Esaslar Belirlendi
A. Giriş
Kişisel Verileri Koruma Kurulu (“Kurul”), 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı (“İlke Kararı”) ile işverenlerin çalışanlara tahsis ettikleri kurumsal e-posta hesaplarını ve iş amaçlı kullanılan diğer iletişim kanallarını denetlerken 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVK Kanunu”) kapsamında uymaları gereken usul ve esasları belirlemiştir.
08.10.2026 tarihli ve 33394 sayılı Resmî Gazete’de yayımlanan İlke Kararı, işverenin yönetim ve denetim hakkı ile çalışanların kişisel verilerinin korunmasını isteme hakkı ve haberleşme hürriyeti arasında kurulması gereken dengeye açıklık getirmektedir. İlke Kararı’na buradan ulaşabilirsiniz.
B. Hukuki Çerçeve
6098 sayılı Türk Borçlar Kanunu’nun (“TBK”) 399’uncu maddesi uyarınca işveren, işin görülmesine ve çalışanların işyerindeki davranışlarına ilişkin genel düzenlemeler yapabilir ve onlara özel talimatlar verebilir. Anılan hüküm, işverenin işin yürütülmesine ilişkin düzenlemeler yapma, emir ve talimat verme ve iş süreçlerini denetleme yetkilerini kapsayan yönetim hakkının hukuki dayanaklarından birini oluşturmaktadır.
Bu çerçevede işverenler, iş süreçlerinin etkin şekilde yürütülmesi, kurumsal bilgi güvenliğinin sağlanması ve işyerinde belirlenen kurallara uyulup uyulmadığının kontrol edilmesi gibi amaçlarla kurumsal e-posta hesapları başta olmak üzere işin yürütülmesinde kullanılan iletişim araçlarını denetleme ihtiyacı duyabilmektedir.
Ancak söz konusu denetim ihtiyacı, işverenin yönetim hakkını sınırsız biçimde kullanabileceği anlamına gelmemektedir. Nitekim TBK’nın 417’nci maddesi işverene işçinin kişiliğini koruma yükümlülüğü getirirken, 419’uncu maddesi de çalışanlara ait kişisel verilerin kullanılmasına ilişkin sınırlamalar öngörmektedir.
Kurumsal iletişim araçları, iş süreçlerine ilişkin bilgilerin yanı sıra çalışanların kişisel verilerini ve özel yazışmalarını da içerebilmektedir. Dolayısıyla bu araçların işveren tarafından tahsis edilmesi, bunlar üzerinden gerçekleştirilen iletişimin sınırsız şekilde incelenebileceği anlamına gelmemekte olup denetimlerin çalışanların temel hak ve özgürlükleri gözetilerek KVK Kanunu’na uygun şekilde yürütülmesi gerekmektedir.
İşverenlerin çalışanlara tahsis ettikleri kurumsal e-posta hesaplarını denetlemesi, Anayasa’nın 20’nci maddesinde güvence altına alınan kişisel verilerin korunmasını isteme hakkı ve 22’nci maddesinde düzenlenen haberleşme hürriyeti kapsamında Anayasa Mahkemesi (“AYM”) tarafından da değerlendirilmiştir. AYM, 17.09.2020 tarihli kararında[1], önceden yeterli bilgilendirme yapılmaksızın çalışanın kurumsal e-posta yazışmalarına erişilmesini hak ihlali olarak değerlendirmiş, 12.01.2021 tarihli kararında[2] ise kurumsal e-posta hesabının kullanımına ve denetlenmesine ilişkin kuralların önceden açıkça belirlendiği ve incelemenin somut iddiayla sınırlı tutularak elde edilen verilerin amacına uygun kullanıldığı koşullarda hak ihlali bulunmadığı sonucuna ulaşmıştır.
Benzer şekilde, Avrupa İnsan Hakları Mahkemesi’nin (“AİHM”) Libert/Fransa[3] ve Bărbulescu/Romanya[4] kararlarında da işveren tarafından gerçekleştirilen iletişim denetimlerinde önceden bilgilendirme ve ölçülülük ilkelerinin önemi vurgulanmıştır.
