Kişisel Verileri Koruma Kurulunun Çalışan Denetimine İlişkin İlke Kararı

9 Ekim 2026

Kişisel Verileri Koruma Kurulunun (“Kurul”) 16.09.2026 tarihli ve 2026/2035 sayılı “İşverenler Tarafından Çalışanlara Tahsis Edilen Kurumsal E-Posta Hesapları Başta Olmak Üzere, İşin Yürütülmesi Amacıyla Kullanılan İletişim Kanallarının Denetlenmesi Suretiyle Gerçekleştirilen Kişisel Veri İşleme Faaliyetlerinde Uyulması Gereken Usul ve Esaslar Hakkında İlke Kararı” (“İlke Kararı”) 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete’de yayımlanmıştır.

 

İlke Kararı’nda, iletişim içeriklerine erişilmeksizin yalnızca trafik/log verilerinin işlenmesi halinde dahi kurumsal e-posta hesapları ve iş yerinde kullanılan diğer iletişim kanallarının denetlenmesinin kişisel veri işleme faaliyeti teşkil ettiği vurgulanmıştır. Buna göre işverenlerin, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nda (“Kanun”) yer alan genel ilkelere ve veri işleme şartlarına uygun hareket etmesi, çalışanları denetim hakkında önceden aydınlatması ve denetimin meşru bir amaca dayanarak gereklilik ve ölçülülük ilkelerine uygun şekilde gerçekleştirilmesini sağlaması gerekmektedir.

 

Kurul, iletişim içeriklerine erişimin trafik verilerinin denetlenmesine kıyasla daha güçlü ve somut bir gerekçe gerektirdiğini, denetimde kademeliliğin esas olduğunu ve teknik erişim imkânının tek başına hukuki erişim yetkisi vermediğini belirtmiştir. Çalışanların denetimin kapsamı, amacı ve yöntemi hakkında önceden açık ve somut şekilde bilgilendirilmesi gerektiği, genel nitelikte bir bilgilendirmenin yeterli kabul edilmeyeceği ifade edilmiştir.

 

İlke Kararı’nın Resmî Gazete’de yayımlanan metnine buradan ulaşabilirsiniz.