Çalışanın şirket bilgisayarı ve WhatsApp yazışmalarını denetleme sınırları

Kısa cevap: Çalışanın şirket bilgisayarı ve WhatsApp yazışmalarını denetleme sınırları

Şirket bilgisayarı kullanılması, işverene çalışanın bütün özel yazışmalarını okuma yetkisi vermez. Denetimin meşru amacı, önceden yapılan bilgilendirme, gerekli kapsamı ve daha az müdahaleci bir yöntem bulunup bulunmadığı birlikte incelenir. Kurumsal hesap ile kişisel WhatsApp hesabı aynı şekilde değerlendirilemez.

Kapsamı ve benzer işlemlerden ayrımı

Önce denetlenen şeyi belirleyin: şirketin e-posta hesabı mı, kişisel WhatsApp mı, ağ trafik kaydı mı, çalışanın kendi cihazı mı? Çalışanın kendi cihazını iş için kullanması, cihazın bütün içeriğinin işverene açıldığı anlamına gelmez. Bir yazışmanın disiplin iddiasıyla ilgisi olması da elde edilme yöntemini kendiliğinden hukuka uygun yapmaz.

Çalışanın kurumsal e-postasını işveren inceleyebilir mi?

Kurumsal e-posta hesabının işverene ait olması veya işverenin hesaba teknik erişebilmesi, bütün yazışmaları serbestçe okuma yetkisi vermez. Kişisel Verileri Koruma Kurulunun 16 Eylül 2026 tarihli 2026/2035 sayılı ilke kararı, iş amaçlı ve özel amaçlı kullanım kurallarının açık ve çalışan tarafından bilinebilir olmasını; denetimin hukuki sebebinin, amacının, kapsamının, yönteminin, içerik erişimi koşullarının, saklama süresinin ve ilgili kişilerin 6698 sayılı Kanun m.11 kapsamındaki haklarının önceden somut biçimde açıklanmasını öngörür. Genel “kurumsal e-posta denetlenebilir” bildirimi tek başına yeterli sayılmaz. İş ilişkisindeki güç dengesi nedeniyle açık rıza da her durumda ilk ve yeterli dayanak olarak görülemez.

Denetim belirli, meşru amaçla bağlantılı ve ölçülü olmalıdır. Önce içerikleri okumadan trafik veya erişim kayıtları gibi daha az müdahaleci yolun yeterli olup olmadığı değerlendirilir. Yazışma içeriğine ise kural olarak somut şüphe veya belirli olayla bağlantılı meşru amaç varsa, yalnız gerekli hesap, dönem ve içerikle sınırlı erişilir; belirsiz, genel ve sürekli içerik taramasından kaçınılır. İncelenen ileti veya eklerinde sağlık ya da sendika üyeliği gibi özel nitelikli kişisel veriler ve yazışılan üçüncü kişilere ait veriler bulunabilir. Denetimin bu kişiler üzerindeki etkisi ayrıca değerlendirilmeli; özel nitelikli veriler için 6698 sayılı Kanun m.6'daki işleme şartları ve Kurulun belirlediği yeterli önlemler gözetilmelidir. KVKK özel nitelikli veriler açıklaması. Erişebilen personel sayısı görevle sınırlandırılır, erişim kaydı tutulur ve veri gerekli olandan uzun saklanmaz. İşten ayrılma, eski hesabın süresiz incelenmesine kendiliğinden izin vermez.

Kişisel e-posta veya mesajlaşma hesabının şirket cihazında açık olması da ayrı bir denetim yetkisi yaratmaz. Özel kullanım yasaklanmış olsa bile ölçülülük sınırı sürer; iş ve özel kullanımın ayrıştırılamadığı durumda inceleme daha dar tutulur. KVKK Kurulu 2026/2035 sayılı ilke kararı

Şartlar ve kontrol kriterleri

İşveren şu sorulara somut yanıt vermelidir: Hangi risk araştırılıyor? Çalışana denetimin kapsamı ve sonuçları önceden nasıl bildirildi? Mesaj içeriğine girmeden sonuç alınabilir mi? Hangi tarih, hesap ve kişilere erişim zorunlu? Kim okuyacak, ne kadar saklanacak? Genel politika veya alınmış bir imza bu gereklilik ve ölçülülük incelemesinin yerini tutmaz. Aydınlatma ile kişisel veri işleme dayanağı da ayrı konulardır.

