Merhaba
Kişisel Verileri Koruma Kurulunun (Kurul) 16 Eylül 2026 tarihli ve 2026/2035 sayılı İlke Kararı, 8 Ekim 2026 tarihli ve 33394 sayılı Resmi Gazete’de yayımlandı. Karar, işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları başta olmak üzere, işin yürütülmesi amacıyla kullanılan iletişim kanallarını denetlerken uyulması gereken usul ve esasları belirliyor.
Bu kararı çoğu kişi hukuk ve insan kaynakları konusu olarak okuyacak. Oysa sahada denetimi yapan, yetkiyi veren, logu tutan, arşivi yöneten ve işten ayrılan kullanıcının posta kutusunu devreden taraf genellikle Bilgi Teknolojileri (BT) ekibi. Bu yüzden kararı bir sistem yöneticisinin gözüyle okumak ve maddeleri Exchange, Microsoft 365 ve Teams tarafındaki somut ayarlara bağlamak istedim.
Kararın BT açısından altı ana mesajı
- Log incelemesi de kişisel veri işlemedir. E-posta içeriğine hiç bakılmasa bile yalnızca trafik/log kayıtlarının işlenmesi başlı başına bir kişisel veri işleme faaliyeti. Yani message tracking, message trace veya SIEM (Security Information and Event Management) sorguları da 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (6698 sayılı Kanun) kapsamında.
- Cihazın veya sistemin şirkete ait olması sınırsız yetki vermez. İletişim araçlarının işverene ait olması ya da işyerinde bulunması tek başına mutlak bir denetim yetkisi doğurmuyor.
- Teknik yetki ile hukuki yetki aynı şey değildir. Belirli bir cihaz, oturum, ağ veya kurumsal sistem üzerinde teknik yetkiye sahip olmak, çalışanın kişisel e-postasına, kişisel anlık mesajlaşma uygulamasına veya sosyal medya mesaj kutusuna serbestçe erişme hakkı vermiyor.
- Kademelilik esas. İşverenin hedefine daha az müdahaleci bir yolla ulaşabildiği durumda daha ağır bir yönteme başvuramayacağı belirtiliyor. İçeriğe erişim ancak trafik verisi denetiminin yetersiz kaldığı istisna hallerde gündeme gelebiliyor.
- Aydınlatma somut olmalı. Kurumsal e-posta hesabı denetlenebilir türünden genel bir cümle yeterli sayılmıyor. Açık rıza ise iş ilişkisindeki güç dengesizliği nedeniyle kural olarak öncelikli hukuki dayanak olarak görülmüyor.
- İş ilişkisi bitince değerlendirme yeniden yapılır. Ayrılan çalışanın hesabındaki veri işlemenin hukuki dayanağı ayrıca ele alınmalı.
Karar maddelerinin BT karşılığı
Karar 16 maddeden oluşuyor. Aşağıdaki tabloda her maddenin ne söylediğini ve BT ekibi için ne anlama geldiğini özetledim.
