Bir çalışanın kurumsal e-postasına ulaşabilen teknik ekip ile o yazışmayı incelemeye hukuken ve kurumsal olarak yetkili kişi aynı kişi olmayabilir. Bu ayrım, e-posta hesabı işverene ait olduğu için önemsizleşmez. E-posta, işin yürütülmesi için açılmış olsa da çalışanın çalışma ritmi, mesleki ilişkileri ve zaman zaman üçüncü kişilerin bilgileri hakkında izler taşır.
Kişisel Verileri Koruma Kurulunun 16 Eylül tarihli ilke kararı, denetim uygulamalarında tam bu noktadaki dağınıklığı tarif ediyor: Kurumsal hesaplar izleniyor, trafik ve log kayıtları inceleniyor, içeriklere erişiliyor; sonra bu veriler disiplin veya işten çıkarma süreçlerinde kullanılabiliyor. Buna karşın çalışanlara denetimin amacı, kapsamı ve yöntemi çoğu kez açıkça anlatılmıyor.
Bu tabloyu yalnız kişisel veri envanterinin satırlarından okumak eksik kalır. İnsan kaynakları açısından soru şudur: Bir yöneticinin şüphesi geldiğinde, hangi bilgiye kim ulaşacak; hangi kayıt kararın dayanağı sayılacak; çalışanın açıklaması hangi aşamada dinlenecek? Bu sorular önceden yazılmamışsa, teknik erişim imkânı karar yetkisi gibi kullanılmaya başlar.
Şüphe, sınırsız arama yetkisi vermez
Kurul, içerik incelemesinin somut şüpheye veya belirli bir olayla bağlantılı meşru amaca dayanmasını ve bu amaçla sınırlı kalmasını istiyor. Daha hafif bir yöntem yeterliyse önce o yolun seçilmesi de ilke kararındaki kademelilik yaklaşımının parçası.
Müşteri bilgisinin yanlış adrese gönderildiğine dair belirti, bir projenin yetkisiz kişiyle paylaşıldığına ilişkin kayıt ya da iş sürekliliğini etkileyen açık bir risk inceleme gerektirebilir. Ancak “bir sorun var” cümlesi, aylarca geriye doğru bütün yazışmaları açmak için eksik kalır. İncelemenin hangi olay için başladığı, aranan bilginin ne olduğu ve neden daha dar bir kontrolün yetmediği yazılmalıdır.
Bu kayıt, denetimi yapan birim için de koruyucudur. Bilgi teknolojileri ekibi hesabı teknik olarak açabilir; içerikleri hangi dosyada, hangi amaçla ve hangi süreyle işleyeceğine tek başına karar vermemelidir. İnsan kaynakları, hukuk ve ilgili yönetici aynı masaya oturduğunda bile içerik erişimini otomatikleştiren geniş bir yetki kurulamaz. Herkesin görevi ve erişebileceği bölüm önceden ayrılmalıdır.
Aydınlatma metni denetimden önce anlaşılmalı
Kurulun kararındaki önemli ayrımlardan biri de genel uyarı ile somut bilgilendirme arasında. “Kurumsal e-postalar denetlenebilir” cümlesi çalışanı neyin beklendiği konusunda yeterince bilgilendirmeyebilir. Denetimin hukuki sebebi, amacı, kapsamı, yöntemi, içeriklere hangi koşulda erişilebileceği, saklama süresi ve başvuru hakları açık biçimde anlatılmalıdır.
Bu açıklama işe girişte imzalatılıp arşive kaldırılan bir sayfa olarak kalmamalı. Yeni bir filtreleme aracı, yapay zekâ destekli sınıflandırma ya da rutin log analizi kullanılacaksa insan kaynakları, çalışanların hangi verinin hangi iş amacıyla işleneceğini yeniden anlayabildiğinden emin olmalıdır. ILO, yapay zekâ ile işyeri yönetiminde izleme, iş yoğunluğunun artması, özerkliğin azalması ve veri kullanımı kaygılarını psikososyal çalışma koşullarıyla ilişkilendiriyor. Teknolojinin etkisi işyerine ve kullanım biçimine göre değişir. Sürekli ve amacı belirsiz içerik denetimi, çalışanın karar alanı ile gün içindeki iletişim davranışını etkileyebilir.
