Kurumsal e-posta denetimi: 2026/2035 sayılı ilke kararı ne değiştirdi

Kurumsal e-posta, çoğu kurumda hem en büyük kişisel veri deposu hem de en az yönetilen veri kümesidir. Kurulun 16 Eylül 2026 tarihli ve 2026/2035 sayılı İlke Kararı, işverenlerin bu kümeye nasıl erişebileceğini ilkelere bağladı ve “sunucu bizim, posta bizim” varsayımını açıkça reddetti. Bu yazı kararın temel ayrımlarını açıklar ve bunların posta arşivleri, erişim kayıtları ve saklama süreleri üzerindeki operasyonel sonuçlarını ele alır.

Bu yazı hukuki tavsiye değildir; kararın kuruma özgü uygulaması hukuk biriminizle doğrulanmalıdır.

Kararın konusu ve çerçevesi

Karar, işverenler tarafından çalışanlara tahsis edilen kurumsal e-posta hesapları başta olmak üzere, işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetlenmesinde uyulması gereken usul ve esasları belirler. Kapsam yalnızca e-posta değildir; işin yürütülmesi için tahsis edilen diğer iletişim kanalları da aynı çerçeveye girer.

Kararın çıkış noktası, denetimin bir veri işleme faaliyeti olduğudur. Bu nitelendirme önemlidir: denetim, bir bilgi güvenliği önlemi ya da bir yönetim tasarrufu olarak değil, kişisel verinin işlenmesi olarak değerlendirilir ve dolayısıyla Kanun’un işleme şartlarına, ilkelerine ve aydınlatma yükümlülüğüne tabidir. Karar bu faaliyetin, işverenin yönetim hakkı ile çalışanın özel hayat ve haberleşme hürriyeti arasında “adil bir denge” gerektirdiğini belirtir.

Kurum’un 13 Ekim 2026 tarihli “Kişisel Verilerin Korunmasında Güncel Gelişmeler: 2026 İlke Kararları ve Kamuoyu Duyuruları” webinarı, bu kararı yılın diğer gelişmeleriyle birlikte ele alan bir etkinlik olarak duyurulmuştur; kararın pratikte nasıl okunacağı konusunda Kurum’un kendi anlatımı için bu etkinliğe başvurulmalıdır.

Teknik erişebilirlik ile hukuki erişebilirlik ayrımı

Kararın en kalıcı katkısı, “teknik olarak erişebilir olma ile hukuken erişebilir olma” arasındaki ayrımdır. Bir sistem yöneticisinin posta sunucusuna, yedeklere veya bir PST dosyasına erişebiliyor olması, işverenin bu içeriği okumaya hukuken yetkili olduğu anlamına gelmez. Aracın işverene ait olması sınırsız denetim yetkisi vermez.

Bu ayrım, uygulamada üç yaygın pratiği sorgular. Birincisi, ayrılan çalışanın posta kutusunun yöneticisine otomatik olarak açılması. İkincisi, yedeklerden ya da arşivlerden “ne olur ne olmaz” diye içerik aranması. Üçüncüsü, güvenlik ekiplerinin genel tarama araçlarıyla tüm posta trafiğini sürekli izlemesi. Üçü de teknik olarak mümkündür; karar her biri için amaç, kapsam, yöntem ve saklama süresi açısından gerekçe ve bilgilendirme bekler.

Kurallar açık, anlaşılır ve bilinebilir olmalıdır. Karar, genel bir bildirimi yeterli görmez; denetimin amacı, kapsamı, yöntemi ve saklama süresinin açıkça anlatılması gerekir. İş sözleşmesinde “kurumsal araçlar denetlenebilir” şeklinde tek bir cümle, bu standardı karşılamaz. Ayrıca karar, açık rızanın iş ilişkisinde her durumda öncelikli dayanak olamayacağını belirtir; çalışanın işveren karşısındaki konumu, rızanın serbestçe verilip verilmediğini tartışmalı kılar.

İş ve özel kullanım ayrımı

Karar, iş amaçlı kullanım ile özel kullanım arasında ayrım yapılmasını ister. Kurumsal hesapların özel amaçla kullanılıp kullanılamayacağı, kullanılabiliyorsa bunun nasıl ayırt edileceği ve özel nitelikteki içeriğin denetim sırasında nasıl korunacağı, kurumun önceden belirlemesi ve bildirmesi gereken konulardır.

Operasyon açısından bu ayrım, posta arşivlerinin içeriğinin tek tip olmadığını hatırlatır. Aynı PST dosyasında müşteri sözleşmeleri, bordro ekleri, sağlık raporu ekleri, kişisel yazışmalar ve banka bildirimleri bir arada bulunur. Bu içeriği sınıflandırmadan “arşiv güvende” demek mümkün değildir; sınıflandırma, hangi içeriğin iş verisi, hangisinin kişisel veri, hangisinin özel nitelikli veri olduğunu gösterir ve denetimin kapsamını gerçekçi biçimde daraltmayı mümkün kılar.