| Madde | Kararın içeriği | BT ekibi için anlamı |
|---|---|---|
| 1 | E-posta denetimi, yalnızca trafik/log işlense bile kişisel veri işleme faaliyetidir. Kanun’un işleme şartlarına, genel ilkelerine, aydınlatma ve veri güvenliği yükümlülüklerine tabidir. | Message tracking, message trace ve SIEM sorguları işleme faaliyeti olarak kayıt altına alınmalı. |
| 2 ve 3 | Denetimin kapsamı iş amaçlı ve özel amaçlı kullanım ayrımına göre belirlenmeli. Kurallar açık, anlaşılır ve çalışan tarafından bilinebilir olmalı. Sürekli ve aralıksız gözetim ölçülü kabul edilmez. | Politika ile teknik yapılandırma çelişmemeli. Tüm posta kutularının sürekli içerik taramasıyla izlenmesi riskli. |
| 4 | Teknik erişim imkanı ile hukuki erişim yetkisi ayrılmalı. | Exchange yöneticisi veya Domain Admin olmak, yazışmaları okuma hakkı vermez. |
| 5, 6 ve 7 | Önceden bilgilendirme belirleyici. Aydınlatma; hukuki sebebi, amacı, kapsamı, log mu içerik mi incelendiğini, içeriğe hangi hallerde erişileceğini, saklama süresini ve ilgili kişinin haklarını içermeli. Genel nitelikli bildirim yetmez. | Aydınlatma metni gerçek teknik yapıyla örtüşmeli. Metinde olmayan bir inceleme yapılamaz. |
| 8 | Açık rıza kural olarak öncelikli dayanak değil. Somut olaya göre Kanun’un 5/2 (ç), (e) ve (f) bentleri gündeme gelebilir. Ancak dayanağın varlığı sınırsız denetim yetkisi tanımaz. | Çalışana imzalatılan tek bir form bütün denetimleri meşrulaştırmaz. |
| 9 ve 10 | Ölçülülük, amaçla bağlantılılık ve gerektiği kadar saklama. Teknik yollarla (filtreleme, engelleme vb.) önlenebilen kötüye kullanımda genel denetim hakkı doğmaz. | Önce filtre ve engelleme, sonra log, en son içerik. |
| 11 ve 12 | İçerik denetimi en yoğun müdahaledir. Yalnızca somut şüphe halinde ve iddiayla sınırlı yapılmalı. Özel nitelikli kişisel veriler ve yazışmadaki üçüncü kişilerin verileri dikkate alınmalı. | Arama kapsamı daraltılmalı: kişi, tarih aralığı, konu. Toplu ve belirsiz arama yapılmamalı. |
| 13 | Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri ve tüm işlemleri ayrım gözetmeksizin kaydeden araçlarla yürütülen denetim hukuka aykırı sayılır. | Uç nokta izleme ve kayıt ajanları bu açıdan gözden geçirilmeli. |
| 14 | Veriye erişim yalnızca görevle yetkilendirilmiş sınırlı personele açık olmalı, yetki görev tanımıyla belirlenmeli, erişim kayıtları tutulmalı, erişenler gizlilik yükümlülüğü altına alınmalı. | RBAC (Role-Based Access Control), denetim kayıtları ve gizlilik taahhüdü. |
| 15 | İş ilişkisi bitince hesap kural olarak aktif kullanıma ve yeni erişimlere kapatılmalı, gelen iletiler ilgisiz kişilerce görüntülenmemeli, hukuki dayanağı kalmayan veriler imha edilmeli. Sınırlı, süreli, yetkileri belirli ve kayıtlı yönlendirme, otomatik cevap, arşivleme veya muhafaza somut duruma göre değerlendirilebilir. | Ayrılan çalışan (offboarding) süreci yeniden tasarlanmalı. |
| 16 | Yükümlülüklere uyulmadığının tespiti halinde Kanun’un 18’inci maddesi uyarınca ilgili veri sorumluları hakkında idari işlem tesis edilebilir. | Uyum, BT yönetişiminin parçası haline geliyor. |
Exchange ve Microsoft 365 tarafında nereden başlamalı?
Karar belirli bir ürün adı vermiyor, ancak ilkeler doğrudan yönetim araçlarındaki ayarlara dokunuyor. Aşağıdaki tablo, Exchange Server (şirket içi), Exchange Online ve Microsoft Purview tarafında kontrol etmenizi önerdiğim alanları topluyor.
