İşten Ayrılan Çalışanın Kurumsal E-Posta Hesabı Ne Olmalı? KVKK Kurul Kararlarıyla Çıkış Süreci

Kısa cevap: kurumsal e-posta hesabı en geç çalışanın son iş gününde erişime kapatılmalı, gelen iletiler için sınırlı bir süre otomatik yanıt bırakılmalı, o süre dolduğunda adres tamamen kapatılmalıdır. Hesabı 'ne olur ne olmaz' diyerek aylarca açık tutmak, gelen postaları bir yöneticinin kutusuna akıtmak veya adresi olduğu gibi başka bir çalışana devretmek, Kişisel Verileri Koruma Kurulu'nun ceza verdiği uygulamalar arasında. Kurul, 3 Ağustos 2023 tarihli ve 2023/1321 sayılı kararında, şirketten ayrılan kişinin adresine gelen iletilerin 'tanımsız mail' olarak yönetici hesabında görüntülenebilir kalmasını kişisel veri işleme faaliyeti saydı, 50.000 TL idari para cezası uyguladı ve sistemin düzeltilmesi ile söz konusu verilerin imha edilmesi talimatını verdi. Ters yönde yaygın bir yanılgı da var: hesabı kapatmak ve şirket bilgisayarını formatlamak KVKK ihlali değildir, Kurul bunu 9 Mart 2021 tarihli ve 2021/205 sayılı kararında açıkça belirtti.

Meselenin neden KVKK'ya girdiğinden başlamak gerekiyor. ad.soyad@sirket.com biçimindeki bir adres, kişiyi doğrudan belirlenebilir kıldığı için tek başına kişisel veridir. Kutuya düşen iletilerin içeriği, kimin kiminle ne zaman yazıştığı, ekler ve imza blokları da öyle. Burada iki ayrı grubun verisi var: ayrılan çalışanın kendisi ve ona yazan müşteriler, tedarikçiler, iş ortakları, kimi zaman arkadaşları. Şirket ayrılıştan sonra o kutuyu açık tutmaya devam ediyorsa, eski çalışanın verisini işlemeye devam ediyor demektir; ona yazan herkesinkini de. Gönderenin bundan haberi yoktur, hâlâ o kişiye yazdığını sanır.

2023/1321 sayılı karara yakından bakmak faydalı, çünkü şirketin savunması pek çok işletmenin refleksiyle birebir aynı. Şirket, kişinin ortaklıktan ayrıldığını, adresin kapatıldığını, kapatılmış bir adresin teknik olarak kullanılmasının mümkün olmadığını, gelen iletilerin sistemde 'tanımsız mail' olarak göründüğünü ve bu yönlendirmenin posta hizmeti aldıkları firma tarafından yapıldığını ileri sürdü. Kurul bunu yeterli bulmadı. Adrese ileti gönderilmeye devam edildiği ve bu iletilerin görüntülenebilir durumda kaldığı tespit edilince, ortada süregelen bir işleme faaliyeti olduğu sonucuna varıldı. Cezanın yanında verilen talimat da öğretici: sistemin işten ayrılan kişilere ilişkin veri işlemeye devam edilmeyecek biçimde düzeltilmesi ve şikayete konu verilerin imhası. 'Sağlayıcı öyle ayarlamış' demek sorumluluğu kaldırmıyor, tanımsız adresleri toplayan kutu da bir işleme kanalıdır.

İkinci karar daha ağır. Kurul'un 25 Kasım 2021 tarihli ve 2021/1187 sayılı kararında işveren, eski çalışanının kurumsal e-posta hesabına aydınlatma yapmaksızın erişmiş ve elde ettiği yazışmaları yargılamada delil olarak sunmuştu. Kurul, çalışana işlemenin hukuki dayanağı, amaçları ve denetimin kapsamı hakkında bilgi verilmediğini, dolayısıyla Kanun'un 5. maddesindeki işleme şartlarından hiçbirinin karşılanmadığını tespit etti. İşverenin 'çalışan işyeri hesabından özel yazışma yaptıysa buna rıza göstermiş sayılır' yönündeki alenileştirme savunması da kabul edilmedi, çünkü kişinin verisini kamuya açma iradesi yoktu. 12. maddenin birinci fıkrasına aykırılıktan 250.000 TL idari para cezası uygulandı. Kurul aynı dosyada, yazışmaların yurt dışındaki sunucularda tutulduğu iddiası bakımından ayrıca resen inceleme başlatılmasına karar verdi.

