2026/2035 sayılı ilke kararı nedir?
Kişisel Verileri Koruma Kurulu, 16.09.2026 tarihli ve 2026/2035 sayılı ilke kararıyla (Resmî Gazete 08.10.2026, Sayı 33394), işverenler tarafından çalışanlara tahsis edilen kurumsal e-posta hesapları başta olmak üzere işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetlenmesinde uyulması gereken usul ve esasları belirledi. Kurum içi mesajlaşma uygulamaları ve dosya alanları da somut olayın özelliklerine göre kapsamdadır. Çalışanların e-postaları, dosyaları ve sohbetleri üzerinde yapılan her tarama bu kararın kapsamında bir denetim faaliyetidir.
Kararın tam metni Kurum’un sitesinde: İlke Kararı 2026/2035 (kvkk.gov.tr).
Bu sayfa hukuki tavsiye değildir. Kararın kurumunuza nasıl uygulanacağını kendi hukuk danışmanınızla değerlendirin; Compliance Agent bu değerlendirmenin yerine geçmez, kurum politikalarınıza uyumu doğrulamanıza yardımcı olur.
Kararın ilkeleri neler?
Karar altı ana fikre dayanır; aşağıda her biri kısaca, ardından Compliance Agent’ın o ilkeyi nasıl desteklediği anlatılıyor:
- Çalışan önceden ve somut biçimde aydınlatılır.
- İş ve özel kullanım birbirinden ayrılır.
- Kademelilik esastır; içerik son çaredir.
- Erişim sınırlıdır ve kayda geçer.
- Gizli inceleme yoktur.
- İş ilişkisi sona erince hesap kapatılır, veriler sınırlı tutulur.
1. Aydınlatma: çalışana önceden ne söylenmeli?
Karar ne diyor? Çalışanlar denetimden önce açık, anlaşılır ve somut biçimde aydınlatılmalıdır: denetimin hukuki dayanağı ve amacı, kapsamı (trafik verisi mi, içerik denetimi mi), içeriğe hangi hallerde erişileceği, yöntemi, saklama süresi, sonuçları, verileri kimlerin göreceği ve ilgili kişinin hakları. Genel bir bildirim ya da imzalatılan genel bir taahhütname yeterli değildir. Karar ayrıca, işveren ile çalışan arasındaki güç dengesizliği nedeniyle çalışanın açık rızasının bu tür denetimlerde kural olarak öncelikli hukuki dayanak alınmamasını öngörür.
Compliance Agent nasıl destekler? Çalışan izin vermeden tarama yapılamaz. Her çalışan, kurumunuzun gönderdiği kişisel bağlantıdan izin verir; kimin izin verdiği ve kimin beklemede olduğu üründe görülür. Bu izin, aydınlatmanın yerine geçmez ve bir hukuki dayanak değildir: aydınlatma metninizi ve izin mekanizmasını kurumunuza özel olarak hazırlar, hangi hukuki sebebe dayanacağınızı hukuk danışmanınızla belirlersiniz.
2. İş ve özel kullanım nasıl ayrılır?
Karar ne diyor? Kurumsal iletişim araçlarının özel amaçla kullanılıp kullanılamayacağı ve koşulları önceden, şeffaf biçimde belirlenip çalışanlara duyurulmalıdır. Denetim iş amaçlı iletişimle sınırlı tutulur; iş ve özel iletişim ayırt edilemiyorsa denetim daha dar yorumlanır.
Compliance Agent nasıl destekler? Kapsamı siz belirlersiniz: kullanıcı grubu seçimi, tarih aralığı ve kural seçimi. Ürün bir posta kutusunun içinde iş ve özel yazışmayı ayıramaz; bu ayrımı politikanızla ve kapsam seçimiyle siz yaparsınız. Ayrım yapılamıyorsa kapsamı daha dar tutun.
3. Kademelilik: içerik neden son çare?
Karar ne diyor? Denetimde kademelilik esastır. İçeriğe erişim, trafik verisi incelemesinin yetmediği istisnai hallerde gündeme gelir; somut şüphe olan hallerde ve iddiayla sınırlı yapılır. Kapsamı belirsiz, genel ve süreklilik arz eden içerik incelemesinden kaçınılır. Önleyici teknik tedbirler (filtreleme, engelleme) mümkünse öncelikli tutulur.