Kurul da 25.11.2021 tarihli ve 2021/1187 sayılı kararında, eski bir çalışana ait kurumsal e-posta hesabına gerekli aydınlatma yapılmaksızın erişilmesini hukuka aykırı bularak veri sorumlusu hakkında idari para cezası uygulanmasına karar vermiştir.
Bu kararlar, kurumsal iletişim araçlarının denetlenmesinde çalışanların önceden bilgilendirilmesi, denetimin meşru bir amaca dayanması, bu amaca ulaşmak için daha az müdahaleci yöntemlerin değerlendirilmesi ve tarafların menfaatleri arasında adil bir denge kurulması gerektiğini ortaya koymaktadır. İlke Kararı, söz konusu yaklaşımı KVK Kanunu kapsamında veri sorumlularının yükümlülükleri bakımından somutlaştırmıştır.
C. Kurul’un Tespit ve Değerlendirmeleri
a) Denetimin Hukuki Sebebi
Kurul, iş ilişkisinin niteliği gereği taraflar arasında bulunan güç dengesizliği ve çalışanın işverene bağımlılığı nedeniyle açık rızanın kural olarak öncelikli veri işleme şartı olarak tercih edilmemesi gerektiğini belirtmiştir. Somut olayın koşullarına göre KVK Kanunu’nun 5’inci maddesinin ikinci fıkrasının (ç), (e) veya (f) bentlerinde düzenlenen veri işleme şartlarına dayanılması mümkün olmakla birlikte bu şartlardan birinin varlığı işverene sınırsız bir denetim yetkisi tanımamaktadır. Denetim, belirli, açık ve meşru bir amaca dayanmalı ve bu amaçla bağlantılı, sınırlı ve ölçülü olmalıdır.
b) Denetimin Kapsamı ve Ölçülülük İlkesi
Kurul, denetimin kademeli olarak yürütülmesi gerektiğini vurgulamıştır. İşverenin denetimle ulaşmak istediği amacın erişim kayıtlarının incelenmesi, teknik filtreleme veya iletişim içeriklerine erişim gerektirmeyen yöntemlerle gerçekleştirilebilmesi hâlinde, doğrudan yazışma içeriklerinin incelenmesi ölçülülük ilkesine aykırılık teşkil edebilecektir.
Yazışma içeriklerinin incelenmesi, çalışanın haberleşme hürriyetine daha ağır bir müdahale oluşturduğundan, ancak somut bir şüphe veya ihtiyacın bulunduğu ve incelemenin ilgili iddia veya amaçla sınırlandırıldığı istisnai hâllerde söz konusu olabilecektir. Nitekim Kurul, 19.01.2023 tarihli ve 2023/86 sayılı kararında da trafik verilerinin incelenmesi ile içerik incelemesi arasında ayrım yapmış ve içerik denetiminin daha sıkı koşullara tabi olduğunu ortaya koymuştur. Anılan kararda Kurul, şüpheli e-postaların tespit edilmesinin ardından gerçekleştirilen içerik incelemesini ölçülülük ilkesine aykırı bulmamıştır.
Bu doğrultuda, kapsamı belirsiz veya sürekli içerik incelemeleri ile gizli izleme faaliyetleri de ölçülülük ilkesi bakımından değerlendirilmelidir. Çalışanların klavye ve fare hareketlerinin kaydedilmesi, düzenli ekran görüntülerinin alınması ve uygulamaların sürekli takip edilmesi gibi yöntemler de bu kapsamda değerlendirilmelidir. Avrupa Birliği 29. Madde Çalışma Grubu’nun 2/2017 sayılı Görüşü’nde[5] bu tür teknolojiler aracılığıyla gerçekleştirilen kişisel veri işleme faaliyetlerinin orantısız nitelikte olduğu ve özellikle çalışanların klavye ile fare hareketlerinin kaydedilmesinin işverenin meşru menfaatine dayandırılmasının son derece güç olduğu belirtilmiştir.
