İşveren Çalışanın Kurumsal E-Postasını Okuyabilir mi? 2026 KVKK İlke Kararı

İşveren, çalışana tahsis ettiği kurumsal e-posta hesabını belirli şartlarla denetleyebilir; ancak hesabın şirkete ait olması bütün yazışmaların sınırsız okunabileceği anlamına gelmez. Kişisel Verileri Koruma Kurulunun 16 Eylül 2026 tarihli, 2026/2035 sayılı ve 8 Ekim 2026’da duyurulan İlke Kararı uyarınca önceden bilgilendirme, somut hukuki dayanak, ölçülülük, kademeli denetim ve veri güvenliği esas alınmalıdır. Kurala aykırı denetimle elde edilen yazışmalar hem KVKK yaptırımına hem de fesih davasında delil tartışmasına yol açabilir.

📅 Son güncelleme: 16 Ekim 2026

Kurumsal e-posta hesabı işverene aitse yazışmalar okunabilir mi?

Kurumsal e-posta hesabının şirket tarafından açılması, işverene bütün mesajları sınırsız biçimde okuma yetkisi vermez. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve Anayasa’nın özel hayat ile haberleşme özgürlüğünü koruyan hükümleri gereğince denetimin hukuki dayanağı, amacı, kapsamı ve ölçülülüğü ayrıca değerlendirilir. Çalışanın iş için tahsis edilmiş bir hesabı kullanması, o hesaptaki verilerin kişisel veri niteliğini ortadan kaldırmaz.

İşverenin bilgi güvenliği, işin sürekliliği veya somut bir usulsüzlük şüphesini araştırma amacı bulunabilir; ancak bu amaç daha hafif bir yöntemle gerçekleştirilebiliyorsa bütün yazışmaların okunması uygun değildir. İlke Kararı, işverenin teknik erişim imkânı ile hukuken erişme yetkisinin farklı olduğunu açıkça vurgular: şirket bilgisayarının yöneticisi veya e-posta sisteminin sahibi olmak, özel yazışmalara kendiliğinden müdahale hakkı doğurmaz.

2026/2035 sayılı İlke Kararı neyi düzenliyor?

Karar, kurumsal e-posta hesapları başta olmak üzere işin yürütülmesi için kullanılan iletişim kanallarının denetimini konu alır. E-posta içeriklerinin okunması yanında log ve trafik kayıtlarının incelenmesi, otomatik filtreleme ve rutin kontrol uygulamaları da kişisel veri işleme faaliyetidir. Denetimin, işverenin yönetim hakkı ile çalışanın Anayasa m.20 ve m.22 kapsamındaki hakları arasında adil denge gözetilerek yapılması gerekir. KVKK m.4’teki hukuka ve dürüstlük kurallarına uygunluk, belirli ve meşru amaç, veri minimizasyonu ve saklama süresinin sınırlandırılması ilkeleri denetimde de geçerlidir. Kurul, aykırılık hâlinde KVKK m.18 çerçevesinde işlem yapılabileceğini bildirmiştir.

İşveren çalışanı nasıl bilgilendirmeli?

İşe girişte verilen genel bir metinde yalnızca “şirket e-postaları kontrol edilebilir” yazması her durumda yeterli değildir. Denetimin hangi amaçlarla yapılacağı, hangi veri türlerinin inceleneceği, içeriğe hangi şartlarda erişileceği, erişimin kimler tarafından yapılacağı, kayıtların ne kadar tutulacağı ve çalışanın hakları anlaşılır biçimde açıklanmalıdır. KVKK m.10’daki aydınlatma yükümlülüğü ile Anayasa Mahkemesi içtihadında öne çıkan önceden bilgilendirme değerlendirmesi birbirine yakın olmakla birlikte tamamen özdeş değildir.

İşverenin e-posta eklerindeki zararlı yazılımları otomatik taraması ile çalışanın bütün yazışmalarını insan kaynakları birimine okutması aynı kapsamda değerlendirilemez. İşyerindeki uygulamanın gerçek işleyişi politika belgeleriyle uyumlu olmalıdır; aydınlatma metninde yer almayan yeni bir denetim yöntemi uygulanacaksa hukuki dayanak ve bilgilendirme yeniden ele alınmalıdır.

Çalışanın açık rızası denetimi hukuka uygun hâle getirir mi?