| Alan | Teknik imkan | Karar açısından risk | Önerilen kontrol |
|---|---|---|---|
| Posta kutusu yetkileri | Full Access, Send As, Add-MailboxPermission |
Madde 4 ve 14: teknik yetki hukuki yetki değildir | Full Access atamalarını listeleyin, gerekçesi olmayanları kaldırın |
| Arama ve dışa aktarma | Discovery Management rol grubu, Search-Mailbox, Mailbox Import Export rolü, New-MailboxExportRequest |
Madde 11: içerik denetimi yalnızca somut şüphede | Rol gruplarını boş tutun, vaka bazlı ve geçici atama yapın, onayı kayıt altına alın |
| Trafik kayıtları | Get-MessageTrackingLog (şirket içi), Message Trace (Exchange Online) |
Madde 1: log da kişisel veri | Erişimi sınırlayın, saklama süresini bilinçli belirleyin |
| Denetim kayıtları | Mailbox audit logging, admin audit log, Microsoft Purview Audit | Madde 14: erişim kayıtları tutulmalı | Kimin kimin posta kutusuna ne zaman eriştiğini gösteren kaydın açık olduğunu doğrulayın |
| Muhafaza | Set-Mailbox -LitigationHoldEnabled, Purview retention, journaling |
Madde 15: muhafaza sınırlı ve gerekçeli olmalı | Hold işlemini vaka numarası, gerekçe ve süre ile ilişkilendirin |
| eDiscovery | Microsoft Purview eDiscovery (Standard ve Premium), case bazlı üyelik | Madde 11 ve 12: kapsam daraltma | Üyeliği hukuk, uyum ve bilgi güvenliği ile birlikte yönetin |
| Ayrılan kullanıcı | Shared mailbox dönüşümü, forwarding, otomatik cevap | Madde 15 | Yazıdaki offboarding akışını uygulayın |
| Güvenlik analizi | DLP (Data Loss Prevention), e-posta güvenlik ağ geçidi, SIEM | Madde 9 ve 10: ölçülülük, kademelilik | Otomatik engelleme ile insan incelemesini ayırın |
Teknik yetki ile hukuki yetkiyi ayırmak
Pratikte en çok karşılaştığım durum şu: Exchange yöneticisi, kendi hesabına Full Access verebiliyor, Search-Mailbox ile herhangi bir posta kutusunda arama yapabiliyor ve bunun için kimseden onay almasına gerek kalmıyor. Teknik olarak mümkün, ama karar bu rahatlığı artık sorgulanabilir hale getiriyor.
Önerim şöyle:
- Discovery Management rol grubunu ve Mailbox Import Export rolünü kalıcı olarak kimseye atamayın. İhtiyaç doğduğunda vaka numarasıyla, belirli bir süre için atayın.
- Her içerik incelemesi için kim, hangi kişi, hangi tarih aralığı, hangi gerekçe, kim onayladı bilgisini yazılı kayda bağlayın.
- Sistem yöneticilerinin gizlilik taahhüdünü görev tanımına ekleyin. Madde 14 bunu açıkça istiyor.
- Yetki gözden geçirmesini yılda bir değil, en az altı ayda bir yapın.
Önce engelle, sonra log, en son içerik
Kararın en uygulanabilir fikri kademelilik. Bunu BT tarafında üç basamak olarak düşünüyorum:
- Önleyici teknik kontrol: Filtreleme, engelleme, DLP kuralıyla otomatik durdurma. Karar, kötüye kullanımın teknik yollarla önlenebildiği hallerde işverenin genel bir denetim hakkının doğmayacağını söylüyor. Yani çoğu zaman sorun, insanın yazışma okumasına gerek kalmadan çözülebiliyor.
- Trafik ve log incelemesi: Kim kime, ne zaman, hangi boyutta ve hangi sonuçla ileti gönderdi. Bu aşama da kişisel veri işleme, dolayısıyla amaç ve yetki gerektiriyor.
- İçerik incelemesi: Yalnızca somut şüphe varsa, iddiayla sınırlı kapsamda ve trafik verisinin yetersiz kaldığı istisna durumda.
Bu sıralamayı olay müdahale prosedürlerinize (incident response) yazılı olarak koymanızı öneririm. Güvenlik analisti bir uyarıyı incelerken doğrudan e-posta gövdesini açmak yerine önce meta veriye bakmalı, içeriğe geçmek için bir eşik ve onay tanımlanmalı.
