Çalışanların İş Amaçlı İletişim Araçlarının Denetlenmesine İlişkin Kişisel Verileri Koruma Kurulu İlke Kararı Yayımlandı

Kişisel Verileri Koruma Kurulu (“Kurul”)’nun 08.10.2026 tarih ve 33394 sayılı Resmî Gazete’de yayımlanan 16.09.2026 tarih ve 2026/2035 sayılı İlke Kararı (“İlke Karar”) işverenler tarafından çalışanlara temin edilenler başta olmak üzere çalışanların işin yürütülmesinde kullandıkları iletişim kanallarının denetlenmesi noktasında kişisel verilerin korunması bakımından dikkate alınması gereken usul ve esasları ortaya koymaktadır.

İşverenlerin iş hukuku kapsamında haiz olduğu yönetim hakkı ve çalışanların Anayasa’nın 20. ve 22. maddeleri çerçevesinde korunması gereken haberleşme hürriyeti ve kişisel verilerinin korunması hakları bakımından dengenin kurulması açısından İlke Karar önem arz etmektedir.

İletişim Kanalları ve Veri İşleme Faaliyeti

İlke Karar’da kurumsal e-posta ve anlık iletişim hesapları, kurum içi mesajlaşma uygulamaları, müşteri ilişkileri / talep yönetim sistemleri ile toplantı platformlarındaki sohbet ve kayıt alanları örnek iletişim kanalları arasında sayılmıştır. Buradan hareketle, Kurul tarafından iş yönetimi kapsamında kullanılan iletişim kanallarının geniş yorumlandığı ve geleneksel kanallarla sınırlı kalınmadığı değerlendirilmektedir.

İletişim kanalları dahilinde işverenlerin denetim yetkisi kapsamındaki veri işleme faaliyetleri (i) içeriğe erişilmeksizin yürütülen trafik / log kayıtları incelemesi ve (ii) iletişimin gövde ve eklerini kapsayan içerik denetimi olarak iki ana katmanda ele alınmaktadır. Bununla birlikte, İlke Kararı’nda fare hareketlerinin veya ekranın izlenmesi gibi davranışsal izleme yöntemlerinin içerik denetimi kapsamında sınıflandırılmadığı; bunun yerine, “çalışanın tüm işlemlerini ayrım gözetmeksizin kaydeden araçlar” ve “sürekli gözetim” kapsamında ayrı hukuka aykırılık nedenleri olarak ele alındığı anlaşılmaktadır.

Kurul tarafından işbu çerçevede bilhassa; sadece içerik denetiminin değil, trafik / log kayıtları denetimi de dahil olmak üzere işverenlerin denetimler kapsamında gerçekleştirdiği her türlü veri işleme faaliyetinin 6698 sayılı Kişisel Verilerin Korunması Hakkında Kanun (“KVKK”) kapsamındaki yükümlülüklere tabi olduğu vurgulanmaktadır. Dolayısıyla, işverenler tarafından hukuki işleme sebebi, genel ilkelere uygunluk, aydınlatma yükümlülüğü ve veri güvenliğinin sağlanması adına uygulanması gereken idari tedbirler bakımından ilgili yükümlülüklerin yerine getirilmesi önem arz etmektedir.

Verilerin İşlenmesinde Hukuki Sebep

İş ilişkisindeki bağımlılık ve işveren ve çalışanlar arasındaki güç dengesizliği nedeniyle, iletişim kanallarının denetlenmesinde çalışanların açık rızasının kural olarak öncelikli hukuki dayanak olarak esas alınmaması gerektiği ifade edilmektedir. Bu kapsamdaki kişisel veri işleme faaliyetlerinin; somut olayın koşullarına göre KVKK’nın 5. maddesinin 2. fıkrasında yer alan “veri sorumlusunun hukuki yükümlülüğü”, “bir hakkın tesisi, kullanılması veya korunması” veya çalışanın temel hak ve özgürlüklerine zarar vermemek kaydıyla “işverenin meşru menfaati” hukuki sebeplerine dayandırılabileceği ortaya konulmaktadır. Lakin, bu işleme şartlarının varlığının işverene sınırsız ve mutlak bir denetim yetkisi sağlamadığı vurgulanmaktadır.

İşverenlerin Denetim Yetkisinin Sınırları

İşveren tarafından temin edilip edilmemesinden bağımsız olarak, çalışanlar tarafından işin yürütülmesi kapsamında kullanılan iletişim kanallarında işverenlerin denetim yetkisi sınırsız değildir. Diğer bir ifadeyle, işverenlerin ilgili kanallara olası bir teknik erişim imkanının bulunması hukuken erişim hakkının bulunduğu anlamına gelmemektedir. Nitekim İlke Karar’da, söz konusu kanalların günümüzde basit birer iletişim aracı olmanın ötesinde çalışanların mesleki ve zaman zaman kişisel ilişkilerini içeren alanlar olduğunun altı çizilmektedir.

