kvkk·
30 Haziran 2026
Çalışanların E-postalarını İzlemek Yasal mı?
İşverenler kurumsal e-postaları izleyebilir mi? KVKK'nın 5. maddesi, İş Kanunu ve AİHM içtihadı çerçevesinde yasal sınırları ve uyum adımlarını ele alıyoruz.
İşverenler kurumsal e-postaları izleyebilir mi? KVKK'nın 5. maddesi, İş Kanunu ve AİHM içtihadı çerçevesinde yasal sınırları ve uyum adımlarını ele alıyoruz.
İşverenler kurumsal e-posta hesaplarını izleme hakkına sahip mi? KVKK, İş Kanunu ve Avrupa İnsan Hakları Mahkemesi içtihadı ışığında bu sorunun yanıtı sandığınızdan çok daha karmaşık — ve hukuki riskleri son derece ciddi.
Çalışan e-postalarının izlenmesi meselesi, temelde iki temel hakkın karşı karşıya gelmesiyle şekillenir: işverenin işyerini yönetme ve iş verimliliğini denetleme hakkı ile çalışanın özel hayatına ve haberleşme özgürlüğüne saygı gösterilmesi hakkı. Türkiye Cumhuriyeti Anayasası'nın 20. maddesi özel hayatın gizliliğini, 22. maddesi ise haberleşme özgürlüğünü güvence altına almaktadır. Bu anayasal haklar, kurumsal e-posta adreslerinde dahi geçerliliğini tam anlamıyla yitirir mi? Yanıt: Hayır, yitirmez.
Nitekim Avrupa İnsan Hakları Mahkemesi, Bărbulescu - Romanya davasında (Büyük Daire, 5 Eylül 2017, Başvuru No. 61496/08) bu dengeyi netleştirmiştir: İşverenin kurumsal iletişimi izleme hakkı mevcuttur; ancak bu hakkın kullanımı orantılı, şeffaf ve önceden bildirilmiş olmalıdır. Türkiye Anayasa Mahkemesi de benzer ilkeleri bireysel başvuru kararlarında benimsemiştir.
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 5. maddesi, kişisel verilerin işlenmesini belirli hukuki sebeplere bağlamaktadır. Çalışan e-postalarının içeriği kişisel veri kapsamına girdiğinden, her izleme eylemi bu hukuki sebeplerden birine dayanmak zorundadır.
İşverenler için en sık başvurulan hukuki sebepler şunlardır:
| Hukuki Dayanak | KVKK Maddesi | Uygulama Koşulu |
|---|---|---|
| Sözleşmenin ifası | Md. 5/2-c | İş sözleşmesinde ya da iç yönetmelikte açıkça yer alması |
| Meşru menfaat | Md. 5/2-f | Çalışanın temel haklarına zarar vermemek kaydıyla orantılı izleme |
| Açık rıza | Md. 5/1 | İş ilişkisindeki güç dengesizliği nedeniyle tek başına yetersiz kabul edilebilir |
| Hukuki yükümlülük | Md. 5/2-a | Mevzuatın izlemeyi zorunlu kıldığı durumlar (örn. finansal düzenleyici gereklilikler) |
Kişisel Verileri Koruma Kurumu'nun (KVKK Kurulu) 2019/10 sayılı İlke Kararı'nda da vurgulandığı üzere, işverenlerin çalışanları izleme faaliyetleri başlamadan önce Aydınlatma Yükümlülüğü'nü (KVKK Md. 10) yerine getirmesi zorunludur. Bu yükümlülük yerine getirilmeden gerçekleştirilen her izleme, hukuka aykırı veri işleme sayılır.
4857 sayılı İş Kanunu'nun 2. maddesi kapsamında işverenin yönetim hakkı, çalışanın iş görme borcunu layıkıyla yerine getirip getirmediğini denetlemeyi kapsar. Yargıtay 9. Hukuk Dairesi, yerleşik içtihadında (örn. 2016/9339 E., 2019/21124 K.) kurumsal e-posta izlemenin yasal olabilmesi için şu koşulları aramaktadır:
Bu koşulların tamamı karşılanmadan elde edilen e-posta içerikleri, Yargıtay tarafından iş davalarında hukuka aykırı delil olarak nitelendirilebilir ve işe iade kararlarına zemin hazırlayabilir.
