İŞVERENLERİN İŞ AMAÇLI İLETİŞİM KANALLARINI DENETLEMESİNE İLİŞKİN İLKE KARARI HAKKINDA BİLGİ NOTU

08.10.2026 tarihli ve 33394 sayılı Resmî Gazete’de, Kişisel Verileri Koruma Kurulunun (“Kurul”) 16.09.2026 tarihli ve 2026/2035 sayılı “İşverenler Tarafından Çalışanlara Tahsis Edilen Kurumsal E-Posta Hesapları Başta Olmak Üzere, İşin Yürütülmesi Amacıyla Kullanılan İletişim Kanallarının Denetlenmesi Suretiyle Gerçekleştirilen Kişisel Veri İşleme Faaliyetlerinde Uyulması Gereken Usul ve Esaslar Hakkında İlke Kararı” (“İlke Kararı”) yayımlanmıştır.

İlke Kararı ile işverenlerin kurumsal e-posta hesapları ve işin yürütülmesi amacıyla kullanılan diğer iletişim kanalları üzerindeki denetim faaliyetlerinin kişisel verilerin korunması bakımından tabi olduğu esaslar açıklanmıştır. Kararda, işverenin yönetim ve denetim yetkisi ile çalışanların özel hayatına saygı, kişisel verilerinin korunmasını isteme ve haberleşme hürriyetleri arasında denge kurulması gerektiği vurgulanmıştır.

Denetimin Kapsamı ve Hukuki Niteliği

Kurul, kurumsal e-posta hesaplarının içeriklerine erişilmeksizin yalnızca trafik veya log kayıtlarının incelenmesinin dahi kişisel veri işleme faaliyeti olduğunu belirtmiştir. Bu nedenle gerek trafik verilerine gerekse iletişim içeriklerine yönelik denetimlerde 6698 sayılı Kişisel Verilerin Korunması Kanununun (“Kanun”) 4. maddesindeki genel ilkelere, 5. ve gerektiğinde 6. maddelerindeki işleme şartlarına, 10. maddesindeki aydınlatma yükümlülüğüne ve 12. maddesindeki veri güvenliği yükümlülüklerine uyulması gerekmektedir.

Denetim yalnızca kurumsal e-posta hesaplarıyla sınırlı değildir. Kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları, müşteri ilişkileri veya talep yönetim sistemleri ve toplantı platformlarındaki sohbet ve kayıt alanları da özelliklerine göre denetime konu olabilecektir. Bununla birlikte, iletişim araçlarının işverene ait olması veya işyerinde kullanılması, işverene sınırsız bir denetim yetkisi tanımamaktadır. İşverenin teknik erişim imkanı ile hukuken erişim yetkisi birbirinden ayrılmalıdır.

İş Amaçlı ve Özel Amaçlı Kullanımın Ayrıştırılması

İlke Kararında, iletişim araçlarının kullanım amacına göre “iş amaçlı kullanım” ve “özel amaçlı kullanım” ayrımının yapılması gerektiği belirtilmiştir. İşveren, işyeri iletişim araçlarının özel amaçlarla kullanımına ilişkin yasak veya sınırlamalar öngörebilecek olmakla birlikte, bunların açık, anlaşılır ve çalışanlar tarafından bilinebilir nitelikte olması gerekmektedir. Önceden belirlenmiş kuralların bulunup bulunmaması, denetimin hukuka uygunluğunun değerlendirilmesinde farklı sonuçlar doğurabilecektir.

Özel amaçlı kullanımın yasaklanmış olması ve bu yasağın ihlal edilmesi dahi işverene sınırsız bir içerik inceleme yetkisi vermemektedir. Böyle bir durumda da denetimin ölçülülük ilkesine uygun olması; özel kullanımın iş amaçlı iletişimden ayrıştırılabildiği hallerde incelemenin yalnızca iş amaçlı iletişimle sınırlı tutulması ve özel nitelikteki yazışmaların denetim dışında bırakılması gerekmektedir. İş amaçlı ve özel amaçlı iletişimin birbirinden ayrılamadığı hallerde ise işverenin denetim yetkisi daha dar yorumlanmalıdır. Sürekli ve aralıksız gözetim şeklindeki denetimler ölçülü kabul edilmeyecektir.

