Resmî Gazete 8 Ekim 2026: KVKK'dan kurumsal e-posta denetimine sınır

8 Ekim 2026 PERŞEMBE Resmî Gazete Sayı : 33394 YÖNETMELİK Ticaret Bakanlığından: TÜRKİYE ÜRÜN İHTİSAS BORSASINDA ARACILIK FAALİYETLERİ İLE ARACILARIN GÖZETİMİ VE DENETİMİ HAKKINDA YÖNETMELİKTE DEĞİŞİKLİK YAPILMASINA DAİR YÖNETMELİK MADDE 1- 20/4/2019 tarihli ve 30751 sayılı Resmî Gazete’de yayımlanan Türkiye Ürün İhtisas Borsasında Aracılık Faaliyetleri ile Aracıların Gözetimi ve Denetimi Hakkında Yönetmeliğin 4 üncü maddesinin birinci fıkrasının (c) ve (i) bentleri aşağıdaki şekilde değiştirilmiştir. “c) Borsa: Ürünlerin, elektronik ürün senetleri ile vadeli işlem sözleşmelerinin işlem gördüğü Türkiye Ürün İhtisas Borsasını,” “i) Vadeli işlem sözleşmesi: Ürünü, ilgili mevzuata uygun olarak ürünü temsilen çıkarılan elektronik ürün senedini, elektronik ürün senedi işlemlerine dayalı olarak Borsa tarafından düzenli olarak hesaplanan endeks ve benzeri dayanak varlıkları, belirli bir vadede, önceden belirlenen fiyat, miktar ve nitelikte alma veya satma yükümlülüğü veren sözleşmeyi,” MADDE 2- Aynı Yönetmeliğin 12 nci maddesinin birinci fıkrasına aşağıdaki cümle eklenmiştir. “Aracılar Borsada ELÜS’e dayalı vadeli işlem sözleşmelerine ilişkin kendi nam ve hesabına işlem gerçekleştirebilir.” MADDE 3- Aynı Yönetmeliğin 15 inci maddesinin dokuzuncu fıkrası aşağıdaki şekilde değiştirilmiştir. “(9) Aracılar, ELÜS’leri kendi nam ve hesaplarına alıp satamaz. Aracıların müşteri işlemlerini gerçekleştirme faaliyetleri sırasında hatalı emir iletimi neticesinde oluşabilecek hatalı işlemlerin düzeltilmesi, Borsa düzenlemeleri uyarınca vadeli işlem sözleşmelerinin uzlaşma şekline bağlı olarak aracılara teslim edilen ELÜS’lerin ve Borsa tarafından işlemlere konu edilebilen ELÜS asgari miktarının altında ürünü bulunan müşterilerin talepleri doğrultusunda söz konusu ELÜS’lerin, aracılar tarafından alınıp satılması işlemleri bu kapsamda değildir.” MADDE 4- Aynı Yönetmeliğin 19 uncu maddesinin birinci fıkrasında yer alan “31/12/2026” ibaresi “31/12/2028” şeklinde değiştirilmiş, aynı fıkraya aşağıdaki cümleler ve aynı maddeye aşağıdaki fıkra eklenmiştir. “Aracı olarak yetkilendirilen aracı kuruluşlar, Borsaya üye olmadan Borsada aracılık faaliyetlerine başlayamaz. Borsa üyelik şartları, başvuru usulü ve izni ile Borsa üyelerinin faaliyetleri süresince uymaları gereken ilke ve esaslar Borsa yönergeleri ile düzenlenir.” “(5) Bu Yönetmeliğin İkinci Bölümünde yer alan hükümler bu madde kapsamında Bakanlık tarafından aracı olarak yetkilendirilen aracı kuruluşlar hakkında uygulanmaz. Aracı kuruluşların tabi oldukları ilgili mevzuat hükümleri saklıdır.” MADDE 5- Ticaret Bakanlığı ile Sermaye Piyasası Kurulunca birlikte hazırlanan bu Yönetmelik yayımı tarihinde yürürlüğe girer. MADDE 6- Bu Yönetmelik hükümlerini Ticaret Bakanı yürütür.

