Çalışan E-Postalarının 5 Yıl Saklanması ve Erişim Koşullarına İlişkin İtalyan Veri Koruma Otoritesi Kararı

İtalyan Veri Koruma Otoritesi Garante Per La Protezione Dei Dati Personali, ("Garante") 18.06.2026 tarihli ve 2026/476 sayılı kararı ile Piaggio & C. S.p.A. hakkında 460.000 Euro tutarında idari para cezasına hükmetmiştir. Karar, iş akdi sona eren çalışanlara tahsis edilmiş kurumsal e-posta hesaplarının beş yıl boyunca saklanmasını, bu yazışmaların geriye dönük olarak incelenerek disiplin soruşturmasında kullanılmasını ve ilgili kişi taleplerinin yanıtsız bırakılmasını konu almaktadır.

Uyuşmazlığın Arka Planı

Piaggio nezdinde Mart 2023'te haklı nedenle iş akdi feshi gerçekleşen iki çalışan, kendilerine tahsis edilmiş kurumsal e-posta hesaplarının devre dışı bırakıldığının teyidini işverenden iki kez talep etmiş, şirket tarafından GDPR'nin 12'nci maddesinin 3'üncü fıkrasında öngörülen bir aylık süre içinde herhangi bir yanıt verilmemiştir.

İlgili kişiler ayrıca işverenin çok sayıda e-postaya eriştiğini ve bunları görülmekte olan iş davasında delil olarak kullandığını ileri sürmüştür. Erişilen yazışmaların sayısı bir çalışan bakımından en az 18, diğeri bakımından 94 adet olup, bir kısmı Nisan 2020'ye kadar gitmekte ve kişisel hesaplar ile üçüncü kişilerle yapılan yazışmaları da kapsamaktadır.

Veri sorumlusu savunmasında, Kasım 2022'deki iç ihbarlar üzerine veri koruma görevlisine danışılarak ve önceden belirlenmiş filtre ve anahtar kelimelerle sınırlandırılmış bir "savunma amaçlı kontrol" icra edildiğini, çalışanlara ait e-postaların iş ilişkisi süresince ve iş akdinin sona ermesinden itibaren beş yıl, erişim loglarının ise altı ay süreyle muhafaza edildiğini beyan etmiştir.

İlgili Kişi Taleplerinin Yanıtsız Bırakılması

Garante, belirli bir çalışana tahsis edilmiş kurumsal e-posta adresinin ve hesap üzerinden geçen yazışmaların, o çalışana ilişkin kişisel veri niteliğinde olduğunu tespit etmiştir.

Bu itibarla e-posta hesabının devre dışı bırakıldığının teyidine yönelik talep, ilgili kişi tarafından açıkça belirtilmese dahi, o ana kadar yürütülen işleme faaliyetlerinin sona erdirilmesi talebi olarak nitelendirilmelidir. Mevzuat, ilgili kişi taleplerini herhangi bir şekil şartına tabi kılmamaktadır.

Garante'ye göre derdest bir iş davasının varlığı, bir hakkın kullanımının sınırlandırılmasını haklı kılabilirse de bu ihtimalde dahi veri sorumlusu yasal süresi içinde ilgili kişilere gerekçeli bir bildirimde bulunmak ve ilgili kişiyi adli ve idari başvuru yolları hakkında bilgilendirmek ile yükümlüdür. Somut olayda hiçbir yanıt verilmemiş olması karşısında, GDPR'nin 17'nci maddesi ile bağlantılı olarak 12'nci maddesinin 3'üncü fıkrasının ihlal edildiğine hükmedilmiştir.

Hukuka Aykırılığın Kaynağı Olarak Saklama Pratiği

Garante, hukuka aykırılığın esas kaynağının saklama pratiğinin kendisi olduğunu belirtmiştir. Beş yıllık saklama süresi, kapsamı ve sınırları önceden belirlenmiş bir amaca hizmet etmemekte ve geçerli bir hukuki sebebe dayanmamaktadır. Bu kapsamda GDPR'nin 5'inci maddesinin 1'inci fıkrasının (b), (c) ve (e) bentlerinde düzenlenen amaçla sınırlılık, veri minimizasyonu ve saklama süresiyle sınırlılık ilkelerinin ihlal edildiği tespit edilmiştir.

