İşyerinde Kurumsal
E-Posta Denetimi

Sorun Nerede Başlıyor?

Hemen her işveren, çalışanlarına kurumsal uzantılı bir e-posta hesabı tahsis eder ve bu hesapların içeriği çoğu zaman şirket sunucularında saklanır. Bir iş uyuşmazlığı, disiplin soruşturması veya fesih süreci gündeme geldiğinde ise aynı soru tekrar tekrar karşımıza çıkar: işveren, çalışanın kurumsal e-posta yazışmalarını inceleyebilir mi; inceleyebilirse hangi sınırlar içinde?

"Hesap da sunucu da şirkete ait, dilediğim gibi bakarım" yaklaşımı, Türk hukukunda artık açıkça geçersizdir. Hem Anayasa Mahkemesi hem de Kişisel Verileri Koruma Kurulu, denetim yetkisini iki temel şarta bağlamıştır: önceden ve kapsamı belirli bilgilendirme ile ölçülü, amaçla sınırlı inceleme. Bu şartlara uyulmadan yapılan inceleme, hem idari yaptırım hem tazminat hem de feshin geçersizliği riskini birlikte doğurur.

Hukuki Çerçeve

E-posta yazışmaları; gönderen, alıcı, trafik bilgisi ve içerik yönüyle 6698 sayılı Kişisel Verilerin Korunması Kanunu anlamında kişisel veridir. İşverenin bu verileri izlemesi, erişmesi ve saklaması birer "veri işleme" faaliyetidir ve KVKK'nın genel rejimine tabidir:

• İşleme şartı (KVKK m.5): Kişisel veriler kural olarak açık rıza olmaksızın işlenemez; açık rıza yoksa m.5/2'deki istisnalardan birinin — iş ilişkisinde tipik olarak "meşru menfaat" veya "bir hakkın tesisi, kullanılması veya korunması için zorunluluk" — bulunması gerekir.
• Aydınlatma yükümlülüğü (KVKK m.10): Veri sorumlusu işveren; işleme amacını, aktarım alıcılarını, toplama yöntemini ve hukuki sebebini, ilgili kişinin haklarını verinin elde edilmesi sırasında — yani denetim başlamadan önce — bildirmek zorundadır.
• Anayasal boyut: Özel hayata saygı (AY m.20/3'teki kişisel verilerin korunmasını isteme hakkı) ve haberleşme hürriyeti (AY m.22), işveren denetiminin üst sınırını çizer.

Anayasa Mahkemesi'nin Çizdiği Sınır: E.Ü. Kararı

Alanın öncü kararı, Anayasa Mahkemesi Genel Kurulunun E.Ü. başvurusudur (B. No: 2016/13010, 17/9/2020). Bir avukatlık ortaklığında çalışan başvurucunun kurumsal e-postaları, disiplin soruşturması kapsamında geriye dönük incelenmiş ve fesih gerekçesi yapılmıştı. AYM, kişisel verilerin korunmasını isteme hakkı ile haberleşme hürriyetinin ihlal edildiğine oybirliğiyle karar verdi.

Kararın işverenler açısından kritik testi dört sorudan oluşur:

1. İletişim araçlarının kullanımına ilişkin kısıtlayıcı düzenlemeler önceden belirlenmiş mi?
2. Taraflar denetim konusunda önceden açıkça bilgilendirilmiş mi?
3. Müdahale, meşru amaçla ölçülü mü (kapsam, süre, yöntem)?
4. Denetime dayanan işlem (ör. fesih) makul ve orantılı mı?

Somut olayda izlemenin yapılabileceğine dair önceden açık bilgilendirme bulunmaması ve incelemenin iddiayla sınırlı tutulmayıp üçüncü kişilerle yazışmalara da uzanması ihlale yol açmıştır. Aynı olaya ilişkin A.A.Y. başvurusunda (B. No: 2016/13011, 29/9/2020) da ihlal sonucuna varılmıştır.

