Kişisel Verileri Koruma Kurulunun 16/09/2026 tarihli ve 2026/2035 sayılı ilke kararı, 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete'de yayımlandı. Kurul, 6698 sayılı Kanun'un 15/6. maddesi uyarınca bir ihlalin yaygınlığını tespit ettiğinde ilke kararı alabiliyor; bu kararda konu, işverenlerin çalışanlara tahsis ettiği kurumsal e-posta, kurum içi mesajlaşma, anlık iletişim ve CRM/talep yönetim hesaplarının denetimi.
Karara göre iletişim aracının işverene ait olması, sınırsız veya mutlak bir denetim yetkisi doğurmuyor; trafik/log kaydı incelemesi bile başlı başına kişisel veri işleme faaliyeti sayılıyor ve 6698 sayılı Kanun'un genel ilkelerine, işleme şartlarına ve aydınlatma yükümlülüğüne tabi oluyor.
16 Maddenin Getirdiği Sınırlar
Kurul, içeriğe erişimin yalnızca istisnai hallerde, somut şüphe veya iddiaya bağlı ve dar kapsamlı biçimde gündeme gelebileceğini; sürekli veya gizli izlemenin hukuka aykırı olduğunu belirtiyor. 'Kurumsal e-posta denetlenebilir' türünden genel nitelikli bildirimler aydınlatma yükümlülüğünü karşılamıyor; bildirimde hukuki sebep, amaç, kapsam (trafik mi içerik mi), içeriğe erişim koşulları, saklama süresi ve 11. madde hakları ayrı ayrı yer almalı.
İş ilişkisindeki güç dengesizliği nedeniyle açık rıza, denetimin asıl hukuki sebebi olarak kullanılamıyor. Erişim yetkisi sınırlı sayıda personelle sınırlandırılmalı, loglanmalı ve gizlilik yükümlülüğüne bağlanmalı; işten ayrılan çalışanların hesaplarına yeni erişim genel olarak kapatılmalı, hukuki sebebi kalmayan veriler silinmeli.
İK İçin Pratik Adım
Karar, mevcut bilişim/internet kullanım politikalarının ve aydınlatma metinlerinin 16 ilkeye göre yeniden yazılmasını gerektiriyor; özellikle içerik erişimi prosedürünün şüpheye dayalı ve kayıt altında işleyecek şekilde kurulması gerekiyor. Kurallara uyulmaması, 6698 sayılı Kanun'un 18. maddesi kapsamında idari para cezası riski taşıyor; karar Resmî Gazete'nin yanı sıra Kurumun internet sitesinde de yayımlandı.