Dolayısıyla çalışanların iş faaliyetlerinin daha az müdahaleci yöntemlerle denetlenmesinin mümkün olduğu durumlarda sürekli ekran görüntüsü alınması veya klavye ve fare hareketlerinin takip edilmesi, KVK Kanunu’nun 4’üncü maddesinin ikinci fıkrasının (ç) bendinde düzenlenen amaçla bağlantılı, sınırlı ve ölçülü olma ilkesine aykırılık oluşturabilecektir.
c) Aydınlatma Yükümlülüğü
Kurul, denetimin çalışan açısından öngörülebilir olması gerektiğini vurgulamıştır. Bu kapsamda, işveren tarafından yalnızca “kurumsal hesapların denetlenebileceğine” ilişkin genel bir bilgilendirme yapılması yeterli görülmemektedir. Çalışanların, denetimin amacı ve hukuki sebebi, hangi verilerin inceleneceği, denetimin trafik verilerini mi yoksa yazışma içeriklerini mi kapsayacağı, içeriklere hangi koşullarda erişilebileceği ve verilerin ne kadar süreyle saklanacağı konusunda önceden bilgilendirilmesi gerekmektedir.
AYM içtihadında ele alınan önceden bilgilendirme gerekliliği ile KVK Kanunu’nun 10’uncu maddesinde düzenlenen aydınlatma yükümlülüğü farklı hukuki dayanaklara sahip olmakla birlikte, kapsamlı ve usulüne uygun bir aydınlatma yapılması her iki gerekliliğin karşılanmasına hizmet edebilecektir.
d) İş Amaçlı ve Özel Amaçlı Kullanım Ayrımı
Kurul, iş amaçlı kullanım ile özel amaçlı kullanım arasındaki ayrımın denetim yetkisinin sınırlarının belirlenmesinde önem taşıdığını ifade etmiştir. İşverenler, iç düzenlemeler aracılığıyla kurumsal iletişim araçlarının özel amaçlı kullanımını yasaklayabilir veya sınırlandırabilir. Bununla birlikte böyle bir yasağın bulunması, çalışanların özel amaçlı yazışmalarının sınırsız şekilde incelenebileceği anlamına gelmemektedir. Bu kapsamda gerçekleştirilen denetimlerde, kurumsal iletişim araçlarının özel amaçlarla kullanılıp kullanılmadığının tespit edilmesi yeterli olup bu kullanımın içeriğinin incelenmesi ölçülülük ilkesine aykırılık oluşturabilecektir.
e) Kişisel Verilerin Güvenliği
Kurul, yazışma içeriklerinin incelenmesinin çalışanların yanı sıra üçüncü kişilere ait kişisel verilerin ve KVK Kanunu’nun 6’ncı maddesi kapsamında özel nitelikli kişisel verilerin işlenmesine de yol açabileceğine dikkat çekmiştir. Bu nedenle denetimin kapsamının mümkün olduğunca dar tutulması önem taşımaktadır. Ayrıca denetim sonucunda elde edilen verilere erişimin yalnızca yetkilendirilmiş personelle sınırlandırılması, erişim faaliyetlerinin kayıt altına alınması, verilerin gizliliğinin korunması ve verilerin yalnızca gerekli süre boyunca muhafaza edilmesi gerektiği de belirtilmiştir.
f) İş İlişkisinin Sona Ermesinden Sonraki Yükümlülükler
İlke Kararı’nda işten ayrılan çalışanlara tahsis edilmiş kurumsal e-posta hesaplarının yönetimine ilişkin esaslar da ele alınmıştır. İş ilişkisinin sona ermesinin ardından kurumsal e-posta hesabının aktif kullanıma ve yeni erişimlere kapatılması, hukuki sebebi kalmayan verilerin ise imha edilmesi gerekmektedir. Bununla birlikte, iş sürekliliğinin sağlanması, kurumsal iletişimin korunması, hukuki uyuşmazlıklarda savunma hakkının kullanılması veya mevzuattan kaynaklanan yükümlülüklerin yerine getirilmesi amacıyla otomatik cevap, yönlendirme, arşivleme veya sınırlı süreli muhafaza uygulamaları ile somut olayın koşullarına göre değerlendirilebilecektir.
Son olarak Kurul, yükümlülüklere aykırılık hâlinde, KVK Kanunu’nun 18’inci maddesi kapsamında ilgili veri sorumluları hakkında idari işlem tesis edilebileceğini belirtmiştir.