Çalışanların Önceden ve Açık Şekilde Bilgilendirilmesi ve Aydınlatma Yükümlülüğü

Çalışanların denetim faaliyetinden önceden haberdar edilmesi, denetimin hukuka uygunluğunun değerlendirilmesinde belirleyici unsurlardan biridir. Kurul, Anayasa Mahkemesi içtihadında aranan önceden bilgilendirme koşulu ile Kanunun 10. maddesindeki aydınlatma yükümlülüğünün birebir aynı kavramlar olmadığını; her bilgilendirmenin Kanun kapsamında aydınlatma sayılamayacağını, ancak usulüne uygun ve denetimin amacı, kapsamı ve yöntemi hakkında açık bilgi içeren bir aydınlatmanın önceden bilgilendirme koşulunu da karşılayabileceğini belirtmiştir.

Bu kapsamda genel nitelikli bir “kurumsal e-posta hesabı işveren tarafından denetlenebilir” bildirimi yeterli değildir. İşverenin yapacağı aydınlatmada veri işlemenin hukuki sebebi, amacı ve kapsamı, denetimin trafik/log kayıtları üzerinden mi yoksa içerik incelemesi yoluyla mı yürütüleceği, içeriklere hangi hallerde erişilebileceği, verilerin saklama süresi ve Kanunun 11. maddesi kapsamındaki ilgili kişi hakları açık ve somut biçimde açıklanmalıdır.

Kurul, çalışanın denetim faaliyeti hakkında önceden bilgilendirilmediği ve Kanunun 10. maddesine uygun şekilde aydınlatılmadığı hallerde, kişisel verilerine ve haberleşme hürriyetine müdahale edilmeyeceği yönünde makul bir beklenti taşıyacağının gözetilmesi gerektiğini belirtmiştir. Ayrıca yalnızca genel nitelikli bildirimler ne önceden bilgilendirme koşulunu ne de aydınlatma yükümlülüğünü karşılayacaktır.

Denetimin Hukuki Dayanağı ve Açık Rızanın Yeri

İlke Kararında, iş ilişkisindeki bağımlılık ve taraflar arasındaki güç dengesizliği nedeniyle çalışanın açık rızasının, kurumsal e-posta denetimlerinde kural olarak öncelikli hukuki dayanak olarak kullanılmaması gerektiği belirtilmiştir. Açık rızaya dayanılması halinde rızanın özgür iradeyle verilip verilmediği somut olayın özelliklerine göre değerlendirilecektir.

Denetim kapsamında gerçekleştirilen kişisel veri işleme faaliyetleri, somut olayın koşullarına göre Kanunun 5. maddesinin 2. fıkrasındaki hukuki yükümlülüğün yerine getirilmesi, bir hakkın tesisi, kullanılması veya korunması ya da ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için veri işlemenin zorunlu olması şartlarına dayandırılabilecektir. Ancak söz konusu işleme şartlarından birinin bulunması, işverene sınırsız denetim yetkisi vermeyecektir.

Kademelilik, Ölçülülük ve İçerik İncelemesinin Sınırları

Kurul, denetim faaliyetlerinin hukuka ve dürüstlük kurallarına uygun, belirli, açık ve meşru amaçlara dayalı, amaçla bağlantılı, sınırlı ve ölçülü şekilde yürütülmesi gerektiğini vurgulamıştır.

Bu kapsamda işverenin ulaşmak istediği meşru amaca daha az müdahaleci bir yöntemle ulaşması mümkünse daha ağır denetim yöntemlerine başvurulmaması gerekmektedir.

Özellikle iletişim içeriklerine erişim, trafik ve log kayıtlarının incelenmesine göre çalışanın özel hayatına ve haberleşme hürriyetine daha ağır bir müdahale oluşturduğundan, yalnızca trafik verilerinin incelenmesinin yetersiz kaldığı ve içeriğe erişimin zorunlu olduğu istisnai hallerde gündeme gelebilecektir. Ayrıca çalışanlara tahsis edilen iletişim araçlarının kötüye kullanımının filtreleme veya engelleme gibi teknik yöntemlerle önlenebildiği hallerde işverenin genel bir içerik denetimi yapamayacağı belirtilmiştir.

İçerik denetimi daha güçlü ve somut bir meşru gerekçeye dayanmalı; yalnızca somut şüphe bulunan hallerde, ilgili iddiayla sınırlı olarak yürütülmelidir. Kapsamı belirsiz, genel ve süreklilik arz eden içerik incelemelerinden kaçınılmalıdır. Ayrıca yazışmaların gövdesinde veya eklerinde özel nitelikli kişisel verilerin ve üçüncü kişilere ait kişisel verilerin bulunabileceği dikkate alınmalıdır.