8 Ekim 2026 PERŞEMBE Resmî Gazete Sayı : 33394 YÖNETMELİK Ticaret Bakanlığından: ÜRÜN İHTİSAS BORSASININ KURULUŞ, FAALİYET, İŞLEYİŞ VE DENETİM USUL VE ESASLARI HAKKINDA YÖNETMELİKTE DEĞİŞİKLİK YAPILMASINA DAİR YÖNETMELİK MADDE 1- 10/8/2017 tarihli ve 30150 sayılı Resmî Gazete’de yayımlanan Ürün İhtisas Borsasının Kuruluş, Faaliyet, İşleyiş ve Denetim Usul ve Esasları Hakkında Yönetmeliğin 1 inci maddesinin birinci fıkrasında yer alan “elektronik ürün senetleri ile elektronik ürün senetlerine dayalı vadeli işlem sözleşmelerinin” ibaresi “ürünlerin, elektronik ürün senetlerinin, vadeli işlem sözleşmeleri ile Bakanlık tarafından uygun görülen diğer sözleşmelerin” şeklinde değiştirilmiştir. MADDE 2- Aynı Yönetmeliğin 4 üncü maddesinin birinci fıkrasının (b) ve (i) bentleri aşağıdaki şekilde değiştirilmiştir. “b) Borsa: Ürünlerin, elektronik ürün senetleri ile vadeli işlem sözleşmelerinin işlem gördüğü Ürün İhtisas Borsasını,” “i) Vadeli işlem sözleşmesi: Ürünü, ilgili mevzuata uygun olarak ürünü temsilen çıkarılan elektronik ürün senedini, elektronik ürün senedi işlemlerine dayalı olarak Borsa tarafından düzenli olarak hesaplanan endeks ve benzeri dayanak varlıkları, belirli bir vadede, önceden belirlenen fiyat, miktar ve nitelikte alma veya satma yükümlülüğü veren sözleşmeyi,” MADDE 3- Aynı Yönetmeliğin 23 üncü maddesinin birinci fıkrası ile dördüncü fıkrasının birinci cümlesi aşağıdaki şekilde değiştirilmiştir. “(1) Ödeme ve teslimat sürecinin tamamlanması, temerrüt hali ve giderilmesine ilişkin esaslar Borsa yönergeleri ile düzenlenir. Elektronik ürün senedi işlemlerinde alıcı taraf nakdi ödemekle, satıcı taraf elektronik ürün senedini teslimle yükümlüdür. Vadeli işlem sözleşmelerinde taraflar, Borsa yönergelerinde yer alan uzlaşma şekli ile de yükümlülüklerini yerine getirebilir. Elektronik ürün senedinde ve vadeli işlem sözleşmelerinde gerçekleşen işlemlerle ilgili olarak ortaya çıkan yükümlülüklerin Borsa tarafından belirlenen süre ve yöntemlerle Borsa üyeleri veya Borsa üyelerinin takas ve saklama hizmeti aldığı kuruluşlar tarafından yerine getirilmesi suretiyle taraflar arasında nakit ve/veya varlıkların transferi sağlanır. Borsa, üyelerinin veya Borsa üyelerinin takas ve saklama hizmeti aldığı kuruluşların müşterilerine karşı olan yükümlülüklerinden ve yükümlülüklerini ihlal etmelerinden doğan zararlardan sorumlu değildir. Elektronik ürün senedine dayalı olmayan ürün işlemlerinde, ürünlerin özelliklerine göre alım satım usul ve esasları ile ödeme ve teslimat sürecinin tamamlanması, temerrüt hali ve giderilmesine ilişkin esaslar Borsa yönergeleri ile düzenlenir.” “Borsada gerçekleştirilen işlemlerde devir ile bedelin ödenmesi, alıcı ve satıcının diğer yükümlülüklerinin süresinde yerine getirilmesi veya temerrüt nedeniyle oluşacak zararın tazmini amaçlarıyla Borsa veya Borsaca takas merkezi olarak yetkilendirilen kuruluş tarafından, Borsa üyelerine, Borsa üyelerinin takas ve saklama hizmeti aldığı kuruluşlara veya alım satımda bulunanlara Bakanlıkça uygun görülen Türk Lirası, Türkiye Cumhuriyet Merkez Bankası tarafından serbestçe alım satımı yapılan yabancı para, Devlet iç borçlanma senedi, elektronik ürün senedi veya banka teminat mektubu şeklindeki teminatların yatırılması veya bulundurulması zorunluluğu getirilebilir.” MADDE 4- Bu Yönetmelik yayımı tarihinde yürürlüğe girer. MADDE 5- Bu Yönetmelik hükümlerini Ticaret Bakanı yürütür.