İş sözleşmesi kurulurken alınan genel nitelikli açık rıza, işverene sınırsız izleme hakkı tanımaz. İş ilişkisindeki güç dengesizliği nedeniyle rızanın özgür iradeyle verilip verilmediği ayrıca incelenir; Kurul, açık rızanın her durumda öncelikli hukuki dayanak sayılamayacağını belirtmiştir. Somut işlem bakımından KVKK m.5’teki diğer veri işleme şartlarından biri varsa onun gerekliliği değerlendirilmelidir. Rıza formu imzalatılmış olsa bile amaçla bağlantısız kişisel mesajlar sürekli taranamaz; rıza ölçülülük, amaç sınırlaması ve veri güvenliği yükümlülüklerini ortadan kaldırmaz.

Log kaydı, içerik incelemesi ve kademeli denetim

Bir e-postanın gönderilme tarihi, alıcı bilgisi veya erişim kaydı ile mesaj içeriğinin okunması farklı müdahale yoğunluklarına sahiptir. Ancak log ve trafik kayıtları da belirli bir çalışanla ilişkilendirilebildiğinde kişisel veridir; içerik okunmuyor olması KVKK yükümlülüklerini ortadan kaldırmaz.

Kurul, içerik denetimine kural olarak somut şüphe veya belirli bir olayla bağlantılı meşru amaç bulunduğunda ve yalnızca o amaçla sınırlı olarak başvurulmasını ister. Denetim kademeli yürütülmelidir: önce sistem uyarısı, erişim kaydı veya dosya hareketi gibi daha sınırlı veriler incelenir; bunlar yetmezse belirli tarih aralığı, alıcı veya konu ile sınırlı içerik incelemesine geçilir. Olayla ilgisi bulunmayan yıllara yayılan bütün mesajların kopyalanması, özel iletişimlerin rastgele okunması ve tüm çalışanlar hakkında belirsiz süreli içerik taraması ölçülülük bakımından ciddi sorun yaratır.

Örnek – Ticari sır şüphesi: Bilgi güvenliği sistemi, bir çalışan hesabından dışarıya olağandışı büyüklükte dosya gönderildiğini tespit eder. İlk adım dosya aktarım kayıtlarının incelenmesidir. Kayıtlar rakip firmaya gönderim şüphesini destekliyorsa yalnız ilgili tarih aralığı ve alıcıya ilişkin yazışmalar incelenebilir. Aynı gerekçeyle çalışanın geçmiş yıllara ait bütün mesajlarını açmak ise amaçla bağlantılı ve ölçülü kabul edilmeyebilir.

WhatsApp ve kişisel e-posta hesapları denetlenebilir mi?

İşverenin sağladığı cihazda kişisel WhatsApp uygulamasının veya özel e-posta hesabının açık olması, işverenin bu hesaplara serbestçe erişebileceği anlamına gelmez. Özel mesajlaşma alanlarına müdahale, kurumsal iş hesabının denetlenmesinden çok daha yoğun bir mahremiyet sorunu doğurur. Kurumsal kanallarda özel kullanım yasaklanmış olsa bile bu yasak sınırsız inceleme hakkı yaratmaz.

Örnek – Ekran görüntüsü: İşveren, cihaz üzerindeki yönetici yetkisiyle çalışanın kişisel WhatsApp yazışmalarının ekran görüntüsünü alır. Teknik yetki bu erişimi hukuka uygun hâle getirmez. Yazışma başka bir katılımcı tarafından paylaşılmış olsa bile veri işleme şartları, haberleşmenin gizliliği ve delilin elde edilme yöntemi ayrıca incelenir; özel hayatla ilgili mesajların disiplin soruşturmasına taşınması ölçülülük sorunu doğurur.

Denetimle elde edilen mesajlarla işçi işten çıkarılabilir mi?

Mesajların fesihte kullanılması iki ayrı inceleme gerektirir. Önce verilerin elde edilmesi ve işlenmesi KVKK ile temel haklara uygun olmalıdır. Sonra mesajın içeriği iş hukuku bakımından geçerli veya haklı fesih nedenini gerçekten oluşturmalıdır. Hukuka uygun veri işleme tek başına haklı fesih sonucunu doğurmadığı gibi, işçinin davranışının ağır olması da hukuka aykırı veri toplamayı meşrulaştırmaz.

4857 sayılı İş Kanunu m.18 ve devamındaki iş güvencesi hükümleri ile m.25’teki haklı nedenle derhal fesih sebepleri ayrı değerlendirilir; fesih gerekçesinin somutlaştırılması, ispat yükü, işçinin savunması ve süre koşulları önem taşır. İşe iade davasında elektronik yazışmanın delil değeri, elde edilme yöntemi ve diğer delillerle ilişkisi tartışılabilir. Bu ayrımın iş hukuku boyutu için işverenin haklı nedenle feshi rehberimize bakılabilir.