Buradan 'eski çalışanın kutusuna asla dokunulamaz' sonucu çıkmıyor. Kurul, 2021/205 sayılı kararında iş akdi sona erdikten sonra şirket e-posta hesabının kapatılmasını ve şirkete ait dizüstü bilgisayarın formatlanmasını olağan bir uygulama sayarak Kanun'a aykırılık görmedi. 27 Ocak 2020 tarihli ve 2020/59 sayılı kararda ise şirkete ait olan ve işin takibi için tahsis edilmiş bir hesabın sunucu yedeklerine erişilmesi, şirketin haklarına yönelik bir tehdide karşı korunma amacı taşıdığı gerekçesiyle 5. maddenin ikinci fıkrasının (e) bendindeki 'bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması' şartına dayandırıldı ve yaptırım uygulanmadı. Farkı yaratan, erişimin kendisi değil. Kurul'un 19 Ocak 2023 tarihli ve 2023/86 sayılı kararı hangi ölçütlere bakıldığını gösteriyor: çalışan önceden bilgilendirilmiş mi, denetimin kapsamı ve mahremiyete müdahalenin derecesi ne, iletişimin akışına mı yoksa içeriğine mi bakılıyor, meşru bir gerekçe var mı, daha az müdahaleci bir yol mümkün mü. Bu ölçütler ayrılıktan sonra da geçerli. Devir teslim için bütün kutuyu okumak yerine belirli bir tarih aralığında belirli anahtar kelimelerle arama yapmak, aynı sonuca daha hafif müdahaleyle ulaşmanın tipik örneği.

Pratikte doğru sıralama şöyle işliyor. Ayrılık tarihi belli olduğunda, son iş gününden önce devir teslim yapılır: devam eden işlere ilişkin yazışmalar ilgili çalışana aktarılır, ortak erişilmesi gereken belgeler kurumsal alana taşınır. Çalışana, kutusundaki kişisel yazışmaları kendi hesabına taşıyıp cihazlardan silmesi için makul bir imkan tanınır. Son iş gününde hesap erişimi kapatılır; parola sıfırlanır, açık oturumlar ve uygulama bağlantıları sonlandırılır, telefon ve tabletteki eşleşmeler kaldırılır, ikinci doğrulama kayıtları temizlenir. Kutu bu noktadan sonra kimse tarafından okunmaz. Adrese gelen iletiler için, kişinin görevden ayrıldığını ve kime yazılması gerektiğini bildiren bir otomatik yanıt bırakılır.

Otomatik yanıtın yönlendirmeye tercih edilmesinin nedeni basit: yönlendirmede gönderen hiçbir şeyden haberdar olmaz, yazdığı kişinin artık orada olmadığını ve iletisini bir başkasının okuduğunu bilmez. Belçika veri koruma otoritesinin 29 Eylül 2020 tarihli ve 64/2020 sayılı kararı tam olarak bu ayrımı kurar ve eski üst yöneticisinin kurumsal adresini canlı tutup kullanmaya devam eden şirkete 15.000 avro para cezası verir. Aynı otoritenin 20 Mayıs 2026 tarihli kararı daha da sert: ayrılıştan altı ay sonra hâlâ açık duran bir posta kutusu için toplam 176.000 avro, bunun 160.000 avrosu hukuki sebebe dayanmayan işleme, 16.000 avrosu şeffaflık ihlali için. Karar, ayrılık sonrası geçiş dönemini meşru menfaate dayandırıyor ama bu dönemi tipik olarak bir ayla sınırlıyor. Kurul kararlarında net bir üst süre yazmıyor; 2023/1321'in mantığı aynı yönde işlediği için otomatik yanıt süresini bir ay civarında tutmak ve hiçbir halde üç ayı aşmamak savunulabilir bir çizgi.

İki uygulamadan özellikle kaçınmak gerekiyor. Birincisi, ayrılan kişinin adresini olduğu gibi yeni bir çalışana tahsis etmek. O adrese aylar sonra gelen kişisel bir ileti, gönderenin tanımadığı birinin kutusuna düşer ve gönderen bunu hiç öğrenmez. İkincisi, hesabı canlı tutup o adresten yazışmayı sürdürmek. Şirketten ayrılmış bir kişinin adı altında müşteriye cevap yazmak, veri koruma sorununun ötesinde kişinin adının ticari amaçla kullanılması ve haksız rekabet tartışması doğurur. Fark edilmesi en zor hata ise tanımsız adresleri toplayan catch-all yapılandırmasıdır. Çoğu şirkette bu ayar yıllar önce açılmış ve unutulmuştur; 2023/1321 sayılı karara konu olan da tam olarak buydu.

