Kurumsal İletişimlerin Denetlenmesinde Yeni Karar: Dijital Veri İncelemeleri ve Kurumsal Soruşturmalar Açısından Ne Anlama Geliyor? 

8 Ekim 2026 tarihinde onaylanmış Kişisel Verileri Koruma Kurulunun 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı, çalışanların çalışanlarına tahsis ettiği kurumsal e-posta hesapları ve işlemlerinin yapılması amacıyla kullanılan diğer iletişim kanallarını denetlerken uymadığı temel kuralların ortaya çıkarılması.  

Karar, özellikle iç soruşturmalar ve dijital veri analizleri açısından önem taşıyor. Zira bu tür tescilli kurumsal e-postalar, elektronik belgeler, iletişim kayıtları ve sistem günlükleri çoğu zaman soruşturmanın ve kritik delil kaynaklarıdır. 

Kurulun incelemeleri sonuca ulaşan aşağıdaki tespit, kararın çıkış aralığı ve uygulamadaki temel sorun açıkça ortaya çıkıyor:  

Kurul tarafından yapılan incelemelerde; çalışanlarına dağıtılan iletişim kanallarının ve kurumsal e-posta hesaplarının izlendiği, bu kanal yer alan yazışmalarının içeriklendiği, iletişim faaliyetlerine ilişkin trafik ve log kayıtlarının incelendiği, üretken veya rutin “denetim programlarının gerçekleştirildiği ve elde edilen verili disiplinlerde veya iş dünyasının sona erdirilmesine yönelik faaliyetlerde, ancak özellikle veri işleme faaliyetleri hakkında, açık ve bir şekilde bilgilendirilmediği.”   

Bu tespit, çalışanların dijital veri incelemelerinde karşı karşıya kalabileceği önemli bir riske işaret ediyor: İnceleme faaliyetinin meşru bir amaca dayanması tek başına hukuka uygun olduğu anlamına gelmiyor. Özellikle bir suistimal iddiasının oluştuğu sırada elde edilen dijital veri disiplininde, iş dünyasının feshi kararlarında veya hukuki bölümlerde kullanılabildiği gözleniyor, verinin hangi durumda olduğu ve hangi incelendiği büyük önem taşınıyor. 

İlk Karar kapsamında dikkat edilmesi gereken en kapsamlı konular nelerdir? 

Kurulun ortaya koyduğu ilkeler, işverenlerin yalnızca mevcut politikalarını değil, dijital inceleme ve iç soruşturma süreçlerini de gözden geçirmelerini içermektedir.  

1. İş amaçlı ve özel amaçlı kullanım düzeni : İşveren tarafından iklimlendirilen iletişim araçlarının kullanım amacı ve kullanımla ilgili kurallar açıkça belirtilmeli. İş amaçlı kullanım ile özel amaçlı kullanımlar arasında ayrımcılık yapılmalı ve denetimin kapsamı bu ayrım gözetilerek değerlendirilmeli. Kurumsal bir iletişim aracının işverene ait olması, bu araç üzerinde sınırsız denetim yetkisi sağlamaz.

2. Tanıtım bilgilendirme, aydınlatma ve denetimin kapsamı : Çalışanlar, kurumsal iletişim araçlarının hangi faaliyetleriyle, hangi satışa sunulacağı ve hangisinin denetlenebileceği konusunda önceden, açık ve somut bir şekilde bilgilendirilmelidir. Bu imkan, kişisel verilerin işlenme amacı ve hukuki dayanağı, hangi iletişim içeriklerine erişilebileceği, saklama saklama koşulları ve haklar hakları açıkça ortaya konulmaktadır. Yalnızca “kurumsal e-posta hesapları işveren tarafından denetlenebilir” şeklindeki genel bir bilgilendirme, aydınlatma yükümlülüğünün yerine getirildiğine dair bildirim gelmeyebilir.

3. Teknik erişim yetkisi ile hukuki erişim yetkisinin ayrılması : Dijital veri incelemelerinde en kritik parçaların biri, teknik olarak erişilebilir ile hukuken incelenmesine izin verilen verilerin arasındaki ayrımlardır. Bir bilgisayar, mobil cihaz veya kurumsal sistem işverene ait olup, bu kaynaklarda bulunan tüm koşullar olmadan erişim hakkı vermez. Dolayısıyla dijital veri incelemelerinde teknik kapasitenin yanında özgürlüğün hukuki dayanağı da değerlendirilmelidir.

4. Kademeli denetim ve içerik incelemesi : Kurul, denetim raporlarında daha az müdahaleci değişikliklerin parlaklık görünümünü vurguluyor. Örneğin, bir suistimal iddiasının belirli sistem logları, işlem kayıtları veya e-posta trafik bilgileri üzerinden sağlanabilmesi mümkünse doğrudan yazışma içeriklerinin tamamına erişilmesi gerekli olmayabilir. İletişim içeriklerinin incelenmesi ise kural olarak somut bir şüpheye veya belirli bir olayla ilgili meşru bir amaca dayanmalı ve incelemenin kapsamı bu şekilde sınırlandırılmalıdır.