DLP ve güvenlik araçları
Karar, otomatik güvenlik analizinin kapatılmasını istemiyor. Bunu okuduğum kadarıyla söyleyebilirim, çünkü metin bu araçları adıyla anmıyor, ancak ilkeleri bu araçlara da uyguluyor: hukuki dayanak, amaçla bağlantı, ölçülülük ve veri güvenliği.
Burada pratik fark, otomatik bir kuralın bir ileti için uyarı üretmesi ile bir analistin uyarının içindeki e-posta gövdesini, ekleri ve özel nitelikli kişisel verileri okuması arasında. İkincisi madde 12’deki özel nitelikli veri ve üçüncü kişi verisi riskini taşıyor. Kademeli inceleme, maskeleme ve erişim kaydı bu noktada işe yarar.
Benzer şekilde, çalışanların iletişimini kapsamlı olarak izleyen Communication Compliance gibi çözümleri kullanıyorsanız, madde 3’teki sürekli ve aralıksız gözetim ölçülü kabul edilemez ifadesini hesaba katarak kapsamı ve gerekçeyi belgelemeniz gerekir.
İşten ayrılan çalışanın e-postası: önerilen akış
Madde 15 günlük operasyonu en çok etkileyecek madde. Hesabı kapat, kutuyu yöneticiye aç alışkanlığı artık kendiliğinden meşru sayılamaz. Karar sınırlı, süreli, yetkileri belirlenmiş ve kayıt altına alınmış uygulamalara imkan tanıyor. Benim önerdiğim akış:
- Çıkış anında hesabı aktif kullanıma ve yeni erişimlere kapatın (oturumları sonlandırın, oturum açmayı engelleyin).
- Dış muhataplar için otomatik cevap ile kurumsal bir iletişim adresi bildirin.
- İş sürekliliği için yönlendirme gerekiyorsa bunu süreli, belirli bir yetkiliye ve kayıtlı olarak yapın. Süresiz ve herkese açık forwarding kullanmayın.
- Posta kutusuna doğrudan erişim gerekiyorsa gerekçesini ve onayını yazılı hale getirin. Erişimi kişiye değil görev tanımına bağlayın.
- Hukuki uyuşmazlık veya mevzuat yükümlülüğü nedeniyle saklanması gereken veriyi muhafaza edin (hold, arşiv). Bunu vaka veya mevzuat dayanağıyla ilişkilendirin.
- Hukuki dayanağı kalmayan kişisel verileri saklama ve imha politikanıza göre imha edin. Yedek kopyalarının da bu politikada ele alınması gerekir. Karar yedeklere özel bir hüküm içermiyor, bu benim yorumum.
- Her adımı kayıt altına alın.
Burada gerçek bir gerilim var. Posta kutuları kurumsal hafızanın önemli bir parçası ve silmek çoğu zaman kabul edilebilir değil. Karar bu dengeyi sınırlı, süreli ve kayıtlı muhafaza ile kuruyor. Kişisel verileri ayıklayıp kurumsal hafızaya dokunan içeriği saklamak teknik olarak zor. Arşiv ve e-posta yönetim ürünlerinin bu ihtiyaca yönelik özellikler getirmesini bekliyorum.
Teams, mesajlaşma ve diğer iletişim kanalları
Karar yalnızca e-postayla sınırlı değil. Kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları, müşteri ilişkileri veya talep yönetim sistemleri ile toplantı platformlarındaki sohbet ve kayıt alanları da somut olayın özelliklerine göre denetime konu olabilecek iletişim kanalları arasında sayılıyor.
Bu yüzden Teams sohbetleri, toplantı kayıtları ve ITSM (IT Service Management) veya CRM (Customer Relationship Management) kayıtları için de aynı soruları sormak gerekiyor: Hangi amaçla saklanıyor, kim görebiliyor, içeriğe ne zaman bakılabiliyor ve çalışan bunu biliyor mu?
