Giriş
Kişisel Verileri Koruma Kurulu’nun (“Kurul”) 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı (“İlke Kararı”) 08.10.2026 tarihli ve 33394 sayılı Resmî Gazete’de yayımlanmıştır. Karar, işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları başta olmak üzere işin yürütülmesi amacıyla kullanılan iletişim kanallarını denetlerken uymaları gereken esasları ortaya koymaktadır.
Kurul, işverenin yönetim hakkı ile çalışanın özel hayatının gizliliği, kişisel verilerin korunmasını isteme hakkı ve haberleşme hürriyeti arasında adil bir denge kurulması gerektiğini vurgulamaktadır. Kararın etkileri, kurumsal e-postaların yanı sıra iş amaçlı kullanılan diğer iletişim kanallarında yürütülen iç soruşturmalar bakımından da önem taşımaktadır.
İlke Kararı, şirket içi soruşturmalarda kurumsal iletişim kanallarının incelenmesini yasaklamamakta veya her durumda çalışanın açık rızasını aramamaktadır. Ancak şirketin teknik erişim imkanı, yazışma içeriklerine sınırsız erişim yetkisi anlamına gelmez. İncelemenin hukuki sebebinin, gerekliliğinin, kapsamının ve yönteminin somut olay temelinde belirlenmesi gerekir.
A- Soruşturma Öncesinde: Bilgilendirme, Kullanım Kuralları ve Hukuki Sebep
i- Çalışanların önceden bilgilendirilmesi ve aydınlatma
Denetim hakkında önceden bilgilendirme, incelemenin hukuka uygunluğunun değerlendirilmesinde önemli unsurlardan biridir. Anayasa Mahkemesi içtihadında aranan önceden bilgilendirme ile KVKK m. 10 kapsamındaki aydınlatma yükümlülüğü birbirinden ayrıdır. Bununla birlikte, hukuki sebebi, amacı, kapsamı, yöntemi, içeriklere hangi hallerde erişilebileceğini, saklama süresini ve ilgili kişinin haklarını somut biçimde açıklayan uygun bir aydınlatma, önceden bilgilendirme ihtiyacını da karşılayabilir.
Sadece “kurumsal e-posta denetlenebilir” şeklindeki genel bir bildirim, somut olayın koşullarına göre yeterli olmayabilir. Bu nedenle mevcut çalışan aydınlatma metinleri ve ilgili iç politikaların, denetim faaliyetlerini ne ölçüde açık ve öngörülebilir kıldığı gözden geçirilmelidir.
ii- İş amaçlı ve özel amaçlı kullanım ayrımı
Kurumsal iletişim araçlarının özel amaçlı kullanımının yasak, sınırlı veya serbest olup olmadığına ilişkin kurallar açık, anlaşılır ve çalışanlarca bilinebilir olmalıdır. Özel kullanım yasaklanmış olsa dahi ölçülülük ilkesi geçerliliğini korur. İş ve özel amaçlı iletişimin ayrıştırılamadığı hallerde incelemenin kapsamı daha dar değerlendirilmelidir.
iii- Açık rıza yerine uygun veri işleme şartı
İş ilişkisindeki bağımlılık ve güç dengesi nedeniyle, kurumsal iletişim denetiminin hukuki dayanağının açık rıza üzerine kurulması kural olarak uygun bir yaklaşım değildir; rızanın özgür iradeyle verilmesi tartışmalı hale gelebilir. Soruşturmanın niteliğine göre KVKK m. 5/2(f) kapsamındaki meşru menfaat, m. 5/2(e) kapsamındaki bir hakkın tesisi, kullanılması veya korunması ya da ilgili başka bir işleme şartı gündeme gelebilir. İlke Kararı belirli üç hukuki sebebi münhasır seçenekler olarak saymamaktadır. Her olayda uygun işleme şartı ve bu şartın gerektirdiği zorunluluk ayrıca değerlendirilmelidir.
