Kişisel Verileri Koruma Kurulunun (KVKK), 16 Eylül 2026 tarihli ve 2026/2035 sayılı İlke Kararı, Resmi Gazete'de yayımlanarak yürürlüğe girdi. Bu karar, işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları gibi işin yürütülmesinde kullanılan iletişim kanallarının denetlenmesine ilişkin esasları netleştirdi.

Kararın öne çıkan noktalarından biri, işverenin iletişim aracının sahibi olmasının çalışanların kişisel verilerine sınırsız erişim hakkı tanımadığını vurgulaması oldu. İşverenin denetim yapabilmesi için meşru bir gerekçeye sahip olması ve uygulayacağı yöntemin bu amaçla uyumlu ve orantılı olması şart koşuldu. Özellikle yazışmaların içeriğine erişim, iletişim trafiği veya log kayıtlarının incelenmesine göre daha ciddi bir müdahale olarak kabul ediliyor.

İşverenler, denetime başlamadan önce çalışanları denetimin amacı, hukuki dayanağı, kapsamı, yöntemi, veri saklama süresi ve hakları gibi konularda açık ve anlaşılır bir şekilde bilgilendirmekle yükümlü olacak. Sadece "kurumsal e-posta hesapları denetlenebilir" gibi genel ifadelerin yeterli olmayacağı belirtildi.

Bu düzenleme, yalnızca kurumsal e-posta hesaplarıyla sınırlı kalmıyor. Kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları, müşteri ilişkileri ve talep yönetim sistemleri ile toplantı platformlarındaki sohbet ve kayıt alanları da somut duruma göre denetlenebilecek iletişim kanalları arasında yer alıyor.

KVKK, işverenin yönetim ve denetim yetkisi ile çalışanın özel hayatın gizliliği, kişisel verilerin korunması ve haberleşme özgürlüğü arasında bir denge kurulmasını amaçlıyor.