Kapatılmış bir kutunun içeriğine sonradan bakmak gerekebilir. Bir müşteri talebi, bir denetim ya da açılmış bir dava bunu zorunlu kılabilir ve bunun hukuka uygun bir yolu var. Erişimin hukuki sebebi önceden belirlenir, çoğunlukla bir hakkın tesisi ve korunması ya da veri sorumlusunun meşru menfaati olur; meşru menfaate dayanılıyorsa denge testi yazılı hale getirilir. Arama, konuya ilişkin tarih aralığı ve anahtar kelimelerle sınırlanır, kutunun tamamı okunmaz. Açıkça özel nitelikte olduğu anlaşılan yazışmalar açılmaz. İşlem tek kişiyle değil en az iki kişiyle yapılır, neyin niçin arandığı ve neye erişildiği tutanağa bağlanır. Bu adımlar atlanırsa risk idari para cezasıyla sınırlı kalmaz: kişiler arasındaki haberleşmenin gizliliğini ihlal Türk Ceza Kanunu'nun 132. maddesinde bir yıldan üç yıla kadar hapis cezası gerektirir, ihlal içeriklerin kaydı suretiyle gerçekleşirse ceza bir kat artar, içeriklerin hukuka aykırı ifşası ise iki yıldan beş yıla kadar hapisle cezalandırılır.

Hesabı kapatmak arşivi silmek anlamına gelmiyor ve bu ikisi sık sık birbirine karışıyor. Kapatılan kutunun içeriği çoğu sistemde yedeklerde ve arşivde durmaya devam eder. Bu arşivin ne kadar tutulacağı saklama ve imha politikanızda yazılı olmalı; süre keyfi değil, iş ilişkisinden doğabilecek uyuşmazlıkların zamanaşımı ve ilgili mevzuattaki saklama süreleri gözetilerek belirlenir. Süre dolduğunda yedekler dahil imha edilir ve imha kayıt altına alınır. Kişisel veri envanterinizde eski çalışan e-posta arşivi ayrı bir veri kategorisi olarak görünmüyorsa, o veri fiilen kimsenin takip etmediği bir yerde birikiyor demektir. Posta altyapınız yurt dışındaki bir sağlayıcıdaysa aynı arşiv yurt dışına aktarım konusudur ve Kanun'un 9. maddesindeki yeterlilik kararı, uygun güvenceler veya arızi haller çerçevesinde bir dayanağa oturması gerekir. 2021/1187 sayılı kararda Kurul'un resen inceleme başlattığı nokta da buydu.

Eski çalışan tarafında haklar net. Kişi, Kanun'un 11. maddesine dayanarak verilerinin işlenip işlenmediğini sorabilir, hesabının kapatılmasını ve verilerinin silinmesini isteyebilir; veri sorumlusu bu talebe en geç otuz gün içinde cevap vermek zorundadır. Cevap gelmez ya da yetersiz kalırsa, cevabı öğrenme tarihinden itibaren otuz ve her halde başvuru tarihinden itibaren altmış gün içinde Kurul'a şikayet yolu açılır. Şirket açısından tablo 2026 tutarlarıyla şöyle: aydınlatma yükümlülüğünün ihlali 85.437 TL ile 1.709.200 TL, veri güvenliği tedbirlerinin alınmaması 256.357 TL ile 17.092.242 TL, bir Kurul kararına uymama 427.263 TL ile 17.092.242 TL arasında idari para cezasına konu olabiliyor. Bunlara eski çalışanın açabileceği tazminat davası ve ceza şikayeti eklenir.

Bugün yapılabilecek en somut iş kısa bir sayım: kaç eski çalışan hesabı hâlâ açık, kaçında yönlendirme çalışıyor, catch-all ayarınız açık mı, çıkış prosedürünüzde hesabın hangi gün kapatılacağı yazıyor mu, işe giriş aydınlatma metniniz ayrılıktan sonra ne olacağını anlatıyor mu, arşiv için belirlenmiş bir saklama süresi var mı. Bu soruların birkaçında duraksadıysanız, KVKK Danışman'ın ücretsiz ön değerlendirmesinde çıkış sürecinizi ve e-posta altyapınızı birlikte gözden geçirip öncelikli adımları çıkarabiliriz.

Randevu Al