8 Ekim 2026 PERŞEMBE Resmî Gazete Sayı : 33394 YÖNETMELİK Hazine ve Maliye Bakanlığı, İçişleri Bakanlığı, Ticaret Bakanlığı ile Ulaştırma ve Altyapı Bakanlığından: YABANCI PLAKALI TAŞITLARIN FAALİYETLERİNE DAİR 4925 SAYILI KANUN İLE 655 SAYILI KANUN HÜKMÜNDE KARARNAME KAPSAMINDA VERİLEN İDARİ PARA CEZALARININ TAHSİLİNE İLİŞKİN YÖNETMELİKTE DEĞİŞİKLİK YAPILMASINA DAİR YÖNETMELİK MADDE 1- 8/10/2025 tarihli ve 33041 sayılı Resmî Gazete’de yayımlanan Yabancı Plakalı Taşıtların Faaliyetlerine Dair 4925 Sayılı Kanun ile 655 Sayılı Kanun Hükmünde Kararname Kapsamında Verilen İdari Para Cezalarının Tahsiline İlişkin Yönetmeliğin 2 nci maddesinin birinci fıkrasında yer alan “28 inci maddesinin ikinci fıkrasına” ibaresi “28 inci ve 28/A maddelerine” şeklinde değiştirilmiştir. MADDE 2- Bu Yönetmelik yayımı tarihinde yürürlüğe girer. MADDE 3- Bu Yönetmelik hükümlerini Hazine ve Maliye Bakanı, İçişleri Bakanı, Ticaret Bakanı ile Ulaştırma ve Altyapı Bakanı birlikte yürütür.

8 Ekim 2026 PERŞEMBE Resmî Gazete Sayı : 33394 YÖNETMELİK Ulaştırma ve Altyapı Bakanlığından: DEMİRYOLU ARAÇLARI TİP ONAY YÖNETMELİĞİNDE DEĞİŞİKLİK YAPILMASINA DAİR YÖNETMELİK MADDE 1- 18/11/2015 tarihli ve 29536 sayılı Resmî Gazete’de yayımlanan Demiryolu Araçları Tip Onay Yönetmeliğinin 2 nci maddesi aşağıdaki şekilde değiştirilmiştir. “MADDE 2- (1) Bu Yönetmelik, 1 sayılı Cumhurbaşkanlığı Teşkilatı Hakkında Cumhurbaşkanlığı Kararnamesinin 477 nci maddesinin birinci fıkrasının (f) bendi, 26/9/2011 tarihli ve 655 sayılı Ulaştırma ve Altyapı Alanına İlişkin Bazı Düzenlemeler Hakkında Kanun Hükmünde Kararnameye, 24/4/2013 tarihli ve 6461 sayılı Türkiye Demiryolu Ulaştırmasının Serbestleştirilmesi Hakkında Kanun ve 6/10/2005 tarihli ve 5408 sayılı Kanunla onaylanması uygun bulunan 9/5/1980 tarihli Uluslararası Demiryolu Taşımalarına İlişkin Sözleşme (COTIF)’ye dayanılarak hazırlanmıştır.” MADDE 2- Aynı Yönetmeliğin 12 nci maddesinin beşinci fıkrası aşağıdaki şekilde değiştirilmiştir. “(5) Tip onay belgesinin askıya alınmasının kesinleşmesi ile birlikte, 655 sayılı Kanun Hükmünde Kararnamenin 28/A maddesinin birinci fıkrasının (ğ) bendi çerçevesinde Ulaştırma Hizmetleri Düzenleme Genel Müdürü veya yetkilendirdiği personel tarafından tip onay belgesi sahibine 1.804.582 (bir milyon sekiz yüz dört bin beş yüz seksen iki) Türk lirası, tip onay belgesini onaylayan uygunluk değerlendirme kuruluşuna 902.283 (dokuz yüz iki bin iki yüz seksen üç) Türk lirası idari para cezası karar tutanağı düzenlenir.” MADDE 3- Bu Yönetmelik yayımı tarihinde yürürlüğe girer. MADDE 4- Bu Yönetmelik hükümlerini Ulaştırma ve Altyapı Bakanı yürütür.