5. Özel kayıtların kişisel verileri ve üçüncü kişilere ait bilgiler : Kurumsal yazışmalar, kişilerin yanı sıra, sürekli olarak ve diğer üçüncü kişilere ait kişisel veriler kaydedilir. Ayrıca incelenen içeriklerde özel kapsamlı kişisel veriler bulunabilir. Bu nedenle inceleme sırasında yalnızca soruşturmanın konusu olan çalışanların değil, veri inceleme kapsamına giren diğer kişilerin hakları da gözetilmelidir.

Kurumsal soruşturmalar açısından nasıl bir yaklaşım benimsenmeli? 

İç soruşturmaların geçerliliği, erişilen veri miktarıyla değil, doğru kayıtlı hukuka uygun, sistemli ve güvenilir bir şekilde incelenmesiyle ölçülmelidir. Bu nedenle dijital veri incelemesine başlanmadan önce araştırılacak iddiaların, incelemenin amacının, ilgili veri kişilerin, kişilerin ve dönemlerin mümkün olduğunca netleştirilmesi gerekir. 

İnceleme sırasında kullanılacak anahtar kelimeler, veri kriterleri, erişim yetkileri ve içerik incelemesine geçişin koşulları da ayrıntılı olarak değerlendirilmelidir. Ayrıca dijital delillerin bütünlüğünün korunması, büyümenin kayıt edilmesi ve inceleme sürecinin izlenebilir olması, elde edilen başarının güvenilirliği açısından kritik öneme sahiptir. 

Bu kapsamlı, hem gereksiz kişisel verilerin toplanması hem de soruşturmanın daha odaklı, etkin ve savunulabilir bir teknolojiyle saklanmasına katkı sağlar. 

İnceleme sırasında kullanılacak anahtar kelimeler, veri kriterleri, erişim yetkileri ve içerik incelemesine geçişin koşulları da ayrıntılı olarak değerlendirilmelidir. Ayrıca dijital delillerin bütünlüğünün korunması, büyümenin kayıt edilmesi ve inceleme sürecinin izlenebilir olması, elde edilen başarının güvenilirliği açısından kritik öneme sahiptir. 

Bu kapsamlı, hem gereksiz kişisel verilerin toplanması hem de soruşturmanın daha odaklı, etkin ve savunulabilir bir teknolojiyle saklanmasına katkı sağlar. 

Yükümlülüklere uyulmaması halinde ne olacak? 

Kurul, İlke Kararı’nın sonundaki aktarımlara uyulmamasının da açıkça dikkat çekiyor: 

“Bu finansman, söz konusu açıklamalara uyulmadığının belirtilmesi halinde, finansal bulguların belirtilmemesi durumunda gerekli inceleme ve değerlendirmelerin tedavisi ve Kanun’un 18’inci maddesinin hükümlerine uygun olarak ilgili veri sorumluları hakkında işlem tesislerinin halka açık olarak bilgilendirilmesine ve bunlarla ilgili Kişisel Verileri Koruma Kurulu tarafından İlke Kararı alınmasına karar verilmiştir.”

Bu, söz konusu politikaların yalnızca iyi uygulama önerilerinden ibaret olmaması, beyanlara aykırılıkların tespit edilmesi ve sorumluların bölgesel idari politikalarının büyümelerinin ortaya çıkabileceği ortaya çıkabilir. Bu nedenle yalnızca kurumsal e-posta ve iletişim araçlarına ilişkin politikalarını oluşturması değil, bu politikaların fiili denetim ve soruşturmalarının genişletilmesinde nasıl başlangıçlarını da değerlendirmeleri gerekiyor. 

Bir tamamlayıcı soruşturmada amaç, erişilebilir tüm verilerin toplanması değil; iddiaları aydınlatma için gerekli ve ilgili olarak dağıtılmış, doğru sonuca ulaşmaktır. 

Dijital veriler, olayların aydınlatılması ve somut sorunların ortaya çıkarılması açısından vazgeçilmez kaynaklar arasında yer alıyor. Ancak dijital delillere erişim izinlerinin verileri, bu verilerin hangi verilerinin içinde incelenebileceği depolama da giderek daha önemli hale getiriyor. 

Yeni İlke Kararı, dijital inceleme süreçlerini yalnızca teknik yeterlilik açısından değil; hukuki dayanak, veri minimizasyonu, ölçülülük, erişim yetkilendirmesi ve delil yönetimi bakış açısı değerlendirmeleri süreci bir kez daha ortaya çıkıyor. 

Bu nedenle hukuka uygunluk, dijital incelemenin başlamasından sonra kontrolün yapılması gereken bir emin değil, soruşturmanın planlama aşamasının polimerin parçalarının bir parçası olması gerekir.