08/10/2026
ÇALIŞANLARIN E-POSTA ADRESLERİ HAKKINDA KVKK KURUL KARARI RESMİ GAZETEDE YAYIMLANDI
Kurumsal e-posta ve iletişim kanalları sadece iş aracı değil; çalışanların mesleki, zaman zaman kişisel ilişkilerini ve içeriklerini barındıran veri kaynaklarıdır.
İletişim araçlarının işverene ait olması, işverene sınırsız ve mutlak bir denetim yetkisi vermez.
E-postanın içeriğine erişilmeksizin sadece trafik/log (akış) kayıtlarının işlenmesi dahi başlı başına bir kişisel veri işleme faaliyetidir.
Soyut veya genel ifadeler yetersizdir. İşveren; denetimin hukuki sebebini, amacını, kapsamını, içeriğe mi yoksa trafik kayıtlarına mı bakılacağını, saklama sürelerini ve hakları açıkça çalışana bildirmelidir.
Çalışanın bilgisi ve öngörüsü dışında yapılan gizli izlemeler ve tüm işlemlerin ayrım gözetilmeksizin kaydedilmesi hukuka aykırıdır.
İşverenin ağa, cihaza veya sisteme teknik olarak erişim yetkisinin olması, hukuki olarak da erişim yetkisine sahip olduğu anlamına gelmez.
E-posta ve iletişim verilerine erişim sadece yetkilendirilmiş sınırlı personelle kısıtlanmalı, erişim kayıtları tutulmalıdır.
İş ilişkisi bittiğinde, kural olarak e-posta hesabı çalışanın aktif kullanımına ve yeni erişimlere kapatılmalıdır.
İşin sürekliliği veya hukuki uyuşmazlıklar için gerekmedikçe hukuki dayanağı kalmayan veriler imha edilmelidir; zorunlu durumlarda ise sınırlı/süreli erişim, arşivleme veya yönlendirme tedbirleri uygulanmalıdır.
Bu kurul kararına uymayan işverenler hakkında alt sınır 427.263 TL ile üst sınır olan 17.092.242 TL arasında idari para cezası uygulanır.