KVKK Kurulu Pratiği: İki Uçlu İçtihat

Kurul kararları, aynı testin idari yaptırım ayağını gösterir ve iki ucu net biçimde ortaya koyar:

• İhlal — aydınlatmasız erişim (2021/1187): İşveren, eski çalışanının kurumsal e-posta hesabına hiçbir aydınlatma yapılmaksızın erişmiş; özel yazışmalar ve banka hesap dökümü gibi içerikleri mahkemeye delil olarak sunmuştur. Kurul, 25/11/2021 tarihli ve 2021/1187 sayılı kararıyla 250.000 TL idari para cezası uygulamıştır. Karar, "e-postanın yalnızca iş amaçlı kullanılacağı ve incelenebileceği" bildiriminin hiç yapılmamış olmasına dayanır.
• İhlal yok — sınırlı ve delil amaçlı inceleme (2020/59): Şirkete ait bir hesabın, ticari uyuşmazlıkta delil elde etmek amacıyla incelenmesinde Kurul ihlal görmemiş; "bir hakkın tesisi, kullanılması veya korunması için zorunluluk" (m.5/2-e) şartını uygulamıştır.

Kurulun 19/01/2023 tarihli ve 2023/86 sayılı kararı da doğrudan "çalışanlara tahsis edilen kurumsal e-posta içeriklerinin izlenmesi, erişilmesi ve depolanması suretiyle kişisel veri işlenmesi" konusuna ilişkindir ve aynı çizginin güncel bir halkasıdır.

Uygulama İçin Kontrol Listesi

İşveren / veri sorumlusu tarafında:

• Kurumsal iletişim araçlarının kullanım ve denetim koşullarını yazılı bir politikayla belirleyin (kişisel kullanıma izin verilip verilmediği dâhil).
• Denetimin yapılabileceğini; amacını, kapsamını, saklama süresini ve çalışanın haklarını denetim başlamadan önce ispatlanabilir biçimde bildirin (KVKK m.10).
• İncelemeyi somut iddiayla sınırlı tutun: önce trafik verisiyle yetinilebiliyorsa içeriğe girmeyin; konuyla ilgisiz yazışmalara ve üçüncü kişilere ait verilere erişmeyin.
• Denetim kayıtlarını (kim, ne zaman, hangi kapsamda inceledi) tutun; ölçülülüğü belgeleyebilir olun.

Çalışan tarafında: Önceden bilgilendirme yapılmadan e-postalarınızın incelendiğini ve bunun bir işleme (ör. fesih) dayanak yapıldığını düşünüyorsanız; iş yargısındaki haklarınızdan bağımsız olarak, veri sorumlusuna başvuru (KVKK m.13) ve ardından Kurula şikâyet (m.14-15) yolları ile Anayasa Mahkemesi bireysel başvurusu gündeme gelebilir.

Sonuç

Türk hukukunda işverenin kurumsal e-posta denetim yetkisi vardır; ancak bu yetki bilgilendirilmiş ve ölçülü bir denetimle sınırlıdır. AYM'nin E.Ü. kararı ile KVKK Kurulunun 2021/1187 sayılı kararı birlikte okunduğunda kural nettir: önceden, açık ve kapsamı belirli bir bildirim yoksa veya inceleme amacı aşan bir genişlikte yapılmışsa, elde edilen içerik hem hukuka aykırı işlenmiş kişisel veridir hem de buna dayanan işlemler ciddi hukuki risk altındadır. Denetim politikasını bu iki karara göre kurmak, uyuşmazlık çıkmadan önce alınabilecek en etkili tedbirdir.

Kaynakça

• 6698 sayılı Kişisel Verilerin Korunması Kanunu, m.4, 5, 10, 11, 13-15 (mevzuat.gov.tr)
• AYM (Genel Kurul), E.Ü. Başvurusu, B. No: 2016/13010, 17/9/2020 — kararlarbilgibankasi.anayasa.gov.tr
• AYM (Birinci Bölüm), A.A.Y. Başvurusu, B. No: 2016/13011, 29/9/2020 — kararlarbilgibankasi.anayasa.gov.tr
• KVKK Kurulu, 25/11/2021 t., 2021/1187 s. Karar Özeti — kvkk.gov.tr
• KVKK Kurulu, 2020/59 s. Karar Özeti — kvkk.gov.tr
• KVKK Kurulu, 19/01/2023 t., 2023/86 s. Karar Özeti — kvkk.gov.tr