Kamu Kurumları ile E-Posta Yazışmalarında Dikkat Edilecekler

Özel sektörden bir şirket olarak devlet kurumlarına e-posta gönderdiğinizde teknik, hukuki ve protokol açısından birden fazla engelle karşılaşırsınız. Mesajınız spam filtrelerine takılabilir, resmi yazışma kurallarını ihlal edebilir ya da KVKK kapsamında bir veri işleme sorumluluğu doğurabilir. Bu rehber, kamu kurumlarıyla elektronik yazışmayı doğru yapabilmek için bilmeniz gereken her şeyi somut ve doğrulanabilir kaynaklara dayandırarak açıklar.

Neden Kamu Kurumlarına E-Posta Göndermek Özel Sektörden Farklıdır?

Bakanlıklar, belediyeler, üniversiteler ve diğer kamu kuruluşları çoğunlukla merkezi e-posta altyapısı kullanır. Türkiye'de birçok kamu kurumu @*.gov.tr veya @*.edu.tr uzantılı alan adları üzerinden çalışır ve bu alan adları BTK tarafından tahsis edilmektedir. Bu sunucular; kurumsal güvenlik duvarları, bağımsız spam filtreleme katmanları ve bazen de "beyaz liste" (whitelist) temelli gelen kutusu politikaları içerebilir. Dolayısıyla alan adınızın e-posta kimlik doğrulama kayıtları eksikse mesajınız teslim edilmeden silinebilir.

Bunun yanı sıra kamu kurumlarıyla yapılan yazışmaların bir kısmı resmi yazışma niteliği taşır ve 2 Şubat 2015 tarihli Resmî Gazete'de yayımlanan Resmî Yazışmalarda Uygulanacak Usul ve Esaslar Hakkında Yönetmelik (Bakanlar Kurulu Kararı: 2014/7074) kapsamına girer. Söz konusu yönetmelik e-posta ile resmi yazışmayı doğrudan düzenlemese de kurumun iç prosedürleri e-posta yoluyla alınan talepleri nasıl işleyeceğini belirler; bu nedenle "resmi yazışma formuna uyan" bir mesaj çok daha hızlı yanıt alır.

Teknik Altyapı: SPF, DKIM ve DMARC

E-postanızın kamu kurumunun sunucusuna ulaşabilmesi için gönderen alan adınızın üç temel DNS kaydını eksiksiz yapılandırması gerekir.

Uygulamada önerilen minimum yapılandırma şu şekildedir:

• SPF: v=spf1 include:<ESP_SPF_DOMAIN> -all — -all ifadesi yetkisiz kaynakları kesinlikle reddeder.
• DKIM: En az 2048 bit RSA anahtarı veya Ed25519; anahtar rotasyonu 6-12 ayda bir yapılmalıdır (NIST SP 800-131A önerisi).
• DMARC: Başlangıç için p=none; rua=mailto:dmarc-rapor@sizinalandadiniz.com ile raporları izleyin, ardından p=quarantine veya p=reject politikasına geçin.

Hukuki Çerçeve: KVKK, ETK ve BTK Yönetmelikleri

Kamu kurumlarına e-posta gönderirken iki farklı hukuki başlık devreye girer.

6698 Sayılı Kişisel Verilerin Korunması Kanunu (KVKK)

Yazışmanızda bir kamu görevlisinin adı, unvanı veya kurumsal iletişim bilgileri yer alıyorsa bu veriler KVKK kapsamında kişisel veri sayılır. Kanun'un 8. maddesi kişisel verilerin üçüncü taraflara aktarımını, 12. maddesi ise veri güvenliğine ilişkin teknik ve idari tedbirleri düzenler. Özetle:

• Bir devlet memurunun kişisel iletişim bilgilerini (kişisel e-posta, telefon gibi) kurumsal yazışma dışında işliyorsanız açık rıza veya meşru menfaat gerekçesi arayın.
• Toplu e-posta listelerinde kamu çalışanlarının kurumsal adreslerini tutuyorsanız bu listenin güvenliğini sağlamak KVKK md. 12 kapsamında zorunludur.
• Veri ihlali durumunda Kişisel Verileri Koruma Kurumu'na (KVKK) 72 saat içinde bildirim yapılması gerekir (md. 12/5).

6563 Sayılı Elektronik Ticaret Kanunu (ETK)

6563 sayılı "Elektronik Ticaretin Düzenlenmesi Hakkında Kanun" ticari elektronik ileti gönderimini düzenler. Kamu kurumlarına yönelik yazışmalar kural olarak ticari amaç taşımadığından bu kanunun onay şartı doğrudan uygulanmaz. Ancak kamu kurumuna ürün veya hizmet tanıtımı içeren bir e-posta gönderiyorsanız alıcının "hizmet sağlayıcı" sıfatıyla değil bireysel olarak ele alınıp alınmadığını netleştirmeniz gerekir. BTK'nın Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik (RG: 4 Ocak 2020 – 30998) bu ayrımı açıklar.