Örnek – Fesih ve delil: Bir satış temsilcisinin müşteri listesini kişisel e-posta adresine gönderdiğinden şüphelenen işveren, önce kurumsal hesabın gönderim loglarını inceler ve yalnız ilgili tarihlerde dış adrese gönderilen iki e-postanın içeriğine bakar. İnceleme, önceden duyurulmuş bilgi güvenliği politikasına dayanır ve sonuçlar yalnız yetkili İK ve hukuk birimiyle paylaşılır. İşçinin savunması alındıktan sonra fesih yapılırsa, bu yazışmalar işe iade davasında hem elde edilme yöntemi hem de içeriği bakımından daha sağlam bir delil niteliği taşır. Aynı işveren çalışanın tüm yazışmalarını aylarca okuyup ilgisiz özel mesajları da dosyaya eklemiş olsaydı, delilin değerlendirilmesi ve KVKK yaptırımı açısından ciddi risk oluşurdu.

Adım adım: e-postaları incelendiğini düşünen çalışan ne yapmalı?

1. Politikaları isteyin: İşverenin aydınlatma metnini ve e-posta kullanım politikasını yazılı olarak talep edin.

2. KVKK m.11 başvurusu yapın: Hangi verilerinizin, hangi amaçla, kimler tarafından incelendiğini veri sorumlusuna yazılı olarak sorun.

3. Cevabı takip edin: İşveren 30 gün içinde yazılı veya elektronik cevap vermelidir.

4. Kurula şikâyet edin: Cevap yetersizse veya hiç gelmezse süresi içinde Kişisel Verileri Koruma Kuruluna şikâyette bulunun.

5. Fesih hâlinde delile itiraz edin: Sözleşmeniz bu yazışmalara dayanılarak feshedildiyse, işe iade veya alacak davasında delilin elde edilme yöntemini ayrıca tartışın.

Özel nitelikli veriler ve üçüncü kişiler

İletişim içerikleri sağlık bilgisi veya sendika üyeliği gibi KVKK m.6 kapsamındaki özel nitelikli verileri içerebilir. E-postanın göndericisi, alıcısı ya da yazışmada adı geçen müşteri ve tedarikçiler de kişisel veri korumasından yararlanır; işveren yalnız kendi çalışanına ilişkin veri işlediğini varsaymamalıdır. İncelemeyi yapan personele ihtiyaç kadar erişim tanınmalı, kopyalama sınırlandırılmalı, ilgisiz içerikler ayıklanmalıdır. Denetim raporunun bütün yöneticilere e-postayla dağıtılması, ilk incelemeden ayrı bir veri güvenliği ihlali riski yaratır.

İşten ayrılan çalışanın e-posta hesabına ne olur?

İş ilişkisinin sona ermesi, kurumsal hesaptaki yazışmaların süresiz saklanabileceği veya okunabileceği anlamına gelmez. Müşteri iletişiminin sürmesi için iş mesajlarının yönlendirilmesi, otomatik yanıt verilmesi ve iş verilerinin devri amaçla sınırlı olarak planlanabilir. Bütün eski mesajların sınırsız okunması, özel yazışmaların kopyalanması ve hesabın yıllarca açık bırakılması ise yetkisiz erişim ve gereksiz veri saklama riskini artırır. Eski çalışanın erişim, bilgi alma ve şartları varsa silme talepleri KVKK m.11 kapsamında ayrıca cevaplanmalıdır.

İşveren denetim prosedürünü nasıl kurmalı?

Önce kurumsal iletişim araçlarının envanteri çıkarılmalı; e-posta, iş amaçlı mesajlaşma platformları, şirket telefonları ve uzaktan erişim sistemleri için kullanım amacı, özel kullanımın serbest mi yasak mı olduğu ve erişim yetkileri yazılı hâle getirilmelidir. Ardından denetimin hangi olaylarda başlatılabileceği, hangi yöneticinin onay vereceği, hangi teknik personelin inceleme yapacağı ve hangi kayıtların tutulacağı belirlenmelidir.