Bu kapsamda, İlke Karar’da dikkat çeken temel hususlara aşağıda başlıklar halinde yer verilmektedir.

i)                 Aydınlatma Yükümlülüğü ve Makul Gizlilik Beklentisi

Anayasa Mahkemesi uygulamasına da atıf yapan Kurul; çalışanların denetleme faaliyetleri hakkında önceden bilgilendirilmeleri gerektiğini ve çalışanlar bakımından ilgili uygulamanın öngörülebilir olmasının arandığını belirtmektedir. Bu kapsamda, çalışanların makul gizlilik beklentisinin zayıflayabileceği ve olası bir anayasal hak ihlalinin önüne geçilebileceği değerlendirilebilecektir. Lakin, İlke Karar’da anayasal çerçevede çalışanların bilgilendirilmesi ile KVKK’nın 10. maddesi uyarınca yerine getirilmesi gereken aydınlatma yükümlülüğünün birbirinde farklılaşabileceği aktarılmaktadır. Diğer bir ifadeyle, çalışanların bilgilendirilmiş olması, KVKK kapsamındaki aydınlatma yükümlülüğünün de yerine getirildiği anlamına gelmeyebilir. Bu nedenle, aydınlatma yükümlülüğünün ilgili mevzuata uygun biçimde yerine getirilip getirilmediğinin ayrıca kontrol edilmesi faydalı olacaktır.

İlaveten, KVKK’nın 10. maddesinde ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’de belirtilmemesine karşın İlke Karar’da işlenen verilerin saklanma süresinin aydınlatma kapsamında belirtilmesi gerektiğine dair ifade dikkat çekmektedir. Dolayısıyla, verilerin amacın gerçekleşmesi bakımından gerekenden uzun bir süre boyunca saklanmamasının ve ilgili sürelerin baştan belirlenmesinin kritik olduğu değerlendirilmektedir.

ii)               İş ve Özel Amaçlı Kullanım Ayrımı ve Orantılılık

İşverenin özel amaçlı kullanımı yasaklamış, belirli sınırlar çerçevesinde serbest bırakmış veya bu konuda açık bir düzenleme yapmamış olması, iletişim araçlarının denetiminde makul gizlilik beklentisinin ve dolayısıyla hukuka uygunluğun değerlendirilmesinde dikkate alınması gereken unsurlardır. Bununla birlikte, özel amaçlı kullanımın yasaklanması veya sınırlandırılması, işverene sınırsız bir denetim yetkisi tanımamaktadır. Örneğin, denetimin amacına yalnızca trafik verilerinin incelenmesiyle ulaşılabiliyorsa veya filtreleme ve engelleme gibi daha az müdahaleci teknik yöntemlerle olası ihlallerin önüne geçilebildiği hâllerde, iletişim içeriklerinin incelenmesinden kaçınılmalıdır.

İletişim içeriklerinin denetlenmesi, ancak güçlü ve somut bir meşru gerekçenin bulunması ve müdahalenin gerekli ve ölçülü olması hâlinde istisnai olarak gündeme gelebilir. Bu değerlendirmede, özel ve iş amaçlı iletişim arasındaki ayrım gözetilmeli; içerik denetiminin özel nitelikli kişisel verileri ve üçüncü kişilere ait verileri de kapsayabileceği dikkate alınarak denetimin kapsamı ve olası etkileri önceden değerlendirilmelidir. İşbu ayrımın gözetilmemesi halinde; işverenin denetim yetkisinin sınırlarının daha dar olarak değerlendirilebileceği ifade edilmektedir.

iii)             Erişim Yetkisi ve Sorumlu Personel

Kurumsal iletişim kanallarına teknik erişim, görev ve yetkileri açıkça belirlenmiş sınırlı sayıdaki personelle sınırlandırılmalı; erişimler kayıt altına alınmalı ve ilgili kişiler gizlilik yükümlülüğü altında tutulmalıdır.

İşten ayrılan çalışanların hesapları ise aktif kullanıma ve yetkisiz erişime kapatılmalı, hukuki dayanağı kalmayan kişisel veriler imha edilmelidir. Bununla birlikte, iş sürekliliğinin sağlanması, hukuki uyuşmazlıklarda savunma hakkının kullanılması ve mevzuatta yer alan haller gibi meşru amaçlarla, sınırlı ve süreli yönlendirme, otomatik yanıt, arşivleme veya muhafaza uygulamalarına gerekli erişim kontrollerinin ve kayıt mekanizmalarının uygulanması kaydıyla başvurulabilir.

Sonuç

Netice itibarıyla, İlke Karar uyarınca işverenlerin çalışan iletişim kanallarındaki denetim yetkisi sınırsız olmayıp somut aydınlatma yapılması, kademeli ve ölçülülük ilkesi doğrultusunda hareket edilmesi ile teknik erişimlerin sınırlandırılması gerekmektedir. Belirlenen usul ve esaslara aykırı davranılması halinde KVKK’nın 18. maddesi uyarınca idari para cezası ve yaptırımlarla karşılaşılma riski bulunduğundan, şirket içi aydınlatma metinlerinin, gizlilik politikalarının ve teknik denetim prosedürlerinin İlke Karar çerçevesinde kontrol edilmesi faydalı olacaktır.