Yazışma Formatı ve Protokol Kuralları

Teknik altyapı ne kadar mükemmel olursa olsun içerik ve format yanlışsa e-postanız dikkate alınmayabilir. Kamu kurumlarıyla yazışmada dikkat edilmesi gereken başlıca unsurlar şunlardır:

• Konu satırı (Subject): Anlaşılır ve kısa olmalıdır. "Bilgi Talebi – [Konunun Adı] – [Şirket Adı]" formatı kurumun mesajı tasnif etmesini kolaylaştırır.
• Kurumsal alan adı: Kişisel alan adlarından (Gmail, Hotmail vb.) gönderilen e-postalar kamu kurumları tarafından çoğunlukla dikkate alınmaz; mutlaka @sirketinizin-alanadi.com.tr kullanın.
• İmza bloğu: Ad-soyad, unvan, şirket adı, telefon ve vergi numarası içermelidir. Bu bilgiler kurumun yazışmayı evrak sistemine kaydetmesine yardımcı olur.
• Ek dosya formatları: PDF/A formatı arşivleme için tercih edilir; büyük ekleri kurumun güvenlik duvarı engelleyebileceğinden 10 MB sınırını aşmamaya özen gösterin.
• CC ve BCC kullanımı: Aynı mesajı birden fazla birime gönderirken BCC yerine ayrı mesajlar gönderin; böylece kurumlar arası veri sızıntısı riski ortadan kalkar.

Spam Filtrelerinden Geçiş: İçerik ve Teknik İpuçları

Kamu kurumlarının e-posta sunucuları çoğunlukla SpamAssassin, Barracuda veya benzeri kurumsal filtreler kullanır. Bu filtrelerin puan sistemine göre mesajınızı "güvenli" kategorisinde tutmak için şu noktalara dikkat edin:

• Aşırı büyük harfli konu satırlarından kaçının: "ACİL!! YANIT BEKLİYORUZ" gibi ifadeler spam puanını artırır.
• Kısaltılmış URL kullanmayın: bit.ly veya benzeri kısaltılmış bağlantılar filtrelerde yüksek risk puanı alır. Tam ve doğrulanabilir URL'ler kullanın.
• HTML/Düz metin dengesi: Yalnızca HTML içeren e-postalar şüpheli bulunabilir. Mesajınızın hem HTML hem de düz metin (plain text) versiyonu olsun; MIME standartlarına (RFC 2045–2049) uygun çok parçalı (multipart/alternative) yapı kullanın.
• Gönderim IP itibarı: Paylaşımlı IP kullanıyorsanız gönderim altyapınızın kara listelerde (örn. Spamhaus ZEN, Barracuda BRBL) yer almadığını düzenli olarak kontrol edin.
• Gönderim hızı (throttling): Kısa sürede yüzlerce e-posta aynı kuruma gönderilirse sunucu geçici bant dışı bırakma (rate limiting) uygulayabilir. Gönderimlerinizi saate yayın.

İzlenebilirlik ve Yanıt Yönetimi

Kamu kurumlarına gönderdiğiniz e-postaların teslim durumunu ve yanıt sürelerini takip etmek, olası anlaşmazlıklarda kritik öneme sahiptir. Dikkat edilmesi gereken noktalar:

• Okundu bildirimi (Read Receipt / MDN – RFC 8098): Bazı kurumsal sunucular bunu otomatik reddeder; dolayısıyla teslim kanıtı olarak yalnızca SMTP delivery receipt (teslim alındısı) veya kurumdan gelen yanıt e-postasını kullanın.
• Yazışma kaydı: Kamu kurumlarıyla yapılan yazışmalara ait e-postalar şirketinizin arşivleme politikası kapsamında en az 5 yıl saklanmalıdır (Türk Ticaret Kanunu md. 82). Kişisel veri içeriyorsa KVKK saklama süreleriyle çakışan durumlarda veri minimizasyonu ilkesi uygulanır.
• Yanıt süreleri: "Bilgi Edinme Hakkı Kanunu" (4982 sayılı Kanun) kapsamında yapılan başvurulara kurumların 15 iş günü içinde yanıt vermesi yasal zorunluluktur. Bu kanun kapsamında e-posta ile başvuru yapılıyorsa mesajınızın konu satırında "Bilgi Edinme Başvurusu" ibaresini açıkça belirtin.

Sık Sorulan Sorular

Kaynaklar ve İleri Okuma

• RFC 7208 – Sender Policy Framework (SPF) — SPF protokolünün teknik spesifikasyonu; DNS TXT kaydı sözdizimi dahil.
• RFC 6376 – DomainKeys Identified Mail (DKIM) Signatures — DKIM imzalama ve doğrulama mekanizmasının resmi standart belgesi.
• RFC 7489 – DMARC (Domain-based Message Authentication, Reporting, and Conformance) — DMARC politika sözdizimi ve raporlama formatı.
• 6698 Sayılı Kişisel Verilerin Korunması Kanunu – Mevzuat.gov.tr — Kanunun tam metni; 8. ve 12. maddeler e-posta yazışmalarında kişisel veri işleme sorumluluklarını belirler.
• 6563 Sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun – Mevzuat.gov.tr — Ticari elektronik ileti tanımı ve onay zorunluluğu.
• Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik (RG: 4 Ocak 2020) — BTK yönetmeliği; ticari elektronik ileti onay, ret ve şikâyet mekanizmaları.
• 5070 Sayılı Elektronik İmza Kanunu – Mevzuat.gov.tr — Nitelikli elektronik imzanın hukuki geçerlilik koşulları ve el yazılı imzayla eşdeğerliği.
• Bilgi Edinme Hakkı Başvuru Portalı (bilgiedinme.gov.tr) — 4982 sayılı Kanun kapsamında kamu kurumlarına elektronik ortamda bilgi edinme başvurusu yapılabilen resmi portal.