--- Sayfa 1 --- 8 Ekim 2026 PERŞEMBE Resmî Gazete Sayı : 33394 KURUL KARARI Kişisel Verileri Koruma Kurumundan: İşverenler Tarafından Çalışanlara Tahsis Edilen Kurumsal E-Posta Hesapları Başta Olmak Üzere, İşin Yürütülmesi Amacıyla Kullanılan İletişim Kanallarının Denetlenmesi Suretiyle Gerçekleştirilen Kişisel Veri İşleme Faaliyetlerinde Uyulması Gereken Usul ve Esaslar Hakkında İlke Kararı Karar No: 2026/2035 Karar Tarihi: 16/09/2026 Bilindiği üzere 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (6698 sayılı Kanun) 15’inci maddesinin altıncı fıkrası “Şikâyet üzerine veya resen yapılan inceleme sonucunda, ihlalin yaygın olduğunun tespit edilmesi halinde Kurul, bu konuda ilke kararı alır ve bu kararı yayımlar…” hükmünü amirdir. Öte yandan 6698 sayılı Kanun’un Kişisel Verileri Koruma Kurulunun (Kurul) görev ve yetkilerini düzenleyen 22’nci maddesinin birinci fıkrasının (e), (f) ve (g) bentlerinde sırasıyla Kurulun görev alanı ile Kurumun işleyişine ilişkin konularda, veri güvenliğine ilişkin yükümlülükleri belirlemek amacıyla ve veri sorumlusu ve temsilcisinin görev, yetki ve sorumluluklarına ilişkin düzenleyici işlem yapma yetkisi düzenlenmiştir. Bu çerçevede, işverenler tarafından çalışanlara tahsis edilen kurumsal e-posta hesapları başta olmak üzere, işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetlenmesi suretiyle gerçekleştirilen kişisel veri işleme faaliyetlerine ilişkin olarak Kurul tarafından aşağıdaki tespit ve değerlendirmelerde bulunulmuştur. Çalışanlara tahsis edilen kurumsal e-posta hesabı, bir iletişim aracının ötesinde; çalışanın mesleki ve zaman zaman kişisel ilişki ağını, çalışma örüntüsünü ve yazışma içeriklerini barındıran bir veri kaynağı niteliği taşımaktadır. Bu hesapların işveren tarafından denetlenmesi, işverenin yönetim hakkı ile çalışanın Anayasa’nın 20 ve 22’nci maddelerinde güvence altına alınan kişisel verilerin korunmasını isteme hakkı ve haberleşme hürriyeti arasındaki dengenin gözetilmesini gerektiren bir kişisel veri işleme faaliyetidir. Diğer taraftan, işyerinde kullanılan iletişim kanalları yalnızca kurumsal e-posta hesaplarından ibaret değildir. Kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları, müşteri ilişkileri veya talep yönetim sistemleri, toplantı platformlarındaki sohbet ve kayıt alanları da somut olayın özelliklerine göre denetime konu olabilecek iletişim kanalları arasında yer almaktadır. Öte yandan, kişisel kullanıma da elverişli uygulamalar bakımından, söz konusu hesabın işveren tarafından iş amacıyla tahsis edilip edilmediği, çalışanın kişisel hesabı üzerinden kullanılıp kullanılmadığı ve çalışanın makul mahremiyet beklentisi ayrıca değerlendirilmelidir. --- Sayfa 2 --- İşverenin, çalışana ait e-postanın içeriğine erişmeksizin yalnızca trafik/log kayıtlarını işlemesi dahi başlı başına bir kişisel veri işleme faaliyeti oluşturmaktadır. Bu itibarla e-posta denetimi gerek trafik verisine gerek içeriğe yönelik olsun, 6698 sayılı Kanun’un 4’üncü maddesindeki genel ilkelere, 5’inci ve 6’ncı maddelerindeki işleme şartlarına, 10’uncu maddesindeki aydınlatma yükümlülüğüne ve 12’nci maddesindeki veri güvenliğine ilişkin yükümlülüklere tabidir. İletişim araçlarının işverene ait olması ya