Konunun önemi nedeniyle diğer kurumlardan farklı olarak Kurum yaptığı düzenlemelere uyulmaması durumunda çok yüksek idari para cezaları öngördü.Bu konuda geçtiğimiz yazılarda okurlarımızı aydınlatmıştık.
08/10/2026 tarihli Resmi Gazete’de yayımlanan 2026/2035 Sayılı KVKK İlke Kararı ile işverenler tarafından çalışanlara tahsis edilen kurumsal e-posta hesapları başta olmak üzere, işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetlenmesinde uyulması gereken bazı önemli kurallar konulmuştur. Ayrıca söz konusu kararda bu kurallara uyulmadığının tespit edilmesi halinde idari para cezası uygulanacağı belirtilmiştir.
KVKK mevzuatında meydana gelen değişiklikler ve yayınlanan ilke kararları neticesinde şirketlerin KVKK dosyalarındaki belgelerin güncellenmesi, KVKK biriminin gerekli kararları alması ve yönlendirmelere uyulması önem arz etmektedir.
İşverenler Tarafından Çalışanlarca Kullanılan İletişim Kanallarının Denetlenmesi
Yukarıda bahsedildiği üzere 2026/2035 Sayılı KVKK İlke Kararı ile işverenler tarafından çalışanlara tahsis edilen kurumsal e-posta hesapları başta olmak üzere, işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetlenmesinde uyulması gereken bazı kurallar konulmuştur.
Buna göre işverenlerin çalışanlarca kullanılan iletişim kanallarının denetlenmesinde dikkat etmeleri gereken hususlar aşağıda özetlenmiştir:
• Şayet işveren tarafından çalışanların iletişim kanalları (kurumsal e-postalar, kişisel anlık mesajlaşma uygulaması, sosyal medya hesabı gibi) denetleniyorsa bununla ilgili gerekli aydınlatma yapılmalıdır. Ayrıca veri güvenliğine ilişkin yükümlülükler yerine getirilmelidir.
• İşveren tarafından yapılacak aydınlatmada, kişisel veri işleme faaliyetinin hukuki sebebi, amacı, kapsamı ve yöntemi ile iletişim içeriklerine hangi hallerde erişilebileceği, verilerin saklama süresi ve ilgili kişilerin hakları açık, anlaşılır ve somut biçimde ortaya konulmalıdır.
• Çalışanlara, yalnızca kurumsal e-posta hesabının işveren tarafından denetlenebileceğine ilişkin genel bir bildirimde bulunulması yeterli olmayacağı gibi, aydınlatma yükümlülüğünün de yerine getirildiği sonucunu doğurmayacaktır.
• Denetimin kapsamı belirlenirken iletişim aracının hangi amaçla tahsis edildiği ve kullanımına ilişkin kuralların neler olduğu dikkate alınmalıdır. Bu kapsamda “iş amaçlı kullanım” ile “özel amaçlı kullanım” arasında ayrım yapılması önem taşımaktadır.
• İşveren, yönetim hakkı kapsamında işyeri iletişim araçlarının özel amaçlı kullanımına ilişkin kuralları belirleyebilir; ancak bu kuralların açık, anlaşılır ve çalışan tarafından bilinebilir olması gerekmektedir. Özel amaçlı kullanımın yasaklandığı durumlarda dahi işverenin denetim yetkisi ölçülülük ilkesiyle sınırlıdır. İş amaçlı kullanım ile özel amaçlı kullanımın birbirinden kesin olarak ayrılamadığı hâllerde ise denetim yetkisinin kapsamı daha dar değerlendirilmelidir.
• İşverenin belirli bir cihaz, oturum, ağ veya kurumsal sistem üzerinde teknik erişim imkanına sahip olması, çalışanın kişisel e-posta hesabı, kişisel anlık mesajlaşma uygulaması, sosyal medya hesabı veya benzeri özel iletişim alanlarında bulunan yazışma içeriklerine serbestçe erişebileceği anlamına gelmemektedir. Bu nedenle teknik olarak veya hukuken erişebilir olma yetkilerinin birbirinden ayrılması gerekmektedir.
• İş ilişkisindeki bağımlılık hali ve taraflar arasındaki güç dengesi dikkate alındığında, çalışanın açık rızasının kural olarak e-posta denetimi bakımından her durumda öncelikli hukuki dayanak olarak kabul edilmesi mümkün değildir. Geçerli bir açık rızanın veya Kanun’da öngörülen diğer bir kişisel veri işleme şartının bulunması, işverene sınırsız bir denetim yetkisi tanımamaktadır.
• Denetim faaliyetlerinde kademelilik esas alınmalıdır. İşverenin ulaşmak istediği meşru amaca daha az müdahaleci bir yöntemle ulaşmasının mümkün olduğu hallerde, daha ağır bir denetim yöntemine başvurulmamalıdır.
• Çalışana tahsis edilen e-posta ya da diğer iletişim araçlarında yer alan içeriklerin incelenmesine, kural olarak yalnızca somut şüphe veya belirli bir olayla bağlantılı meşru bir amaç bulunması halinde ve denetimin amacıyla sınırlı olacak şekilde başvurulmalıdır. Kapsamı belirsiz, genel ve sürekli nitelikte içerik incelemelerinden kaçınılması gerekmektedir.
• İçerik denetiminde, incelenen içerik veya eklerinde özel nitelikli kişisel verilerin bulunabileceği dikkate alınmalıdır. Bunun yanı sıra, çalışanların iletişimleri çoğu zaman iletişimin karşı taraflarına veya başka üçüncü kişilere ait kişisel veri de içerebileceğinden, denetimin bu kişiler bakımından doğurabileceği etkiler de göz önünde bulundurulmalıdır.
• Kurumsal e-posta hesapları ve işin yürütülmesi amacıyla kullanılan diğer iletişim kanallarından elde edilen verilere erişim, yalnızca bu konuda görev ve yetki verilmiş belli sayıdaki personelle sınırlandırılmalıdır. Erişim yetkileri görev tanımları doğrultusunda belirlenmeli, erişim işlemlerine ilişkin kayıtlar tutulmalı ve verilere erişen kişilerin gizlilik yükümlülükleri güvence altına alınmalıdır.