D. Sonuç
İlke Kararı, işverenlerin kurumsal iletişim araçlarını denetleme yetkisinin sınırlarını belirleyerek önceki Kurul kararları ile AYM ve AİHM içtihadında benimsenen yaklaşımı somutlaştırmaktadır. Bu kapsamda işverenlerin, kurumsal iletişim araçlarının kullanımına ilişkin kuralları önceden belirlemesi, çalışanları denetimin kapsamı ve koşulları hakkında bilgilendirmesi ve denetim faaliyetlerini ölçülülük ilkesine uygun şekilde yürütmesi gerekmektedir.
Bu doğrultuda, denetimlerde öncelikle içerik incelemesi gerektirmeyen yöntemlere başvurulmalı, yazışma içeriklerinin incelenmesi ise somut ihtiyaçlarla sınırlandırılmalıdır. Ayrıca işverenlerin, kurumsal iletişim araçlarına ilişkin iç düzenlemelerini ve çalışan aydınlatma metinlerini İlke Kararı çerçevesinde gözden geçirmesi, iş ilişkisinin sona ermesinden sonra kurumsal hesapların yönetimine ilişkin usul ve esasları belirlemesi önem taşımaktadır.
Daha fazla bilgi ve destek için bizimle iletişime geçebilirsiniz.
[1] Anayasa Mahkemesinin 2016/13010 Başvuru Numaralı ve 17.09.2020 Tarihli Kararı.
[2] Anayasa Mahkemesinin 2018/31036 Başvuru Numaralı ve 12.01.2021 Tarihli Kararı.
[3] The European Court of Human Rights, Libert v. France (Application No. 588/13), 2018.
[4] Grand Chamber judgment in the case of Bărbulescu v. Romania (Application No. 61496/08), 2017.
[5] Avrupa Birliği 29. Madde Çalışma Grubu, 08.06.2017 tarihli ve 2/2017 sayılı İşyerinde Veri İşlenmesine İlişkin Görüş (WP249).
Kişisel Verileri Koruma Kurulu (“Kurul”), 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı (“İlke Kararı”) ile işverenlerin çalışanlara tahsis ettikleri kurumsal e-posta hesaplarını ve iş amaçlı kullanılan diğer iletişim kanallarını denetlerken 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVK Kanunu”) kapsamında uymaları gereken usul ve esasları belirlemiştir.
08.10.2026 tarihli ve 33394 sayılı Resmî Gazete’de yayımlanan İlke Kararı, işverenin yönetim ve denetim hakkı ile çalışanların kişisel verilerinin korunmasını isteme hakkı ve haberleşme hürriyeti arasında kurulması gereken dengeye açıklık getirmektedir. İlke Kararı’na buradan ulaşabilirsiniz.
B. Hukuki Çerçeve
6098 sayılı Türk Borçlar Kanunu’nun (“TBK”) 399’uncu maddesi uyarınca işveren, işin görülmesine ve çalışanların işyerindeki davranışlarına ilişkin genel düzenlemeler yapabilir ve onlara özel talimatlar verebilir. Anılan hüküm, işverenin işin yürütülmesine ilişkin düzenlemeler yapma, emir ve talimat verme ve iş süreçlerini denetleme yetkilerini kapsayan yönetim hakkının hukuki dayanaklarından birini oluşturmaktadır.
Bu çerçevede işverenler, iş süreçlerinin etkin şekilde yürütülmesi, kurumsal bilgi güvenliğinin sağlanması ve işyerinde belirlenen kurallara uyulup uyulmadığının kontrol edilmesi gibi amaçlarla kurumsal e-posta hesapları başta olmak üzere işin yürütülmesinde kullanılan iletişim araçlarını denetleme ihtiyacı duyabilmektedir.
Ancak söz konusu denetim ihtiyacı, işverenin yönetim hakkını sınırsız biçimde kullanabileceği anlamına gelmemektedir. Nitekim TBK’nın 417’nci maddesi işverene işçinin kişiliğini koruma yükümlülüğü getirirken, 419’uncu maddesi de çalışanlara ait kişisel verilerin kullanılmasına ilişkin sınırlamalar öngörmektedir.