Compliance Agent nasıl destekler? Ürünün kuralları içeriği okuyarak çalışır; bu nedenle içerik taramasının gerekli ve ölçülü olup olmadığı kurumunuzun değerlendirmesidir. Ürün, kapsamı daraltan araçlar sunar: hiçbir öğeye dokunmayan Safe Scan, kuralı taramadan önce örnek metinde deneme (Test rules), kullanıcı grubu ve tarih aralığı seçimi, içeriği tam görmek için süre, gerekçe ve talep numarası isteyen Reveal. Tarama hiçbir zaman gizli ya da habersiz yapılmaz, ara vermeden çalıştırılmaz ve her mesajı geldiği anda işlemez. Önleyici teknik tedbirler önceliklidir; Compliance Agent bunların yerine geçmez.
4. Kimler sonuçlara erişebilir, kayıt nasıl tutulur?
Karar ne diyor? Verilere erişim, görev tanımına bağlı ve sınırlı sayıda yetkili personelle sınırlı olmalı; erişim kayıtları tutulmalı; bu personel gizlilik yükümlülüğü altında olmalı; elde edilen veriler yalnızca amacın gerektirdiği süre saklanmalıdır.
Compliance Agent nasıl destekler? Üç rol: Admin, Security Manager ve Reporter; roller Microsoft Entra uygulama rolleridir ve sonuçlara erişimi gerekli en az kişiyle sınırlamanızı öneririz. Sonuçlarda eşleşen kural görünür; içeriği tam görmek için Reveal ile süre, gerekçe ve talep numarası girilir ve her görüntüleme işlem kaydına yazılır. Her yönetimsel işlem kayda geçer; Verify integrity, hiçbir kaydın değiştirilmediğini veya eksilmediğini kontrol eder. Sonuçlar, günlükler, işlem kaydı ve aksiyon öncesinde alınan OneDrive kopyaları kendi Azure depolama alanınızda durur; saklama süresini kurumunuzun politikasına göre siz yönetirsiniz.
5. Gizli inceleme neden hukuka aykırı sayılır?
Karar ne diyor? Gizli inceleme ve tüm işlemleri ayrım gözetmeksizin kaydeden araçlar hukuka aykırıdır.
Compliance Agent nasıl destekler? Çalışan izni olmadan tarama yapmaz; izin kişisel bağlantıyla verilir, çalışan tarafından kaldırılabilir ve kaldırılması da işlem kaydına geçer. Taramalar, çalışanlara yönelik aydınlatmanızda belirtilen ve önceden duyurulan dönemlerde, sizin başlattığınız çalıştırmalardır. Ürün belirli bir çalışanı incelemek için tasarlanmadı.
6. İş ilişkisi sona erince ne olur?
Karar ne diyor? İş ilişkisi bitince hesap kapatılır; yönlendirme ve arşivleme sınırlı ve gerekçeli tutulur; saklanması zorunlu veriler erişime kapalı tutulur.
Compliance Agent nasıl destekler? Ayrılan çalışanın verileri üzerinde kurumun politikasına göre alacağı aksiyon kurumun kararıdır; ürün bu kararı otomatik vermez ve her adımı kayda geçirir.
Üçüncü kişiler ve hassas veriler
E-posta ve sohbetlerde yazışmanın diğer tarafına, örneğin kurum dışından gönderenlere ait kişisel veriler de bulunur; çalışan izni bu kişileri kapsamaz. Ekler ve mesaj gövdelerinde hassas kişisel veri bulunabilir. Karar, incelenmesi zorunlu olmayan verilerin kapsam dışında bırakılmasını öngörür; kapsamı kullanıcı grubu, tarih aralığı ve kural seçimiyle daraltın ve bu riski aydınlatma metninizde ele alın.
Sık sorulan soru: Compliance Agent kararı uygulamaya yeter mi?
Hayır. Kararın kurumunuza nasıl uygulanacağı, hangi hukuki sebebe dayanacağınız ve aydınlatma metniniz kurumunuzun ve hukuk danışmanınızın işidir. Compliance Agent, kapsamı daraltan, erişimi sınırlayan ve her adımı kayda geçiren araçlarıyla kurum politikalarınıza uyumu doğrulamanıza yardımcı olur. Kararı kurum verir.
Demo isteyin · KVKK sayfası · Nasıl çalışır · Güvenlik ve veri · SSS