Adım adım ne yapmalısınız?

Çalışansanız size verilen politika/aydınlatma metnini, cihaz zimmetini, denetim ve savunma istemini saklayın; hangi veriye ne zaman erişildiğini bildiğiniz ölçüde yazın. İşverenseniz amacı ve sınırları yazılı belirleyin, erişimi yetkili kişilerle ve gerekli kayıtla sınırlandırın, özel içerikleri gereksiz çoğaltmayın. Teknik kaydın varlığıyla hukuka uygun disiplin delili elde edildiğini eşitlemeyin.

Süreler ve kritik tarihler

KVKK kapsamındaki talep önce veri sorumlusuna yöneltilir; cevap en geç 30 gün içinde verilmelidir. Talep reddedilir, cevap yetersiz kalır veya süresinde cevap verilmezse Kurula şikâyet süresi; cevabın öğrenilmesinden itibaren 30 gün ve her hâlde ilk başvurudan itibaren 60 gündür. Cevap yoksa 30 günlük cevap süresi beklenir; geç cevap 60 günlük üst sınırı uzatmaz.

İşten çıkarılma da varsa KVKK başvurusu işe iade süresinin yerine geçmez. İşe iade koşulları bulunan işçi, fesih bildiriminin tebliğinden itibaren bir ay içinde arabulucuya; anlaşma yoksa son tutanak tarihinden itibaren iki hafta içinde iş mahkemesine başvurur.

Somut senaryo ile düşünün

Çalışan şirket bilgisayarında kişisel WhatsApp hesabını açık bırakmış olsun. Bu durum bütün konuşmaları kopyalama için genel izin değildir. AYM’nin Samet Ayyıldız kararını da değerlendiren resmî rehberi, kişisel haberleşme denetiminde önceden bilgilendirme ve ölçülülük güvencelerine işaret eder. İşle ilgili belirli bir iddia varsa gerekli kayıt ve daha sınırlı inceleme yolu ayrıca gösterilmelidir.

Hangi belgeleri hazırlamalısınız?

İş sözleşmesi; politika ve aydınlatma metinlerinin size bildirilen sürümü; cihaz/hesap zimmeti; denetim yetkisi ve erişim kayıtları; savunma istemi ve cevabı; fesih bildirimi; veri sorumlusuna başvuru ile cevap/tebliğ kayıtlarını hazırlayın. Üçüncü kişilerin özel mesajlarını gereksiz yere çoğaltmayın.

En sık yapılan hatalar

“Şirketin cihazı, her şey okunabilir” veya “çalışan imzaladı, başka koşul aranmaz” varsayımını kullanmayın. Bütün kişisel hesabı kopyalayıp sonra ilgili mesajı aramak yerine, işlemin gerekliliği ve sınırları baştan belirlenmelidir. Veri şikâyetiyle iş hukuku başvuru sürelerini birbirine karıştırmayın.

Sonraki adım ve sorumluluk reddi

Dosyanızı kısa olay özeti, tarih çizelgesi ve belge listesiyle hazırlayın. Somut olayın değerlendirilmesi için ofis iletişim bilgilerini kullanabilirsiniz.

Bu içerik genel bilgilendirme amacıyla hazırlanmıştır; hukuki görüş, dava sonucu veya başarı garantisi değildir. Her olayın tarafları, belgeleri, süreleri ve güncel mevzuatı farklı olabilir. İşlem yapmadan önce yetkin bir avukattan somut dosya incelemesi almanız önerilir.