Örneğin bir ihbarın, üçüncü kişi bildiriminin veya denetim bulgusunun araştırılması meşru bir soruşturma amacı oluşturabilir. Bununla birlikte, geçerli bir işleme şartının bulunması tek başına tüm posta kutusunun sınırsız incelenmesine imkan vermez. İnceleme sırasında özel nitelikli kişisel verilerin işlenmesi söz konusu olursa KVKK m. 6’daki koşullar ve ilave tedbirler ayrıca dikkate alınmalıdır.
B- Soruşturma Sırasında: İçerik İncelemesinin Sınırları
i- Somut şüphe veya belirli olayla bağlantılı meşru amaç
İlke Kararı uyarınca iletişim içeriklerinin incelenmesine kural olarak somut şüphe veya belirli bir olayla bağlantılı meşru amaç bulunduğunda ve bu amaçla sınırlı olarak başvurulmalıdır. Bu nedenle soruşturmayı başlatan ihbar, işlem, bulgu veya diğer somut gerekçeler ve araştırılacak hususlar önceden belirlenmelidir. Belirsiz kapsamlı, genel ve sürekli içerik incelemelerinden kaçınılmalıdır.
ii- Kademeli, hedefli ve ölçülü erişim
İncelemenin ilgili dönem, kişi, işlem, muhatap veya anahtar kelimelerle sınırlandırılması; mümkün olduğunda önce daha az müdahaleci kaynak ve yöntemlere başvurulması önerilir. Trafik/log kayıtlarının değerlendirilmesi bazı olaylarda yeterli olabilir; ancak İlke Kararı, her soruşturmada içerik incelemesinden önce mutlaka ayrı bir trafik/log aşamasının tamamlanmasını zorunlu tutmamaktadır. Esas olan, amaca daha az müdahaleci bir yöntemle ulaşılabiliyorsa daha ağır yöntemin kullanılmamasıdır.
İçeriğe erişilmeksizin trafik veya log kayıtlarının incelenmesi de kişisel veri işleme faaliyetidir. Dolayısıyla bu tür kayıtların incelenmesinde de hukuki sebep, amaçla sınırlılık, saklama ve veri güvenliği kuralları gözetilmelidir.
iii- Özel iletişim alanları ve üçüncü kişilerin verileri
İşverenin kurumsal bir cihaz, ağ veya hesap üzerinde teknik erişim yetkisi bulunması, çalışanın kişisel e-posta hesabı, kişisel mesajlaşma uygulaması veya benzeri özel iletişim alanlarının serbestçe incelenebileceği anlamına gelmez. İnceleme sırasında özel amaçlı olduğu anlaşılan ve soruşturmayla ilgisi bulunmayan yazışmaların kapsam dışında bırakılması; üçüncü kişilere ait veriler ve özel nitelikli kişisel veriler bakımından ilave dikkat gösterilmesi gerekir.
iv- Soruşturmanın gizliliği ve erişim güvenliği
Çalışanların denetim imkanı hakkında önceden bilgilendirilmesi ile her somut soruşturmanın başlamasından önce ayrıca haber verilmesi aynı mesele değildir. İlke Kararı, her bir soruşturma öncesinde ilgili çalışana ayrı bir bildirim yapılmasını açıkça zorunlu tutmamaktadır. Bununla birlikte, önceki bilgilendirmenin kapsamı ve somut incelemenin hukuki dayanağı değerlendirilmelidir.
Erişim, görev ve yetkileri belirlenmiş sınırlı sayıdaki kişilerle sınırlandırılmalı; erişim kayıtları tutulmalı ve gizlilik yükümlülükleri güvence altına alınmalıdır. Soruşturmanın kapsamının, erişim kararlarının ve gerekli görülen içeriklerin neden incelendiğinin belgelendirilmesi; elde edilen materyallerin bütünlüğünün korunması ve ilgisiz verilerin soruşturma dosyasına gereksiz biçimde dahil edilmemesi iyi uygulama örnekleridir.
C- İş İlişkisi Sona Ermiş Çalışanların Hesapları
İlke Kararı, iş ilişkisinin sona ermesinden sonra kurumsal e-posta hesabı ve bu hesapta tutulan veriler üzerindeki işleme faaliyetlerinin hukuki dayanağının ayrıca değerlendirilmesini öngörmektedir. İşten ayrılma, geçmiş kurumsal yazışmaların bir iç soruşturma kapsamında incelenmesini kendiliğinden yasaklamaz; ancak hesabın teknik olarak erişilebilir olması veya çalışanın geçmişte bilgilendirilmiş bulunması da süresiz erişim yetkisi doğurmaz.