Kurul ayrıca e-posta içeriğindeki verilerin Anayasa ile koruma altına alınan haberleşmenin gizliliği ilkesi kapsamında bulunduğunu ve çalışanların iş yerinde dahi makul bir mahremiyet beklentisine sahip olduğunu vurgulamıştır. E-posta kullanımının bir "iş görme aracı" olduğu kabul edilse dahi, e-posta içeriğinin ve buna bağlı verilerin sistematik olarak toplanması ve saklanması, çalışan faaliyetlerinin geriye dönük olarak izlenmesi sonucunu doğurduğunu ve İş Hukuku kapsamında çalışanlara sağlanan hukuki ve sendikal güvenceler temin edilmeksizin gerçekleştirilen bu izlemenin hukuka aykırı olduğuna kanaat getirmiştir.

Tüm bunlara ek olarak, hukuka aykırılık şüphesinin Kasım 2022'de doğmuş olmasına rağmen, incelemenin yaklaşık iki yıl öncesine uzanan yazışmaları kapsadığı tespit edilmiştir. Garante, kontrolün filtre ve anahtar kelimelerle sınırlandırılmış olmasının ve dengeleme testi yapılmış olmasının tek başına yeterli olmadığını, zira incelemenin herhangi bir şüphe doğmadan önce sistematik biçimde toplanmış ve saklanmış verilere dayandığını, bu nedenle hukuka aykırılığın bertaraf edilemeyeceğini belirtmiştir.

Yaptırım ve Kararın Ortaya Koyduğu İlkeler

Çalışanın açık rızası bulunsa dahi, iş akdi herhangi bir sebeple sona eren çalışana ait e-posta hesabının muğlak "hizmet ihtiyaçları" gerekçesiyle otuz gün süreyle aktif tutulmasına ve gelen iletilerin başka çalışanlara yönlendirilmesine cevaz veren şirket politikasının uygulanması hukuka aykırı bulunmuştur.

Şirket aydınlatma metinlerinde veri saklamanın amaç ve hukuki sebeplerinin gösterilmemesi de GDPR'nin 5'inci maddesinin 1'inci fıkrası ve 13'üncü madde bakımından ayrıca ihlal olarak değerlendirilmiştir.

Bu nedenle Garante, iş akdi sona eren çalışanların e-posta hesaplarının beş yıl boyunca erişime açık tutulması, yazışmaların geriye dönük şekilde incelenmesi ve saklama sürelerine ilişkin ilkelere aykırılık nedeniyle 460.000 Euro tutarında idari para cezasına hükmetmiştir.

Karar, veri sorumlusu şirketler bakımından iki esaslı ilkeyi ortaya koymaktadır:

• Belirli bir amaç ve hukuki sebep ile sınırlandırılmaksızın "her ihtimale binaen" yürütülen uzun süreli e-posta ve log saklama pratiği hukuka aykırıdır.
• Çalışanlara ait e-posta hesaplarının kullanılmaması ve erişimin sona erdirilmesi talepleri, şekil şartı aranmaksızın ilgili kişinin haklı bir talebi olarak değerlendirilmeli ve yasal süresi içinde gerekçeli olarak yanıtlanmalıdır. Derdest bir davanın varlığı bu yükümlülüğü ortadan kaldırmamaktadır.

KVKK Kapsamında Faaliyet Gösteren Şirketler Bakımından Değerlendirme

Karar GDPR uygulamasına ilişkin olmakla birlikte, dayandığı ilkeler KVKK bakımından da paralel sonuçlar doğurmaktadır. KVKK'nın 4'üncü maddesinde düzenlenen amaçla bağlantılı, sınırlı ve ölçülü olma ile ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme ilkeleri, iş akdi sona eren çalışanlara ait e-posta hesapları bakımından da uygulanmaktadır.