Gizli ve Sürekli İzleme ve Denetim Verilerine Erişim

Kurul, çalışanın önceden bilgilendirilmediği gizli izleme yöntemleriyle veya çalışanın bütün işlemlerini ayrım gözetmeksizin kaydeden araçlarla gerçekleştirilen denetimlerin hukuka aykırı olacağını belirtmiştir. Bu kapsamda denetimin çalışanların bilgisi dahilinde, önceden belirlenmiş amaç ve yöntemlerle, öngörülebilir bir çerçevede yürütülmesi gerekmektedir.

Denetim sonucunda elde edilen kişisel verilere erişim, yalnızca bu görevle yetkilendirilmiş sınırlı sayıda personelle sınırlandırılmalı; erişim yetkileri görev tanımlarına göre belirlenmeli, erişim kayıtları tutulmalı ve verilere erişen kişiler gizlilik yükümlülüğü altında bulunmalıdır.

İş İlişkisinin Sona Ermesinden Sonra Kurumsal E-Posta Hesapları

İlke Kararında, iş ilişkisinin sona ermesinden sonra çalışana tahsis edilmiş kurumsal e-posta hesabına ilişkin kişisel veri işleme faaliyetlerinin hukuki dayanağının ayrıca değerlendirilmesi gerektiği belirtilmiştir.

Kural olarak ilgili hesabın çalışanın aktif kullanımına ve hesaba yeni erişimlere kapatılması, hesaba gelen iletilerin ilgisiz kişiler tarafından görüntülenmesine imkan verilmemesi ve hukuki dayanağı kalmayan kişisel verilerin imha edilmesi gerekmektedir.

Bununla birlikte iş sürekliliğinin sağlanması, kurumsal iletişimin aksamaması, hukuki uyuşmazlıklarda savunma hakkının kullanılması veya mevzuattan kaynaklanan yükümlülüklerin yerine getirilmesi amacıyla, somut olayın koşullarına göre hesabın erişim yetkileri belirlenmiş ve kayıt altına alınmış şekilde yönlendirilmesi, otomatik cevap verilmesi, arşivlenmesi veya muhafaza edilmesi değerlendirilebilecektir.

İlke Kararına Aykırılığın Sonuçları

Kurul, İlke Kararında belirtilen yükümlülüklere uyulmadığının tespit edilmesi halinde somut olayın özelliklerine göre gerekli incelemelerin yapılacağını ve Kanunun 18. maddesi uyarınca ilgili veri sorumluları hakkında idari işlem tesis edileceğini belirtmiştir.

Değerlendirme ve Sonuç

İlke Kararı ile işverenlerin çalışanlarına tahsis ettikleri kurumsal e-posta hesapları ve işin yürütülmesi amacıyla kullanılan diğer iletişim kanalları üzerindeki denetim yetkisinin sınırları, kişisel verilerin korunması ve çalışanların temel hakları çerçevesinde açıklığa kavuşturulmuştur. İşverenin iletişim araçlarının sahibi olması veya bunlara teknik olarak erişebilmesi, söz konusu araçlar üzerinden gerçekleştirilen tüm yazışmaları sınırsız şekilde denetleyebileceği anlamına gelmemektedir.

Bu kapsamda, çalışanların denetim faaliyetleri hakkında önceden ve açık şekilde bilgilendirilmesi, denetimlerin belirli ve meşru amaçlarla sınırlı tutulması ve daha az müdahaleci yöntemlere öncelik verilmesi önem taşımaktadır. Özellikle trafik ve log kayıtlarının incelenmesi ile iletişim içeriklerine erişilmesi arasında ayrım yapılması; içerik denetimine ise yalnızca somut şüpheye dayanan, daha güçlü bir meşru gerekçenin bulunduğu ve daha az müdahaleci yöntemlerin yetersiz kaldığı istisnai hallerde başvurulması gerekmektedir.

Bu doğrultuda işverenlerin kurumsal e-posta ve diğer iletişim araçlarının kullanımına ilişkin iç politika ve prosedürlerini, denetim faaliyetlerinin hukuki dayanaklarını ve kapsamını, çalışanlara sunulan aydınlatma metinlerini ve içerik incelemesine ilişkin uygulamalarını İlke Kararı çerçevesinde gözden geçirmeleri önem taşımaktadır. Ayrıca denetim sonucunda elde edilen kişisel verilere erişim yetkilerinin sınırlandırılması, saklama ve imha süreçlerinin belirlenmesi ve iş ilişkisinin sona ermesinden sonra kurumsal e-posta hesaplarının yönetimine ilişkin uygulamaların İlke Kararında belirtilen esaslarla uyumlu hale getirilmesi gerekmektedir.