Kurumsal iletişim araçları, iş süreçlerine ilişkin bilgilerin yanı sıra çalışanların kişisel verilerini ve özel yazışmalarını da içerebilmektedir. Dolayısıyla bu araçların işveren tarafından tahsis edilmesi, bunlar üzerinden gerçekleştirilen iletişimin sınırsız şekilde incelenebileceği anlamına gelmemekte olup denetimlerin çalışanların temel hak ve özgürlükleri gözetilerek KVK Kanunu’na uygun şekilde yürütülmesi gerekmektedir.
İşverenlerin çalışanlara tahsis ettikleri kurumsal e-posta hesaplarını denetlemesi, Anayasa’nın 20’nci maddesinde güvence altına alınan kişisel verilerin korunmasını isteme hakkı ve 22’nci maddesinde düzenlenen haberleşme hürriyeti kapsamında Anayasa Mahkemesi (“AYM”) tarafından da değerlendirilmiştir. AYM, 17.09.2020 tarihli kararında[1], önceden yeterli bilgilendirme yapılmaksızın çalışanın kurumsal e-posta yazışmalarına erişilmesini hak ihlali olarak değerlendirmiş, 12.01.2021 tarihli kararında[2] ise kurumsal e-posta hesabının kullanımına ve denetlenmesine ilişkin kuralların önceden açıkça belirlendiği ve incelemenin somut iddiayla sınırlı tutularak elde edilen verilerin amacına uygun kullanıldığı koşullarda hak ihlali bulunmadığı sonucuna ulaşmıştır.
Benzer şekilde, Avrupa İnsan Hakları Mahkemesi’nin (“AİHM”) Libert/Fransa[3] ve Bărbulescu/Romanya[4] kararlarında da işveren tarafından gerçekleştirilen iletişim denetimlerinde önceden bilgilendirme ve ölçülülük ilkelerinin önemi vurgulanmıştır.
Kurul da 25.11.2021 tarihli ve 2021/1187 sayılı kararında, eski bir çalışana ait kurumsal e-posta hesabına gerekli aydınlatma yapılmaksızın erişilmesini hukuka aykırı bularak veri sorumlusu hakkında idari para cezası uygulanmasına karar vermiştir.
Bu kararlar, kurumsal iletişim araçlarının denetlenmesinde çalışanların önceden bilgilendirilmesi, denetimin meşru bir amaca dayanması, bu amaca ulaşmak için daha az müdahaleci yöntemlerin değerlendirilmesi ve tarafların menfaatleri arasında adil bir denge kurulması gerektiğini ortaya koymaktadır. İlke Kararı, söz konusu yaklaşımı KVK Kanunu kapsamında veri sorumlularının yükümlülükleri bakımından somutlaştırmıştır.
C. Kurul’un Tespit ve Değerlendirmeleri
a) Denetimin Hukuki Sebebi
Kurul, iş ilişkisinin niteliği gereği taraflar arasında bulunan güç dengesizliği ve çalışanın işverene bağımlılığı nedeniyle açık rızanın kural olarak öncelikli veri işleme şartı olarak tercih edilmemesi gerektiğini belirtmiştir. Somut olayın koşullarına göre KVK Kanunu’nun 5’inci maddesinin ikinci fıkrasının (ç), (e) veya (f) bentlerinde düzenlenen veri işleme şartlarına dayanılması mümkün olmakla birlikte bu şartlardan birinin varlığı işverene sınırsız bir denetim yetkisi tanımamaktadır. Denetim, belirli, açık ve meşru bir amaca dayanmalı ve bu amaçla bağlantılı, sınırlı ve ölçülü olmalıdır.
b) Denetimin Kapsamı ve Ölçülülük İlkesi
Kurul, denetimin kademeli olarak yürütülmesi gerektiğini vurgulamıştır. İşverenin denetimle ulaşmak istediği amacın erişim kayıtlarının incelenmesi, teknik filtreleme veya iletişim içeriklerine erişim gerektirmeyen yöntemlerle gerçekleştirilebilmesi hâlinde, doğrudan yazışma içeriklerinin incelenmesi ölçülülük ilkesine aykırılık teşkil edebilecektir.