Kurumsal ortamlarda uygulanan e-posta izleme yöntemleri teknik açıdan farklılık gösterir; her yöntemin hukuki statüsü de değişkendir:
| Yöntem | Açıklama | Hukuki Risk Düzeyi |
|---|---|---|
| E-posta başlık (header) analizi | Gönderen, alıcı, zaman damgası, boyut gibi meta veriler — içerik izlenmez | Düşük — bildirimle yasal |
| DLP (Veri Kaybı Önleme) tarama | İçerik anahtar kelime / pattern eşleşmesine göre otomatik filtrelenir | Orta — politika ve bildirim şart |
| E-posta arşivleme ve kayıt tutma | Tüm e-postalar belirli süre saklanır; talep üzerine incelenebilir | Orta — saklama süresi KVKK'ya uygun olmalı |
| Gerçek zamanlı içerik okuma | IT yöneticisinin e-posta kutusunu doğrudan açması / okuması | Yüksek — somut sebep ve yetkilendirme olmaksızın hukuka aykırı |
| TLS/SSL denetimi (MITM) | Şifreli trafiğin ortada çözülerek içeriğin incelenmesi | Yüksek — çok sayıda yasal düzenlemeyi ihlal edebilir |
Microsoft 365 ve Google Workspace gibi kurumsal platformlar, RFC 5321 (SMTP protokolü) ve RFC 5322 (İnternet mesaj formatı) standartlarına uygun şekilde yönetici denetim araçları sunar. Microsoft Purview Uyumluluk Merkezi bünyesindeki Communication Compliance ve eDiscovery modülleri, politikaya dayalı izlemeyi denetim kaydıyla birleştirerek hem BT güvenliğini hem de hukuki savunuyu destekler. Bu araçların doğru yapılandırılması, işverenin hem yasal hem de teknik uyum yükümlülüklerini karşılamasına yardımcı olur.
Aşağıdaki adımlar, Türkiye'deki işverenlerin KVKK ve İş Kanunu uyumlu bir e-posta izleme politikası oluşturması için pratik bir çerçeve sunar:
Veri işleme faaliyetleri sicilinde (VERBİS) "çalışan iletişim izleme" başlığını oluşturun. İzlemenin amacını (güvenlik, veri sızıntısı önleme, disiplin soruşturması vb.) ve kapsamını açıkça tanımlayın. Amaçla orantılı olmayan her türlü izleme, KVKK Kurulu tarafından hukuka aykırı bulunabilir.
Kurumsal e-posta sisteminin yalnızca iş amaçlı kullanılabileceğini, izlenebileceğini ve arşivlenebileceğini açıkça belirten yazılı bir politika oluşturun. Bu politikayı iş sözleşmesine ek olarak imzalattırın ya da personel yönetmeliğine dahil edin.
KVKK'nın 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ (RG: 10.03.2018) çerçevesinde çalışanlara açık, anlaşılır bir aydınlatma metni sunun. Metnin teslim edildiğini belgelemeniz ileride doğacak olası uyuşmazlıklarda kritik önem taşır.
E-posta sistemine kimlerin, ne zaman, hangi gerekçeyle eriştiğini kayıt altına alın. Microsoft 365 Denetim Günlüğü veya benzeri çözümler bu konuda ayrıntılı raporlama imkânı sunar. Bu kayıtlar hem iç denetim hem de olası KVKK Kurulu soruşturmalarında delil niteliği taşır.
KVKK'nın 7. maddesi uyarınca kişisel veriler, işlendikleri amaç ortadan kalktığında silinmeli, yok edilmeli veya anonim hale getirilmelidir. Kurumsal e-posta arşivleme sürelerini hukuki yükümlülüklerle (örn. Türk Ticaret Kanunu'nun 82. maddesi kapsamında 10 yıllık belge saklama zorunluluğu) dengeleyin.