Örneğin işten ayrıldıktan sonra ortaya çıkan somut bir usulsüzlük iddiasında, mevcut yazışmalara hedefli erişim meşru menfaat veya hakların korunması kapsamında değerlendirilebilir. Erişimin gerekliliği, saklama süresi ve soruşturma kapsamı ayrıca gerekçelendirilmelidir. İş sürekliliği amacıyla uygulanan otomatik cevap, yönlendirme veya arşivleme gibi yöntemler ise ayrı amaç ve hukuki dayanakları bakımından değerlendirilmelidir; İlke Kararı bu teknik yöntemlere ilişkin tek tip bir zorunlu prosedür getirmemektedir.
D- Şirketler İçin Uygulama Önerileri
İlke Kararı, tüm şirketlerin belirli adlarla bağımsız politika veya prosedürler hazırlamasını açıkça zorunlu tutmamakla birlikte, mevcut denetim ve iç soruşturma uygulamalarının aşağıdaki başlıklar bakımından gözden geçirilmesi yararlı olacaktır:
- Kurumsal e-posta ve diğer iş amaçlı iletişim kanallarının, fiili denetim yöntemlerinin ve bunlara ilişkin veri işleme faaliyetlerinin envanterinin çıkarılması.
- Çalışan aydınlatma metinleri ile iletişim araçlarının özel amaçlı kullanımına ilişkin politikaların, denetimin amacı, yöntemi, kapsamı, erişim koşulları ve saklama süreleri yönünden değerlendirilmesi.
- İç soruşturmalarda somut gerekçenin, uygun hukuki sebebin, inceleme kapsamının ve kademeli erişim kararlarının kayıt altına alınmasına yönelik bir iş akışı oluşturulması.
- İnceleme yetkilerinin sınırlandırılması, erişim kayıtlarının tutulması, gizlilik yükümlülüklerinin güvence altına alınması ve delil niteliği taşıyan kayıtların bütünlüğünün korunması.
- İşten ayrılan çalışanların hesaplarının kapatılması, arşivlenmesi, erişime açılması ve saklama/imha süreçlerinin mevcut iş ihtiyaçları ve hukuki dayanaklar çerçevesinde gözden geçirilmesi.
Kurul, İlke Kararı’nda belirtilen yükümlülüklere uyulmadığının tespiti halinde somut olayın koşullarına göre KVKK m. 18 kapsamında işlem tesis edilebileceğini duyurmuştur. Bu nedenle uyum değerlendirmesinde yalnızca aydınlatma belgelerine değil, incelemenin fiilen nasıl yürütüldüğüne de odaklanılmalıdır.
Sonuç
İlke Kararı, şirket içi soruşturmalar kapsamında kurumsal iletişim kanallarının incelenmesinde dikkat edilmesi gereken hukuki sınırları bir kez daha ortaya koymaktadır. Bu çerçevede, şirketlerin kurumsal iletişim araçlarının denetlenmesine ilişkin mevcut uygulamalarını gözden geçirmeleri ve özellikle soruşturma süreçlerinde kişisel verilere erişimin hukuki dayanağını, gerekliliğini ve kapsamını somut olay özelinde değerlendirmeleri önem taşımaktadır. Soruşturmanın amacına uygun, ölçülü ve kademeli inceleme yöntemlerinin benimsenmesi ise hem kişisel verilerin korunmasına ilişkin yükümlülüklere uyum sağlanması hem de soruşturma süreçlerinin hukuka uygun şekilde yürütülmesi bakımından önem arz etmektedir.
Kaynak: Kişisel Verileri Koruma Kurulunun 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı (08.10.2026 tarihli, 33394 sayılı Resmi Gazete); https://www.kvkk.gov.tr/
Araştırma ve hazırlık desteği: Av. Hüseyin Rüzgar Akcan