Ölçülülük, kademelilik ve içerik incelemesinin sınırı

Karar, denetimin ölçülülük ve kademelilik ilkelerine uygun yürütülmesini ister. Kademelilik, en az müdahaleci yöntemle başlamayı ifade eder: önce trafik veya üst veri düzeyinde bir inceleme, ancak somut bir şüphe veya olay varsa içerik düzeyine geçiş. İçerik incelemesi yalnız somut şüphe veya olayla sınırlı tutulmalı; “kapsamı belirsiz, genel ve sürekli” içerik incelemelerinden kaçınılmalıdır.

Bu ilke, kişisel veri keşfi yapan kurumlar için bir soruyu gündeme getirir: canlı posta trafiğinin sürekli içerik taraması ile arşiv dosyalarının envanter amaçlı keşfi aynı şey midir? İki faaliyet farklı amaçlara hizmet eder. Birincisi çalışanın anlık iletişimini izler; ikincisi kurumun saklama yükümlülüğü altındaki durağan veriyi envantere alır, saklama süresini uygular ve erişimi daraltır. İkincisi bile keyfi yapılamaz; amacı, kapsamı ve yöntemi tanımlanmalı, sonuçları sınırlı personelle paylaşılmalı ve her erişim kaydedilmelidir. Ancak amaç, çalışanı izlemek değil, kurumun veri yükümlülüklerini yerine getirmektir. Bu ayrımın kuruma özgü hukuki değerlendirmesi hukuk birimine aittir.

Aşağıdaki tablo, kararın ilkelerini iki faaliyete uygulandığında ortaya çıkan farkı özetler.

İlke	Canlı posta içerik izleme	Arşiv dosyası (PST/OST/MSG) keşfi
Amaç	Çalışan davranışını denetleme	Kişisel veri envanteri, saklama, erişim daraltma
Kapsam	Sürekli ve genel olma riski yüksek	Belirli dosya kümeleri, tanımlı tarama kapsamı
Kademelilik	Somut şüphe olmadan içerik incelemesi sorunlu	İçerik, veri türü ve sınıf düzeyinde raporlanır; maskeli örnek
Erişim	Dar tutulmalı, kayıt altında	Rol tabanlı; her görüntüleme ve eylem denetim kaydında
Saklama	Süre sınırlı	Saklama takvimi; süresi dolan dosya imha akışında

Erişim kayıtları, saklama süresi ve iş ilişkisinin sonu

Karar, denetim kapsamındaki veriye erişimin sınırlı personelle yapılmasını, erişim kayıtlarının tutulmasını ve saklama süresinin sınırlı olmasını ister. İş ilişkisi sona erdiğinde veriler süresiz erişilebilir değildir.

Bu üç gereklilik, çoğu kurumda posta arşivleriyle ilgili üç açığa karşılık gelir. Birincisi, PST dosyalarının bulunduğu paylaşımların ACL’leri yıllar içinde genişlemiştir; “Domain Users” veya “Herkes” gibi gruplar okuma yetkisine sahiptir. İkincisi, bu dosyalara kimin ne zaman eriştiğine dair bir kayıt yoktur; dosya sistemi denetimi kapalıdır ya da loglar kısa sürede dönmektedir. Üçüncüsü, ayrılan çalışanların arşivleri için tanımlı bir saklama süresi yoktur; dosyalar “ileride lazım olur” gerekçesiyle süresiz tutulur.

Bir örnek senaryo: orta ölçekli bir hizmet şirketinde, ayrılan çalışanların posta kutuları PST olarak dışa aktarılıp bir dosya sunucusundaki “Arşiv” klasörüne konur. Klasör, bilgi işlem ekibinin tamamına ve on yıl önce tanımlanmış bir “Yöneticiler” grubuna açıktır; grubun üyelerinin bir kısmı artık şirkette değildir ve SID’leri çözümlenememektedir. Kararın ilkeleri açısından bu klasör, hem erişim sınırlaması hem erişim kaydı hem de saklama süresi bakımından sorunludur. Teknik olarak herkes erişebilir; hukuken kimin erişebileceği tanımlanmamıştır.

Aynı senaryoda ikinci bir katman daha vardır: bilgi işlem ekibi, ayrılan çalışanın posta kutusunu dışa aktarırken OST dosyasını da yedek diskine kopyalamıştır ve bu kopya hiçbir envanterde yer almaz. Karar açısından bu kopya, asıl arşivle aynı yükümlülüklere tabidir; ancak kimse varlığından haberdar olmadığı için ne erişim sınırlaması ne saklama süresi ne de erişim kaydı uygulanmaktadır. Kararın ilkeleri, bilinen arşivlere uygulanabilir; bilinmeyen kopyalar için önce keşif gerekir.