KVKK'nın 18. maddesi uyarınca aydınlatma yükümlülüğünü yerine getirmeyen veri sorumluları 9.817 TL ile 196.311 TL arasında idari para cezasıyla karşılaşabilir (Son güncelleme: Haziran 2026; yıllık yeniden değerleme katsayısına göre artış uygulanmaktadır). Veri güvenliği ihlalleri için üst sınır 9.810.000 TL'ye kadar çıkabilmektedir.
Bunun ötesinde, hukuka aykırı izleme yoluyla elde edilen delillere dayanan işten çıkarma kararları Yargıtay tarafından geçersiz sayılabilir; bu durum işe iade ve tazminat yükümlülüğü doğurur. 5651 sayılı Kanun kapsamında ise elektronik haberleşmenin hukuka aykırı olarak izlenmesi ayrıca Türk Ceza Kanunu'nun 132. (haberleşmenin gizliliğini ihlal) ve 138. (verileri yok etmeme) maddeleri kapsamında cezai sorumluluk yaratabilir.
Önemli Not
Yukarıdaki ceza tutarları yıllık yeniden değerleme katsayısına bağlı olarak değişmektedir. Güncel tutarlar için KVKK'nın resmi web sitesini (kvkk.gov.tr) kontrol ediniz.
İşverenler, kurumsal e-posta sistemleri üzerinde yasal denetim yetkisine sahiptir. Ancak bu yetki; KVKK'nın aydınlatma ve orantılılık ilkeleri, İş Kanunu'nun işçiyi koruyucu düzenlemeleri ve AİHM içtihadıyla çizilen sınırlar dahilinde kullanılabilir. "Kurum altyapısını ben kurdum, her şeyi izleyebilirim" yaklaşımı artık geçerliliğini yitirmiştir.
Connect365 gibi kurumsal e-posta çözümleri, yöneticilere politikaya dayalı izleme, denetim günlükleri ve rol tabanlı erişim kontrolü gibi araçlar sunarak hem BT güvenliğini hem de hukuki uyumu aynı anda karşılamayı kolaylaştırır. Doğru yapılandırılmış bir kurumsal e-posta altyapısı, izleme ihtiyacını karşılarken hukuki riskleri minimize eder.
Bu durum çok daha hassastır. Kurumsal e-posta hesabından farklı olarak, kişisel e-posta hesapları (Gmail, Yandex vb.) üçüncü taraf hizmetlere aittir ve çalışanın özel iletişim kanalı niteliği taşır. İşveren, şirket ağı üzerindeki trafik meta verilerini izleyebilir; ancak kişisel hesabın içeriğine erişmek Türk Ceza Kanunu'nun 132. maddesi kapsamında suç teşkil edebilir. Kişisel hesaplara erişimi engelleyen teknik önlem almak, içeriği izlemekten çok daha güvenli bir yaklaşımdır.
İş ilişkisinin sona ermesiyle birlikte çalışanın kişisel verileri üzerindeki işleme amacı büyük ölçüde ortadan kalkar. KVKK Md. 7 uyarınca gereksiz verilerin imha edilmesi gerekirken, iş sürekliliği ve hukuki sorumluluklar nedeniyle hesabın belirli süre yönetilmesi meşru menfaat kapsamında değerlendirilebilir. Bu süre genellikle 30-90 gün olarak belirlenmekte; otomatik yanıtlayıcı kurularak gelen yazışmalar yönlendirilmektedir. Uzun süreli ve kapsamlı içerik erişimi için ise somut bir hukuki dayanak gerekmektedir.
Evet. KVKK'nın 11. maddesi uyarınca her çalışan, kendisiyle ilgili işlenen verilere ilişkin bilgi alma, verilerin düzeltilmesini veya silinmesini talep etme hakkına sahiptir. Bu başvuruların 30 gün içinde yanıtlanması zorunludur. Kurumsal e-posta sisteminde çalışanın kişisel gönderilerinin bulunması halinde bu hak daha da güçlü bir anlam kazanır.