Kişisel kullanıma da elverişli uygulamalarda kararın bir ek kriteri var: hesabın işveren tarafından iş amacıyla tahsis edilip edilmediği, çalışanın kişisel hesabı üzerinden kullanılıp kullanılmadığı ve çalışanın makul mahremiyet beklentisi ayrıca değerlendirilmeli. Kendi cihazını kullanan (BYOD) çalışanlar olan kurumlarda bu ayrım ayrıca önem kazanıyor.
Aydınlatma metni ve rıza
Karar aydınlatmayı gerçekten ağır bir yükümlülük haline getiriyor. Madde 6’ya göre aydınlatma soyut ve genel bir ifadenin ötesine geçmeli, ilgili kişinin 6698 sayılı Kanun’un 11’inci maddesindeki haklarını da açık, anlaşılır ve somut biçimde içermeli.
BT ekibinin burada üstlenebileceği iş, aydınlatma metnini yazan hukuk ve uyum ekibine teknik gerçekliği vermek: Hangi loglar tutuluyor, ne kadar süre saklanıyor, hangi sistemlerde içerik taraması yapılıyor, arşiv kimler tarafından görülebiliyor? Metin ile sistem birbirini tutmuyorsa asıl risk orada.
Madde 8’e göre açık rıza kural olarak öncelikli hukuki dayanak olmamalı. Bu yüzden kabul edilebilir kullanım politikasının sonuna eklenen bir imza satırına güvenmek yerine, işleme şartlarının (Kanun md. 5/2 ç, e ve f bentleri) somut durumda gerçekten oluşup oluşmadığına bakılmalı.
BT yöneticileri için kontrol listesi
| Sıra | Kontrol | Sorumlu | Öncelik |
|---|---|---|---|
| 1 | Exchange ve Microsoft 365 rol gruplarının (Discovery Management, eDiscovery Manager, Mailbox Import Export vb.) üyelerini çıkarın | BT, Bilgi Güvenliği | Yüksek |
| 2 | Full Access ve benzeri posta kutusu yetkilerini listeleyip gerekçelendirin | BT | Yüksek |
| 3 | Posta kutusu erişimleri için denetim kaydının açık olduğunu doğrulayın | BT, Bilgi Güvenliği | Yüksek |
| 4 | İçerik incelemesi için vaka bazlı, yazılı onay akışı tanımlayın | Hukuk, Uyum, BT | Yüksek |
| 5 | Log ve arşiv saklama sürelerini yazılı politikayla eşleyin | Uyum, BT | Orta |
| 6 | Aydınlatma metni ile gerçek teknik yapıyı karşılaştırın | Hukuk, BT | Orta |
| 7 | Ayrılan çalışan akışını (otomatik cevap, yönlendirme, muhafaza, imha) yeniden yazın | İK, BT | Yüksek |
| 8 | DLP ve güvenlik analizinde kademeli inceleme ve maskeleme uygulayın | Bilgi Güvenliği | Orta |
| 9 | Teams, ITSM ve CRM gibi diğer kanalları kapsama alın | BT, Uyum | Orta |
| 10 | Yöneticiler için gizlilik taahhüdü ve görev tanımı güncellemesi yapın | İK, BT | Orta |
Kapanış
Karardan benim çıkardığım temel ders şu: BT ekipleri artık teknik olarak yapabiliyorum ile yetinemeyecek. Bir erişimin gerekçesi, kapsamı, onayı ve kaydı olmalı. Bu aslında iyi işleyen kurumların zaten uyguladığı bir disiplin, karar bunu yazılı bir beklenti haline getiriyor.
Bir veriye erişebiliyor olmak, o veriye erişme hakkımız olduğu anlamına gelmiyor.
Kaynak: Kişisel Verileri Koruma Kurulunun 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı, 8 Ekim 2026 tarihli ve 33394 sayılı Resmi Gazete.