Karar, kurumlardan üç somut hazırlık bekler: posta arşivlerinin nerede olduğunu bilmek, her arşiv için kimin hangi gerekçeyle erişebileceğini tanımlamak ve ayrılan çalışan verisi için tanımlı bir saklama süresini fiilen uygulamak. Bu üçü, politika belgesiyle değil, sistemlere bakarak yapılır.

Arşiv keşfi ile canlı posta izleme arasındaki fark

Seratus’un e-posta kapsamı bugün yalnızca arşiv dosyalarıdır: PST, OST ve MSG. Seratus bu dosyaları açar, ileti gövdelerinden ve eklerinden kişisel veriyi çıkarır ve canlı posta kutusuna bağlanmaz. Bu tasarım kararı, kararın ölçülülük ve kademelilik ilkeleriyle uyumludur: amaç, posta trafiğini izlemek değil, kurumun elinde biriken durağan posta verisini envantere almak, erişimini görünür kılmak ve saklama süresini uygulamaktır.

Arşiv keşfinin çıktısı, bir çalışanın yazışmalarının okunması değil, bir dosyanın hangi veri türlerini (TCKN, IBAN, sağlık verisi, kart numarası) hangi güven yüzdesiyle içerdiğinin maskeli örnekle raporlanmasıdır. Bulgular rol tabanlı erişimle sınırlı kişilere açılır ve her görüntüleme, atama ve eylem denetim kaydına yazılır. Bu, kararın “erişim sınırlı personelle, erişim kayıtları tutularak” gerekliliğinin ürün düzeyindeki karşılığıdır.

Seratus bu açıkları nasıl kapatır

Açık 1: Posta arşivlerinin nerede olduğu bilinmiyor. Seratus’un ajansız keşfi SMB/NFS paylaşımlarını, Windows, Linux ve macOS yerel disklerini, Microsoft 365 kütüphanelerini ve S3-uyumlu nesne depolamayı salt okunur bağlantıyla tarar ve PST, OST ve MSG dosyalarını bulunduğu yerde açar. Kesilen tarama kaldığı yerden devam eder.

Açık 2: Arşivlere kimin eriştiği tanımlı değil. Dosyanın bulunduğu klasörün ACL’leri, paylaşım linkleri ve grup üyelikleri erişim ve maruziyet grafiğine işlenir. Ayrılmış kullanıcı erişimleri, çözülemeyen SID’ler, döngüsel grup üyelikleri ve “kuruluştaki herkes” paylaşımları öne çıkarılır. Erişim daraltma, izin kaldırma eylemi olarak sorumluya atanır ve ayrı onay yetkisiyle yürütülür.

Açık 3: Arşivin içeriği sınıflandırılmamış. Türkçeye özel tespit motoru ileti gövdesi ve eklerde TCKN, IBAN, telefon, kart numarası ve sağlık verisi gibi türleri bağlamıyla bulur; her bulgu güven yüzdesi ve maskeli örnekle gösterilir. Sınıflandırma etiketi, dosyanın gizlilik derecesini ve iş kategorisini belirler.

Açık 4: Saklama süresi uygulanmıyor. Etiketler saklama takvimine bağlanır. Ayrılan çalışan arşivleri için tanımlanan süre dolduğunda dosya “açıklar” listesine düşer ve imha ya da karantina akışına girer; kararın “süresiz erişilebilir değildir” ilkesi operasyonel bir kurala dönüşür.

Açık 5: Erişim ve eylem kaydı yok. Seratus’ta her görüntüleme, atama, onay ve eylem kim, ne zaman, neden bilgisiyle denetim kaydına yazılır. Denetim raporu ve kaynak bazlı detay PDF, Excel veya CSV olarak dışa aktarılır; bulgular SIEM ve talep yönetimi sistemlerine iletilebilir.

Sonuç

2026/2035 sayılı İlke Kararı, kurumsal e-postayı işverenin serbestçe gezebileceği bir alan olmaktan çıkarır ve her erişimi amaç, kapsam, yöntem, süre ve kayıt şartlarına bağlar. Bu şartların en zor uygulandığı yer canlı posta değil, yıllardır dosya sunucularında bekleyen arşivlerdir. Nerede olduğu bilinmeyen, herkese açık ve süresiz saklanan bir PST dosyası, kararın her ilkesini aynı anda ihlal eder. Seratus bu dosyaları bulur, içeriğini sınıflandırır, erişimini gösterir, saklama süresini uygular ve her adımı kanıtlar; canlı posta kutusuna bağlanmadan.