Hayır, tek başına yeterli değildir. KVKK kapsamındaki aydınlatma yükümlülüğü, iş sözleşmesindeki genel bir ifadenin ötesinde açık, anlaşılır ve ayrıntılı bir metin gerektirir. KVKK Kurulu, aydınlatma metninin; veri sorumlusunun kimliği, işleme amacı, hukuki sebebi, alıcı kategorileri ve çalışanın hakları gibi unsurları içermesini zorunlu kılmaktadır. Sözleşme içine sıkıştırılmış küçük punto bir madde yeterli sayılmayabilir.
Somut bir disiplin soruşturması; e-posta içeriğinin incelenmesi için meşru bir hukuki dayanak oluşturabilir. Ancak incelemenin soruşturma konusuyla doğrudan ilgili e-postalarla sınırlı tutulması, incelemeyi gerçekleştirenlerin yetkili kişilerden oluşması ve tüm sürecin kayıt altına alınması gerekmektedir. Yargıtay, "kapsamlı posta kutusu taraması" niteliğindeki uygulamaları orantısız bulma eğilimindedir. Bu nedenle Microsoft 365 eDiscovery gibi araçların anahtar kelime ve tarih aralığı bazlı filtreleme özellikleri hem teknik hem de hukuki açıdan kritik önem taşır.
Bu durum çok daha hassastır. Kurumsal e-posta hesabından farklı olarak, kişisel e-posta hesapları (Gmail, Yandex vb.) üçüncü taraf hizmetlere aittir ve çalışanın özel iletişim kanalı niteliği taşır. İşveren, şirket ağı üzerindeki trafik meta verilerini izleyebilir; ancak kişisel hesabın içeriğine erişmek Türk Ceza Kanunu'nun 132. maddesi kapsamında suç teşkil edebilir. Kişisel hesaplara erişimi engelleyen teknik önlem almak, içeriği izlemekten çok daha güvenli bir yaklaşımdır.
İş ilişkisinin sona ermesiyle birlikte çalışanın kişisel verileri üzerindeki işleme amacı büyük ölçüde ortadan kalkar. KVKK Md. 7 uyarınca gereksiz verilerin imha edilmesi gerekirken, iş sürekliliği ve hukuki sorumluluklar nedeniyle hesabın belirli süre yönetilmesi meşru menfaat kapsamında değerlendirilebilir. Bu süre genellikle 30-90 gün olarak belirlenmekte; otomatik yanıtlayıcı kurularak gelen yazışmalar yönlendirilmektedir.
Evet. KVKK'nın 11. maddesi uyarınca her çalışan, kendisiyle ilgili işlenen verilere ilişkin bilgi alma, verilerin düzeltilmesini veya silinmesini talep etme hakkına sahiptir. Bu başvuruların 30 gün içinde yanıtlanması zorunludur.
Hayır, tek başına yeterli değildir. KVKK kapsamındaki aydınlatma yükümlülüğü, iş sözleşmesindeki genel bir ifadenin ötesinde açık, anlaşılır ve ayrıntılı bir metin gerektirir. Veri sorumlusunun kimliği, işleme amacı, hukuki sebebi, alıcı kategorileri ve çalışanın hakları gibi unsurları içermelidir.
Somut bir disiplin soruşturması, e-posta içeriğinin incelenmesi için meşru bir hukuki dayanak oluşturabilir. Ancak incelemenin soruşturma konusuyla doğrudan ilgili e-postalarla sınırlı tutulması, incelemeyi gerçekleştirenlerin yetkili kişilerden oluşması ve tüm sürecin kayıt altına alınması gerekmektedir. Yargıtay, kapsamlı posta kutusu taraması niteliğindeki uygulamaları orantısız bulmaktadır.
Reklamsız, KVKK uyumlu; kurulum ve geçiş ücretsiz, mailleri biz taşırız.
Kurulum + migrasyon ücretsiz. KVKK uyumlu, Türkiye'de barındırma. 7/24 Türkçe destek.
Kampanya 30 Haziran'a kadar geçerlidir.