Bir denetim talebi geldiğinde somut gerekçe yazılı olarak kaydedilmeli, önce daha az müdahaleci araçların yeterli olup olmadığı değerlendirilmeli, içerik incelemesi zorunluysa tarih, kişi ve konu bakımından sınır konulmalıdır. Sonuç raporuna yalnız olayın değerlendirilmesi için gerekli bilgiler alınmalı, erişim kayıtları korunmalı ve veriler amaç için gerekli süreden uzun tutulmamalıdır. Bu düzen yalnız KVKK uyumu için değil, olası işe iade veya işçilik alacağı davasında denetimin neden ve nasıl yapıldığını açıklayabilmek için de önemlidir. İşyerindeki diğer izleme araçları için biyometrik mesai takibi ve işyerinde güvenlik kamerası yazılarımıza, denetimle ilgili çalışan başvurularının cevaplanması için KVKK başvurusuna cevap usulü rehberimize bakılabilir.

Sık yapılan hatalar

İşverenlerin en sık yaptığı hata, hesabın şirkete ait olmasını veya teknik yönetici yetkisini bütün yazışmaları okuma hakkı saymaktır. İşe girişte imzalatılan genel bir açık rıza veya “e-postalar kontrol edilebilir” cümlesiyle yetinmek, somut şüphe olmadan bütün çalışanlar hakkında içerik taraması yapmak ve log incelemesiyle yetinilebilecekken doğrudan yıllara yayılan bütün mesajları kopyalamak da sık görülür. Şirket cihazında açık kalan kişisel WhatsApp veya özel e-posta hesaplarına girmek, denetim raporunu ilgisiz yöneticilere dağıtmak ve ayrılan çalışanın hesabını yıllarca açık bırakmak ayrı veri güvenliği riskleri doğurur. Çalışan tarafında ise KVKK m.11 başvurusunu ve Kurula şikâyet sürelerini kaçırmak, fesih davasında delilin elde edilme yöntemini tartışma imkânını zayıflatır.

Sık Sorulan Sorular

Şirket bilgisayarındaki özel e-postaları işveren okuyabilir mi?

Bilgisayarın işverene ait olması tek başına yeterli değildir. Kişisel hesaplara erişim için ayrı hukuki dayanak ve ölçülülük değerlendirmesi gerekir.

İş sözleşmesindeki genel denetim maddesi yeterli midir?

Her durumda yeterli değildir. Denetimin amacı, kapsamı, yöntemi ve veri işleme koşulları somut biçimde açıklanmalıdır.

Çalışan kurumsal e-postayı özel amaçla kullanmışsa bütün yazışmalar okunabilir mi?

Hayır. Özel kullanımın yasak olması dahi sınırsız içerik denetimine izin vermez.

Şüpheli bir e-posta fesih delili olabilir mi?

Koşullara göre olabilir; ancak hem verinin hukuka uygun elde edilmesi hem de fesih sebebinin iş hukuku bakımından oluşması gerekir.

İşveren e-posta loglarını tutabilir mi?

Hukuki dayanak, meşru amaç, veri minimizasyonu, aydınlatma ve güvenlik yükümlülükleri gözetilerek uygun kapsamda tutabilir.

İlke Kararına aykırılığın sonucu nedir?

Kurul, KVKK m.18 kapsamında işlem yapılabileceğini duyurmuştur. Ayrıca iş davalarında delillerin değerlendirilmesi bakımından sonuçlar doğabilir.

Sonuç

Kurumsal e-posta hesabının işverene ait olması, bütün yazışmaların sınırsız okunabileceği anlamına gelmez. KVKK’nın 2026/2035 sayılı İlke Kararı uyarınca denetim; önceden bilgilendirme, somut hukuki dayanak, ölçülülük, kademeli yöntem ve veri güvenliği esaslarına uygun yapılmalıdır. Genel nitelikli açık rıza veya sözleşmedeki geniş denetim maddesi bu şartları ortadan kaldırmaz; kişisel WhatsApp ve özel e-posta hesapları ise çok daha güçlü korunur. Hukuka aykırı denetim hem KVKK yaptırımına hem de fesih davasında delil tartışmasına yol açabileceğinden, işverenlerin yazılı ve sınırları belirli bir denetim prosedürü kurması gerekir.

İşten çıkarılma, tazminat ve işçilik alacaklarına ilişkin diğer rehberler için “İşten çıkarıldım, ne yapmalıyım?” ana rehberimizdeki konu dizinine bakabilirsiniz.

Hukuki Uyarı: Bu yazı genel bilgilendirme amaçlıdır. Somut denetim uygulamasının hukuka uygunluğu, işyeri politikaları, veri işleme şartları ve deliller birlikte değerlendirilerek belirlenir.