Bu kapsamda şirketlerin öncelikle aşağıdaki noktaları gözden geçirmesi önem taşımaktadır:

• İş akdi sona eren çalışanın e-posta hesabının ne kadar süreyle aktif tutulduğu, hesabın kapatılma ve arşivleme adımlarının yazılı bir prosedüre bağlanıp bağlanmadığı.
• Arşivlenen yazışmalar için öngörülen saklama süresinin hangi somut hukuki yükümlülüğe veya menfaate dayandığı, bu sürenin Kişisel Veri Saklama ve İmha Politikası ile periyodik imha süreçlerine yansıtılıp yansıtılmadığı.
• İş akdi sona eren çalışana ait e-posta adresine gelen iletilerin başka bir çalışana yönlendirilmesi yerine, gönderene otomatik bilgilendirme mesajı ile alternatif bir kurumsal iletişim adresinin bildirilmesi gibi daha az müdahaleci bir yöntemin uygulanabilirliği.
• Yazışmaların hangi hâllerde ve hangi onay mekanizmasıyla incelenebileceği, incelemenin şüphenin doğduğu tarihten sonraki verilerle sınırlandırılıp sınırlandırılmadığı.
• Çalışan aydınlatma metinlerinde e-posta hesabının işveren tarafından incelenmesine ilişkin amaç, hukuki sebep, saklama süresi ve inceleme koşullarının açıkça yer alıp almadığı.
• Erişim loglarının saklama süresi ile e-posta içeriğinin saklama süresinin ayrı ayrı belirlenip belirlenmediği.

Nitekim, Anayasa Mahkemesi'nin 17 Eylül 2020 tarihli ve 2016/13010 başvuru numaralı kararı ile kurumsal iletişim araçlarının işveren tarafından incelenmesine ilişkin diğer bireysel başvuru kararlarında; incelemenin öngörülebilir olması, çalışanın önceden bilgilendirilmesi, incelemenin amacıyla sınırlı tutulması ve daha az müdahaleci yöntemlerin tercih edilmesi gerektiği vurgulanmıştır.

Bu çerçevede, işverenin kurumsal e-posta hesaplarında Anayasa Mahkemesi'nin ortaya koyduğu ilkelere aykırı şekilde inceleme yapması ve bu yolla elde edilen verileri çalışan aleyhine kullanması, Kişisel Verilerin Korunması Kanunu kapsamında ciddi idari yaptırımlara yol açabilecektir.

Bunun yanı sıra, somut olayın özelliklerine göre söz konusu fiiller, Türk Ceza Kanunu'nun 132'nci maddesinde düzenlenen haberleşmenin gizliliğini ihlal veya 134'üncü maddesinde düzenlenen özel hayatın gizliliğini ihlal suçları bakımından da değerlendirmeye konu olabilecektir.

Bu yönüyle Piaggio kararının, Türk hukuku uygulamasındaki yaklaşımla örtüştüğünü belirtebiliriz.

Sonuç ve Değerlendirme

Piaggio kararı, çalışan e-postalarının incelenmesine ilişkin tartışmayı inceleme anından saklama anına taşımaktadır. Kararın merkezindeki tespit, incelemenin ne kadar dikkatli filtrelendiğinden bağımsız olarak, verinin baştan itibaren belirli bir amaca bağlanmaksızın saklanmış olmasının tek başına hukuka aykırılık oluşturduğuna ilişkindir.

Bu nedenle şirketlerin temel kontrol sorusu şu olmalıdır: İş akdi sona eren bir çalışanın e-posta hesabı bugün itibarıyla hangi hukuki sebeple, hangi süreyle ve kimin erişimine açık şekilde saklanmaktadır?

Bu sorunun yazılı bir prosedüre dayanan net bir cevabı bulunmuyorsa, mevcut uygulama karar kapsamında yeniden değerlendirilmelidir.

Kararın orijinal metnine buradan, İngilizce özetine ise buradan ulaşabilirsiniz.