Yazışma içeriklerinin incelenmesi, çalışanın haberleşme hürriyetine daha ağır bir müdahale oluşturduğundan, ancak somut bir şüphe veya ihtiyacın bulunduğu ve incelemenin ilgili iddia veya amaçla sınırlandırıldığı istisnai hâllerde söz konusu olabilecektir. Nitekim Kurul, 19.01.2023 tarihli ve 2023/86 sayılı kararında da trafik verilerinin incelenmesi ile içerik incelemesi arasında ayrım yapmış ve içerik denetiminin daha sıkı koşullara tabi olduğunu ortaya koymuştur. Anılan kararda Kurul, şüpheli e-postaların tespit edilmesinin ardından gerçekleştirilen içerik incelemesini ölçülülük ilkesine aykırı bulmamıştır.
Bu doğrultuda, kapsamı belirsiz veya sürekli içerik incelemeleri ile gizli izleme faaliyetleri de ölçülülük ilkesi bakımından değerlendirilmelidir. Çalışanların klavye ve fare hareketlerinin kaydedilmesi, düzenli ekran görüntülerinin alınması ve uygulamaların sürekli takip edilmesi gibi yöntemler de bu kapsamda değerlendirilmelidir. Avrupa Birliği 29. Madde Çalışma Grubu’nun 2/2017 sayılı Görüşü’nde[5] bu tür teknolojiler aracılığıyla gerçekleştirilen kişisel veri işleme faaliyetlerinin orantısız nitelikte olduğu ve özellikle çalışanların klavye ile fare hareketlerinin kaydedilmesinin işverenin meşru menfaatine dayandırılmasının son derece güç olduğu belirtilmiştir.
Dolayısıyla çalışanların iş faaliyetlerinin daha az müdahaleci yöntemlerle denetlenmesinin mümkün olduğu durumlarda sürekli ekran görüntüsü alınması veya klavye ve fare hareketlerinin takip edilmesi, KVK Kanunu’nun 4’üncü maddesinin ikinci fıkrasının (ç) bendinde düzenlenen amaçla bağlantılı, sınırlı ve ölçülü olma ilkesine aykırılık oluşturabilecektir.
c) Aydınlatma Yükümlülüğü
Kurul, denetimin çalışan açısından öngörülebilir olması gerektiğini vurgulamıştır. Bu kapsamda, işveren tarafından yalnızca “kurumsal hesapların denetlenebileceğine” ilişkin genel bir bilgilendirme yapılması yeterli görülmemektedir. Çalışanların, denetimin amacı ve hukuki sebebi, hangi verilerin inceleneceği, denetimin trafik verilerini mi yoksa yazışma içeriklerini mi kapsayacağı, içeriklere hangi koşullarda erişilebileceği ve verilerin ne kadar süreyle saklanacağı konusunda önceden bilgilendirilmesi gerekmektedir.
AYM içtihadında ele alınan önceden bilgilendirme gerekliliği ile KVK Kanunu’nun 10’uncu maddesinde düzenlenen aydınlatma yükümlülüğü farklı hukuki dayanaklara sahip olmakla birlikte, kapsamlı ve usulüne uygun bir aydınlatma yapılması her iki gerekliliğin karşılanmasına hizmet edebilecektir.
d) İş Amaçlı ve Özel Amaçlı Kullanım Ayrımı
Kurul, iş amaçlı kullanım ile özel amaçlı kullanım arasındaki ayrımın denetim yetkisinin sınırlarının belirlenmesinde önem taşıdığını ifade etmiştir. İşverenler, iç düzenlemeler aracılığıyla kurumsal iletişim araçlarının özel amaçlı kullanımını yasaklayabilir veya sınırlandırabilir. Bununla birlikte böyle bir yasağın bulunması, çalışanların özel amaçlı yazışmalarının sınırsız şekilde incelenebileceği anlamına gelmemektedir. Bu kapsamda gerçekleştirilen denetimlerde, kurumsal iletişim araçlarının özel amaçlarla kullanılıp kullanılmadığının tespit edilmesi yeterli olup bu kullanımın içeriğinin incelenmesi ölçülülük ilkesine aykırılık oluşturabilecektir.