da işyerinde bulunması, tek başına işverene sınırsız ve mutlak bir denetim yetkisi tanımamaktadır. Nitekim gerek Anayasa Mahkemesinin gerek Avrupa İnsan Hakları Mahkemesinin konuya ilişkin kararlarında; işverenin denetim yetkisinin, çalışanın önceden açık biçimde bilgilendirilmesi, denetimin meşru bir amaca dayanması, amaçla sınırlı ve ölçülü olması ile daha az müdahaleci yolların önceliği ölçütlerine bağlandığı; içeriğin denetlenmesinin ise trafik verisi denetimine kıyasla daha ağır bir gerekçe gerektirdiği ortaya konulmuştur. Bu çerçevede, işverenler tarafından çalışanlara tahsis edilen kurumsal e-posta hesapları başta olmak üzere, işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetlenmesi suretiyle gerçekleştirilen kişisel veri işleme faaliyetlerinde; 1. Kurumsal e-posta hesaplarının denetlenmesinin, içeriğe erişilmeksizin yalnızca trafik/log kayıtlarının işlenmesi hâlinde dahi başlı başına bir kişisel veri işleme faaliyeti oluşturduğu ve her hâlükârda 6698 sayılı Kanun’un işleme şartlarına, genel ilkelerine, aydınlatma ve veri güvenliği yükümlülüklerine tabi olduğu; iletişim araçlarının işverene ait olmasının veya işyerinde kullanılmasının işverene sınırsız bir denetim yetkisi tanımadığı, 2. Denetim faaliyetinin kapsamı belirlenirken, işyeri iletişim araçlarının kullanım amacına göre “iş amaçlı kullanım” ve “özel amaçlı kullanım” ayrımının dikkate alınması gerektiği; işveren tarafından özel amaçlı kullanımın yasaklanması, belirli sınırlar içinde serbest bırakılmış veya bu konuda açık bir düzenleme yapılmamış olmasının denetimin hukuka uygunluk değerlendirmesinde farklı sonuçlar doğurabileceği, 3. İşverenin yönetim hakkı kapsamında işyeri iletişim araçlarının özel amaçlı kullanımına ilişkin kurallar belirleyebileceği; ancak bu kuralların açık, anlaşılır ve çalışan tarafından bilinebilir nitelikte olması gerektiği; özel amaçlı kullanımın yasaklanması, sınırlandırılması veya belirli zaman, kapsam ve yöntem koşullarına bağlanması halinde bu hususun çalışana açıkça duyurulması gerektiği; özel amaçlı kullanımın yasaklanmış olduğu hallerde dahi işverenin denetim yetkisinin ölçülülük ilkesiyle sınırlı olduğu; denetimin sürekli ve aralıksız gözetim şeklinde yürütülmesinin ölçülü kabul edilemeyeceği; özel kullanım yasağının ihlal edildiği içerik dışı unsurlardan anlaşılabiliyorsa, yazışma içeriğine ayrıca erişilmesinin gerekli ve orantılı kabul edilemeyeceği; özel amaçlı kullanıma izin verilen hallerde, iş amaçlı iletişim ile özel amaçlı iletişimin birbirinden ayrılabiliyor olması durumunda denetimin yalnızca iş amaçlı iletişimle sınırlı tutulması; çalışanın özel nitelikteki yazışmalarının denetim dışında bırakılması gerektiği; iş amaçlı kullanım ile özel amaçlı kullanımın birbirinden ayrılamadığı hâllerde ise işverenin denetim yetkisinin daha dar yorumlanması gerektiği, 4. İşverenin belirli bir cihaz, oturum, ağ ya da kurumsal sistem üzerinde teknik yetkiye sahip olmasının, çalışanın kişisel e-posta hesabı, kişisel anlık mesajlaşma uygulaması, sosyal --- Sayfa 3 --- medya mesaj kutusu veya benzeri özel iletişim alanlarında yer alan yazışma içeriklerine serbestçe erişebileceği anlamına gelmediği; bu nedenle teknik erişim imkânı ile hukuki erişim