Konuya ilişkin herhangi bir sorunuz olması halinde her zaman bizimle iletişime geçebilirsiniz.

PRINCIPLE DECISION ON EMPLOYERS’ MONITORING OF WORK-RELATED COMMUNICATION CHANNELS PUBLISHED

The Personal Data Protection Board’s (“Board”) Principle Decision dated 16.09.2026 and numbered 2026/2035, titled “Principle Decision on the Procedures and Principles to Be Followed in Personal Data Processing Activities Carried Out Through the Monitoring of Communication Channels Used for Business Purposes, Particularly Corporate Email Accounts Assigned to Employees by Employers” (“Principle Decision”), was published in the Official Gazette dated 08.10.2026 and numbered 33394.

The Principle Decision clarifies the principles governing employers’ monitoring activities concerning corporate email accounts and other communication channels used for business purposes from a personal data protection perspective. The Decision emphasises the need to strike a balance between employers’ managerial and supervisory authority and employees’ rights to respect for private life, protection of personal data and freedom of communication.

Scope and Legal Nature of Monitoring

The Board stated that even the examination of traffic data or log records, without accessing the contents of corporate email accounts, constitutes personal data processing. Accordingly, monitoring activities involving either traffic data or communication content must comply with the general principles under Article 4, the processing conditions under Article 5 and, where applicable, Article 6, the obligation to inform data subjects under Article 10, and the data security obligations under Article 12 of Personal Data Protection Law No. 6698 (“Law”).

Monitoring is not limited to corporate email accounts. Internal messaging applications, corporate instant messaging accounts, customer relationship management or request management systems, and chat and recording features of meeting platforms may also be subject to monitoring, depending on their characteristics. However, the fact that communication tools belong to the employer or are used in the workplace does not grant the employer unlimited monitoring authority. A distinction must be drawn between the employer’s technical ability to access such tools and its legal authority to do so.

Distinction Between Business and Personal Use

The Principle Decision states that a distinction must be made between “business use” and “personal use” based on the purpose for which communication tools are used. Although employers may prohibit or restrict the personal use of workplace communication tools, such prohibitions or restrictions must be clear, understandable and known or reasonably accessible to employees. Whether rules have been established in advance may lead to different conclusions when assessing the lawfulness of monitoring.

Even where personal use has been prohibited and an employee breaches that prohibition, the employer does not acquire unlimited authority to examine communication content. Monitoring must still comply with the principle of proportionality. Where personal communications can be distinguished from business-related communications, the examination must be limited to business-related communications, and private correspondence must be excluded from monitoring. Where business-related and personal communications cannot be separated, the employer’s monitoring authority must be interpreted more narrowly. Continuous and uninterrupted surveillance will not be considered proportionate.

Prior and Explicit Notification of Employees and the Obligation to Inform

Informing employees about monitoring activities in advance is one of the determining factors in assessing the lawfulness of monitoring. The Board stated that the prior notification requirement established in the case law of the Constitutional Court and the obligation to inform under Article 10 of the Law are not identical concepts. Not every notification constitutes a valid privacy notice under the Law. However, a duly provided privacy notice containing clear information on the purpose, scope and methods of monitoring may also satisfy the prior notification requirement.

In this context, a general statement that “corporate email accounts may be monitored by the employer” is insufficient. The employer’s privacy notice must clearly and specifically explain the legal basis, purpose and scope of personal data processing, whether monitoring will be conducted through traffic data or log records or by examining communication content, the circumstances in which content may be accessed, the retention period of the data, and the data subject rights under Article 11 of the Law.

The Board stated that where an employee has not been informed in advance about monitoring activities and has not been duly informed in accordance with Article 10 of the Law, due consideration must be given to the employee’s reasonable expectation that their personal data and freedom of communication will not be interfered with. Furthermore, general notifications alone will satisfy neither the prior notification requirement nor the obligation to inform.

