Sabah bilgisayarını açan bir çalışan, kurumsal e-posta hesabına girerken yalnızca işyerinin iletişim sistemine bağlanmaz. Aynı zamanda müşterilerle, çalışma arkadaşlarıyla ve yöneticileriyle kurduğu ilişkilerin kayıtlarını da açar. O hesabın içinde işin akışı kadar çalışanın gündelik hayatından izler de bulunabilir. Dolayısıyla bir e-posta kutusunu denetlemek, bir teknik sistemi kontrol etmenin ötesinde, insanın iletişim alanına müdahale etmektir. Kişisel Verileri Koruma Kurulunun 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete'de yayımlanan, 16 Eylül 2026 tarihli ve 2026/2035 sayılı İlke Kararı, çalışma hayatının tam da bu hassas sınırına dikkat çekiyor. Kurumsal e-posta hesapları ve işin yürütülmesinde kullanılan diğer iletişim kanallarının denetlenmesine ilişkin kararın merkezinde, işverenin yönetim hakkı ile çalışanın temel hakları arasında kurulması gereken denge bulunuyor.

İşverenin bilgi güvenliğini sağlaması, ticari sırlarını koruması ve işin düzenli yürütülmesini gözetmesi elbette anlaşılabilir ihtiyaçlardır. Ancak bu ihtiyaçlar, kullanılan her denetim yöntemini kendiliğinden haklı kılmaz. Bir hesabın kurumsal olması, içindeki bütün iletişimin sınırsız biçimde incelenebileceği anlamına gelmez.

Özel kullanım kuralları

Çalışma hayatında sık karşılaşılan bir yaklaşım vardır: Bilgisayar işyerine aitse, e-posta adresi şirketin uzantısını taşıyorsa ve iletişim iş saatlerinde gerçekleşiyorsa işverenin her şeye erişebileceği düşünülür. Oysa mülkiyet ile mahremiyet aynı soruya cevap vermez. Cihazın kime ait olduğu, çalışanın haklarının nerede başlayıp nerede bittiğini tek başına belirleyemez. İşverenin bir yazışmaya teknik olarak ulaşabilmesi de o yazışmayı incelemek için yeterli hukuki gerekçe değildir.

Kurulun kararı bu ayrımı somutlaştırıyor: Özel kullanım kuralları açık olmalı; teknik erişim imkânı kişisel hesaplara serbest erişim sayılmamalı; içerik incelemesi kural olarak somut şüphe veya belirli bir olayla bağlantılı meşru amaçla sınırlandırılmalıdır. Genel ve sürekli içerik incelemelerinden kaçınılması da özellikle vurgulanıyor. Bu yaklaşım, işyerlerinde denetimin gerekçesini daha dikkatli düşünmeyi gerektiriyor. Hangi sorun araştırılıyor Hangi verilere gerçekten ihtiyaç var Aynı sonuca daha az müdahaleci bir yöntemle ulaşılabilir mi Denetimin nerede sona ereceği belli mi Bu soruların cevabı verilmeden açılan her e-posta kutusu, kurum açısından yeni bir hukuki ve yönetsel sorun doğurabilir.

İmza yeterli değil

İnsan kaynakları uygulamalarında çalışanlara çok sayıda belge imzalatılır. İş sözleşmesi, iç yönetmelik, bilgi güvenliği taahhüdü, aydınlatma metni... Ancak bir belgenin imzalanmış olması ile içeriğinin çalışan tarafından anlaşılması arasında önemli bir mesafe bulunabilir. "Kurumsal hesaplar denetlenebilir" şeklindeki genel bir ifade, çalışana gerçekte ne anlatmaktadır Yazışmaların tamamının okunabileceğini mi Yalnızca güvenlik kayıtlarının inceleneceğini mi Kimlerin erişeceğini, kayıtların ne kadar saklanacağını veya disiplin sürecinde kullanılabileceğini mi Çalışan bu soruların cevaplarını bilmiyorsa, bilgilendirme sürecinin niteliği yeniden ele alınmalıdır.

Benzer biçimde, iş ilişkisi içinde alınan açık rıza da otomatik bir güvence olarak görülmemelidir. İşini kaybetme veya yöneticisiyle sorun yaşama kaygısı taşıyan bir kişinin verdiği onayın ne ölçüde özgür olduğu dikkatle değerlendirilmelidir. Kurumsal uyum, çalışandan mümkün olduğunca geniş bir izin almak üzerine kurulamaz.