Çalışanın imzası da bu boşluğu kendiliğinden kapatmaz. Kurul, iş ilişkisindeki bağımlılık ve güç dengesi nedeniyle açık rızanın her durumda öncelikli dayanak sayılamayacağını hatırlatıyor. Kurumun görevi, çalışanı bir kutucuğu işaretlemeye yöneltmekten önce hangi denetimin gerçekten gerekli olduğunu belirlemektir.
Disiplin kararı, erişim kaydından ayrı kurulmalı
E-postadan elde edilen bir veri disiplin sürecine taşınacaksa, erişim kararı ile davranış değerlendirmesi birbirine karışmamalı. İlk kayıtta incelemeyi başlatan olay, erişim izni veren görevli, kapsam, tarih ve saklama süresi bulunabilir. İkinci kayıtta ise iddia edilen davranış, çalışanın açıklaması, olayı doğrulayan başka kanıtlar ve kararı veren kişi yer almalıdır.
Bu iki aşamayı ayırmak, çalışanın her açıklamasını doğru kabul etmek için yapılmaz. Kurumun elindeki verinin nasıl elde edildiğini ve neyi gerçekten gösterdiğini sınamak için yapılır. Bir e-posta zincirinden tek bir cümle seçmek; görev devrini, önceki talimatı veya yazışmanın karşı tarafını hesaba katmadan niyet yorumu üretmeye elverişlidir. Yöneticinin kararını destekleyen bilgi, tek başına karar veren kanıtla aynı ağırlıkta değerlendirilmemelidir.
İnceleme sonunda çalışana verilecek geri bildirim de belirsiz kalmamalı. Gizlilik nedeniyle her ayrıntı paylaşılmayabilir. Yine de çalışan, hangi davranışın incelendiğini, kendisinden hangi açıklamanın beklendiğini ve hangi başvuru yolunu kullanabileceğini öğrenebilmelidir. İK, itirazdan sonra çalışanın performans notunda, vardiyasında ya da görev dağılımında değişiklik yapılırsa bu değişikliğin gerekçesini ayrı kayda almalıdır.
Kurumun bugünden kurabileceği düzen kısa bir denetim kaydıyla başlar: denetimin iş amacı, olayın tanımı, daha dar yöntemin neden yeterli olmadığı, erişebilecek kişiler, kapsamın bitiş tarihi, saklama süresi ve disiplin değerlendirmesini yapacak ayrı görevli. Kayıt, e-postanın iş amaçlı kullanımını ve denetimin hangi koşullarda yapılacağını birlikte tarif eder. Yönetim yetkisinin hangi olayda, hangi ölçüde ve hangi kişi tarafından kullanılacağını açıklar.
Kurumsal e-postayı denetlemek teknik bir tuşa basmak kadar kolay olabilir. Çalışan bakımından belirleyici olan; erişimin kapsamı, içerikleri gören kişiler ve inceleme sonunda açıklamasının hangi kanaldan alınacağıdır. İnsan kaynakları bu üç bilgiyi, inceleme kaydında sorumlusu ve tarihiyle birlikte tutmalıdır.
Kaynaklar
- Kişisel Verileri Koruma Kurumu, Kurulun 16 Eylül 2026 tarihli ve 2026/2035 sayılı ilke kararı hakkında duyuru, 2026.
- Uluslararası Çalışma Örgütü, AI-driven intrusive surveillance and loss of autonomy at work linked to psychosocial risks for employees, 30 Nisan 2026.
- T.C. Çalışma ve Sosyal Güvenlik Bakanlığı, Üçlü Danışma Kurulu, Çalışma Hayatında Yeni Çalışma Yöntemleri Gündemiyle Toplandı, 7 Ekim 2026.