Legal Basis for Monitoring and the Role of Explicit Consent

The Principle Decision states that, due to the relationship of dependency and the imbalance of power between the parties in an employment relationship, employees’ explicit consent should not, as a rule, be used as the primary legal basis for monitoring corporate email accounts. Where explicit consent is relied upon, whether it has been freely given must be assessed in light of the circumstances of the particular case.

Depending on the circumstances, personal data processing activities carried out as part of monitoring may be based on the conditions set out in Article 5/2 of the Law, namely compliance with a legal obligation, the establishment, exercise or protection of a right, or processing being necessary for the legitimate interests of the data controller, provided that the fundamental rights and freedoms of the data subject are not prejudiced. However, the existence of any of these processing conditions does not grant the employer unlimited monitoring authority.

Gradual Approach, Proportionality and Limits on Content Examination

The Board emphasised that monitoring activities must be conducted lawfully and fairly, for specified, explicit and legitimate purposes, and in a manner that is relevant, limited and proportionate to those purposes.

Accordingly, where the employer can achieve its legitimate objective through a less intrusive method, more intrusive monitoring methods must not be used.

In particular, accessing communication content constitutes a more serious interference with employees’ private lives and freedom of communication than examining traffic data and log records. Access to content should therefore be considered only in exceptional circumstances where examining traffic data is insufficient and access to content is necessary. The Board also stated that employers may not conduct general content monitoring where misuse of communication tools assigned to employees can be prevented through technical measures such as filtering or blocking.

Content monitoring must be based on a stronger and specific legitimate justification and must be conducted only where there is concrete suspicion, with the examination limited to the allegation concerned. Broad, undefined and continuous examinations of communication content must be avoided. Consideration must also be given to the possibility that the body or attachments of communications may contain special categories of personal data or personal data belonging to third parties.

Covert and Continuous Monitoring and Access to Monitoring Data

The Board stated that monitoring conducted through covert surveillance methods without prior notification to employees, or through tools that indiscriminately record all employee activities, is unlawful. Accordingly, monitoring must be carried out with employees’ knowledge, for predetermined purposes and through predetermined methods, within a foreseeable framework.

Access to personal data obtained through monitoring must be restricted to a limited number of personnel specifically authorised for this purpose. Access rights must be determined according to job responsibilities, access logs must be maintained, and persons accessing the data must be subject to confidentiality obligations.

Corporate Email Accounts Following Termination of Employment

The Principle Decision states that the legal basis for personal data processing activities concerning corporate email accounts assigned to employees must be assessed separately following termination of the employment relationship.

As a general rule, the account must be closed to active use by the former employee and to further access, measures must be taken to prevent unauthorised persons from viewing incoming messages, and personal data for which there is no longer a legal basis for processing must be erased, destroyed or anonymised, as applicable.

Nevertheless, depending on the circumstances of the particular case, measures such as forwarding, setting up automatic replies, archiving or retaining the account may be considered for the purposes of ensuring business continuity, preventing disruption to corporate communications, exercising the right of defence in legal disputes or complying with statutory obligations, provided that access rights are defined and recorded.

Consequences of Non-Compliance with the Principle Decision

The Board stated that where non-compliance with the obligations set out in the Principle Decision is identified, the necessary examinations will be conducted in light of the circumstances of the particular case, and administrative action will be taken against the relevant data controllers pursuant to Article 18 of the Law.

Assessment and Conclusion

The Principle Decision clarifies the limits of employers’ authority to monitor corporate email accounts assigned to employees and other communication channels used for business purposes, within the framework of personal data protection and employees’ fundamental rights. The fact that an employer owns communication tools or has the technical ability to access them does not mean that it may monitor all communications conducted through those tools without restriction.

In this context, it is important that employees are clearly informed of monitoring activities in advance, that monitoring is limited to specified and legitimate purposes, and that priority is given to less intrusive methods. In particular, a distinction must be made between examining traffic data and log records and accessing communication content. Content monitoring should be undertaken only in exceptional circumstances where there is concrete suspicion, a stronger legitimate justification exists, and less intrusive methods have proved insufficient.

Accordingly, employers should review their internal policies and procedures governing the use of corporate email accounts and other communication tools, the legal bases and scope of their monitoring activities, the privacy notices provided to employees, and their practices concerning the examination of communication content in light of the Principle Decision. In addition, access rights to personal data obtained through monitoring must be restricted, retention and destruction procedures must be established, and practices concerning the management of corporate email accounts following termination of employment must be brought into compliance with the principles set out in the Principle Decision.

Should you have any questions regarding the matters discussed above, please feel free to contact us.