e) Kişisel Verilerin Güvenliği
Kurul, yazışma içeriklerinin incelenmesinin çalışanların yanı sıra üçüncü kişilere ait kişisel verilerin ve KVK Kanunu’nun 6’ncı maddesi kapsamında özel nitelikli kişisel verilerin işlenmesine de yol açabileceğine dikkat çekmiştir. Bu nedenle denetimin kapsamının mümkün olduğunca dar tutulması önem taşımaktadır. Ayrıca denetim sonucunda elde edilen verilere erişimin yalnızca yetkilendirilmiş personelle sınırlandırılması, erişim faaliyetlerinin kayıt altına alınması, verilerin gizliliğinin korunması ve verilerin yalnızca gerekli süre boyunca muhafaza edilmesi gerektiği de belirtilmiştir.
f) İş İlişkisinin Sona Ermesinden Sonraki Yükümlülükler
İlke Kararı’nda işten ayrılan çalışanlara tahsis edilmiş kurumsal e-posta hesaplarının yönetimine ilişkin esaslar da ele alınmıştır. İş ilişkisinin sona ermesinin ardından kurumsal e-posta hesabının aktif kullanıma ve yeni erişimlere kapatılması, hukuki sebebi kalmayan verilerin ise imha edilmesi gerekmektedir. Bununla birlikte, iş sürekliliğinin sağlanması, kurumsal iletişimin korunması, hukuki uyuşmazlıklarda savunma hakkının kullanılması veya mevzuattan kaynaklanan yükümlülüklerin yerine getirilmesi amacıyla otomatik cevap, yönlendirme, arşivleme veya sınırlı süreli muhafaza uygulamaları ile somut olayın koşullarına göre değerlendirilebilecektir.
Son olarak Kurul, yükümlülüklere aykırılık hâlinde, KVK Kanunu’nun 18’inci maddesi kapsamında ilgili veri sorumluları hakkında idari işlem tesis edilebileceğini belirtmiştir.
D. Sonuç
İlke Kararı, işverenlerin kurumsal iletişim araçlarını denetleme yetkisinin sınırlarını belirleyerek önceki Kurul kararları ile AYM ve AİHM içtihadında benimsenen yaklaşımı somutlaştırmaktadır. Bu kapsamda işverenlerin, kurumsal iletişim araçlarının kullanımına ilişkin kuralları önceden belirlemesi, çalışanları denetimin kapsamı ve koşulları hakkında bilgilendirmesi ve denetim faaliyetlerini ölçülülük ilkesine uygun şekilde yürütmesi gerekmektedir.
Bu doğrultuda, denetimlerde öncelikle içerik incelemesi gerektirmeyen yöntemlere başvurulmalı, yazışma içeriklerinin incelenmesi ise somut ihtiyaçlarla sınırlandırılmalıdır. Ayrıca işverenlerin, kurumsal iletişim araçlarına ilişkin iç düzenlemelerini ve çalışan aydınlatma metinlerini İlke Kararı çerçevesinde gözden geçirmesi, iş ilişkisinin sona ermesinden sonra kurumsal hesapların yönetimine ilişkin usul ve esasları belirlemesi önem taşımaktadır.
Daha fazla bilgi ve destek için bizimle iletişime geçebilirsiniz.
[1] Anayasa Mahkemesinin 2016/13010 Başvuru Numaralı ve 17.09.2020 Tarihli Kararı.
[2] Anayasa Mahkemesinin 2018/31036 Başvuru Numaralı ve 12.01.2021 Tarihli Kararı.
[3] The European Court of Human Rights, Libert v. France (Application No. 588/13), 2018.
[4] Grand Chamber judgment in the case of Bărbulescu v. Romania (Application No. 61496/08), 2017.
[5] Avrupa Birliği 29. Madde Çalışma Grubu, 08.06.2017 tarihli ve 2/2017 sayılı İşyerinde Veri İşlenmesine İlişkin Görüş (WP249).
PDF İndirin
b.karabudak@lbfpartners.com