yetkisinin birbirinden ayrılması gerektiği, 5. Denetimin hukuka uygunluğunun değerlendirilmesinde, çalışanın denetim faaliyeti hakkında önceden bilgilendirilmiş olmasının belirleyici unsurlardan biri olduğu; bununla birlikte, Anayasa Mahkemesi içtihadında aranan bilgilendirme ile 6698 sayılı Kanun’un 10’uncu maddesinde düzenlenen aydınlatma yükümlülüğünün birbiri aynı kavramlar olmadığı; her bilgilendirmenin 6698 sayılı Kanun anlamında aydınlatma sayılamayabileceği, ancak 6698 sayılı Kanun’un 10’uncu maddesinde öngörülen unsurları taşıyan ve denetim faaliyetinin amacı, kapsamı ve yöntemi hakkında açık bilgi içeren usulüne uygun bir aydınlatmanın, çalışanın denetim konusunda önceden bilgilendirilmesi şartını da karşılayabileceği, 6. İşveren tarafından yapılacak aydınlatmanın, soyut ve genel bir ifadenin ötesine geçerek; kişisel veri işleme faaliyetinin hukuki sebebini, amacını, kapsamını, denetimin trafik/log kayıtlarının incelenmesiyle mi yoksa içerik denetimiyle mi yürütüleceğini, içeriğe hangi hallerde erişilebileceğini, verilerin saklama süresini ve ilgili kişinin 6698 sayılı Kanun’un 11’inci maddesi kapsamındaki haklarını açık, anlaşılır ve somut biçimde içermesi gerektiği, 7. Çalışanın denetim faaliyeti hakkında önceden bilgilendirilmediği ve 6698 sayılı Kanun’un 10’uncu maddesine uygun şekilde aydınlatılmadığı hallerde, kişisel verilerine ve haberleşme hürriyetine müdahale edilemeyeceği yönünde makul bir beklenti taşıyacağının gözetilmesi gerektiği; yalnızca kurumsal e-posta hesabının işveren tarafından denetlenebileceği şeklindeki genel nitelikli bildirimlerin “bilgilendirme” koşulunu sağlamayacağı ve 6698 sayılı Kanun’un 10’uncu maddesi kapsamında aydınlatma yükümlülüğünün yerine getirildiği sonucunu doğurmayacağı, 8. İş ilişkisindeki bağımlılık ve taraflar arasındaki güç dengesizliği dikkate alındığında, çalışanın açık rızasının kural olarak e-posta denetimi bakımından kural olarak öncelikli hukuki dayanak olarak esas alınmaması gerektiği; açık rızaya dayanılan hallerde ise rızanın özgür iradeyle açıklanıp açıklanmadığının somut olay özelinde ayrıca değerlendirilmesi gerektiği; denetim kapsamında gerçekleştirilen kişisel veri işleme faaliyetlerinin, somut olayın koşullarına göre 6698 sayılı Kanun’un 5’inci maddesinin (2) numaralı fıkrasının (ç) bendinde yer alan “veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için veri işlemenin zorunlu olması” (e) bendinde yer alan “bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması” ve (f) bendinde yer alan “ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için veri işlemenin zorunlu olması” işleme şartlarına dayandırılabileceği; ancak söz konusu işleme şartlarının varlığının, işverene sınırsız bir denetim yetkisi tanımayacağı, 9. Denetimin, 6698 sayılı Kanun’un 4’üncü maddesindeki genel ilkelere uygun olarak; hukuka ve dürüstlük kurallarına uygun, belirli, açık ve meşru bir amaca dayalı, bu amaçla bağlantılı, sınırlı ve ölçülü biçimde yürütülmesi ve elde edilen verilerin yalnızca amacın gerektirdiği süreyle muhafaza edilmesi gerektiği, 10. Denetimde kademeliliğin esas olduğu; işverenin ulaşmak istediği meşru amaca daha az müdahaleci bir yolla ulaşabildiği hallerde daha ağır denetim yöntemine başvuramayacağı; --- Sayfa 4 --- içeriğe erişimin ancak trafik verisi denetiminin yetersiz kaldığı ve içeriğe erişimin zorunlu olduğu istisnai hallerde gündeme gelebileceği; çalışana iş faaliyeti kapsamında tahsis edilen iletişim araçlarının kötüye kullanımının teknik yollarla (filtreleme, engelleme vb.) önlenebildiği hallerde işverenin genel bir denetim hakkının doğmayacağı, 11. İçeriğin denetlenmesinin, çalışanın özel hayatına ve haberleşme hürriyetine yönelen en yoğun müdahaleyi oluşturması nedeniyle daha güçlü ve somut bir meşru gerekçe gerektirdiği; içerik denetimine yalnızca somut şüphe bulunan hallerde ve iddiayla sınırlı olacak biçimde başvurulması, kapsamı belirsiz, genel ve süreklilik arz eden içerik incelemesinden kaçınılması gerektiği; 12. İçerik denetiminde, denetime tabi tutulan iletinin gövdesinde veya eklerinde 6698 sayılı Kanun’un 6’ncı maddesi anlamında özel nitelikli kişisel verilerin işlenmesi riskinin gözetilmesi; ayrıca yazışmaların çoğu kez muhataplara ait kişisel verileri de barındırması nedeniyle, denetimin üçüncü kişilerin verileri üzerinde doğuracağı etkinin de dikkate alınması gerektiği; 13. Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri ile çalışanın tüm işlemlerini ayrım gözetmeksizin kaydeden araçlar aracılığıyla yürütülen denetimin hukuka aykırı sayılacağı; denetimin, çalışanın bilgisi dâhilinde ve öngörülebilir bir çerçevede yürütülmesi gerektiği; 14. Kurumsal e-posta hesapları ve işin yürütülmesi amacıyla kullanılan iletişim kanalları üzerindeki elde edilen verilere erişimin, yalnızca bu görevle yetkilendirilmiş sınırlı bir personelle sınırlandırılması, erişim yetkisinin görev tanımlarıyla belirlenmesi, erişim kayıtlarının tutulması ve verilere erişen kişilerin gizlilik yükümlülüğü altına alınması gerektiği, 15. İş ilişkisinin sona ermesinin ardından, çalışana tahsis edilmiş kurumsal e-posta hesabına ilişkin veri işleme faaliyetlerinin hukuki dayanağının ayrıca değerlendirilmesi gerektiği; kural olarak ilgili hesabın çalışanın aktif kullanımına ve hesaba yeni erişimlere kapatılması, hesaba gelen iletilerin ilgisiz kişilerce görüntülenmesine imkân verilmemesi ve hukuki dayanağı kalmayan kişisel verilerin imha edilmesi gerektiği; bununla birlikte iş sürekliliğinin sağlanması, kurumsal iletişimin aksamaması, hukuki uyuşmazlıklarda savunma hakkının kullanılabilmesi veya ilgili mevzuattan kaynaklanan yükümlülüklerin yerine getirilmesi amacıyla, kurumsal e-posta hesabına ilişkin sınırlı, süreli, erişim yetkileri belirlenmiş ve kayıt altına alınmış yönlendirme, otomatik cevap, arşivleme veya muhafaza uygulamalarının somut olayın koşullarına göre değerlendirilebileceği, 16. Söz konusu yükümlülüklere uyulmadığının tespiti halinde, somut olayın özellikleri dikkate alınarak gerekli incelemenin yapılacağı ve 6698 sayılı Kanun’un 18’inci maddesi uyarınca ilgili veri sorumluları hakkında idari işlem tesis edileceği hususlarında kamuoyunun bilgilendirilmesine ve bu kapsamda 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 15’inci maddesinin altıncı fıkrası hükmü uyarınca İlke Kararı alınmasına ve bu İlke Kararı’nın Resmi Gazete’de ve Kurumun internet sitesinde yayımlanmasına oy çokluğu ile karar verilmiştir.