İşten Ayrılan Çalışanın E-Posta Hesabı Nasıl Yönetilir? KVKK Rehberi 2026

Kısa cevap: İşten ayrılan çalışanın kurumsal e-posta hesabı sınırsız süre açık bırakılıp gelen iletiler başka çalışanlarca okunmamalıdır. İş ilişkisi sona erdiğinde çalışanın erişimi derhal kapatılmalı, iş sürekliliği için gerçekten gerekli kurumsal iletiler önceden belirlenmiş ve belgeli bir prosedürle sınırlı süre yönetilmeli, kişisel/iş dışı veriler ayrılmalı ve saklama sebebi sona eren veriler imha edilmelidir. KVKK Kurulunun 2023/1321 sayılı kararında eski hesaba gelen iletilerin “tanımsız mail” olarak yöneticiye düşmeye devam etmesi hukuka aykırı bulunurken, 2024/284 sayılı kararda yönetici pozisyonundaki hesabın belgeli prosedür çerçevesinde iki ay süreyle yeni yöneticiye yönlendirilmesi iş sürekliliği ve meşru menfaat bakımından somut olayda hukuka uygun değerlendirilmiştir.

İşten Ayrılma Anında İlk Yapılması Gerekenler

İş sözleşmesi sona erdiğinde ilk teknik işlem, eski çalışanın kurumsal sistemlere erişimini kesmektir. E-posta, VPN, bulut depolama, CRM, ERP, dosya sunucusu, proje yönetim sistemi ve yönetici panellerindeki kullanıcı hesabı aynı çıkış planı içinde değerlendirilmelidir. Hesabın sadece e-posta şifresini değiştirmek yeterli olmayabilir; aktif oturumlar, mobil cihazlar, uygulama parolaları, çok faktörlü doğrulama anahtarları ve üçüncü taraf entegrasyonları da kapatılmalıdır.

Bu işlem KVKK bakımından yalnız eski çalışanın verisini değil, şirket müşterilerinin, çalışanların ve üçüncü kişilerin verisini korur. İşten ayrılmış kişinin şirket hesabıyla işlem yapabilmesi hem yetkisiz erişim hem temsil riski doğurur. Kurulun 2021/205 sayılı kararında iş ilişkisinin sona ermesinden sonra kurumsal e-posta hesabının kapatılması hayatın olağan akışı ve veri güvenliği açısından hukuka aykırı bulunmamıştır.

Kurumsal E-Posta Hesabı Hemen Kapatılmalı mı?

Çalışanın hesaba giriş yetkisi iş ilişkisinin sona ermesiyle kapatılmalıdır. Ancak “hesabı kapatmak” ile “adresin bütün teknik varlığını aynı saniye silmek” aynı şey değildir. Şirket, iş sürekliliği için sınırlı bir geçiş süreci planlayabilir. Önemli olan bu geçişin önceden belirlenmiş hukuki ve teknik prosedüre dayanması, yalnız gerekli kurumsal iletiyi kapsaması ve eski çalışanın kişisel verilerinin belirsiz süre işlenmesine dönüşmemesidir.

Adres uzun süre açık bırakılıp şifresi yeni çalışana verilirse yeni çalışan eski kişinin bütün posta kutusuna erişebilir. Bu uygulama genellikle ölçülülük sorununa yol açar. Bunun yerine eski kullanıcının giriş yetkisi kapatılır, gerekli iş kayıtları rol bazlı kurumsal klasöre aktarılır ve gelen yeni iletiler için sınırlı bir geçiş mekanizması kurulur.

Eski E-Posta Adresi Başka Çalışana Yönlendirilebilir mi?

Her durumda “evet” veya “hayır” denemez. Yönlendirme, iş sürekliliği bakımından veri sorumlusunun meşru menfaatine dayanabilir; ancak temel hak ve özgürlüklerle denge testi yapılmalıdır. Görevin niteliği, müşterilerin eski adrese yazmaya devam etme ihtimali, yönlendirme süresi, erişecek kişinin rolü, otomatik yanıt imkânı ve özel içerik riskleri birlikte değerlendirilir.

Kurulun 2024/284 sayılı kararında yönetici pozisyonundaki ayrılan personelin hesabının şirketin “Erişim ve Yetki Prosedürü” uyarınca iki ay süreyle yeni yöneticiye yönlendirilmesi ve bu sürenin iş sürekliliği amacıyla kullanılması somut olayda meşru menfaat bakımından kabul edilmiştir. Karar, “iki ay bütün şirketler için kanuni standarttır” anlamına gelmez. Önemli olan sürenin belgeli, sınırlı, görevin özelliğiyle orantılı ve önceden belirlenmiş olmasıdır.

2023/1321 ile 2024/284 Kararları Neden Farklı?

2023/1321 sayılı kararda eski ortağın pasif durumdaki e-posta adresine gönderilen iletiler sistem tarafından “tanımsız mail” olarak yönetici adresine düşüyordu. Kurul, iş ilişkisinin/ortaklığın sona ermesinden sonra bu iletilerin görüntülenmesini KVKK m.5’te bir işleme şartına dayanmayan kişisel veri işleme faaliyeti saydı; idari para cezası uygulanmasına ve sistemin düzeltilmesine karar verdi.

2024/284 sayılı kararda ise farklı bir yapı vardı: erişim prosedürü belgelenmişti, hesabın kullanıcısı yönetici pozisyonundaydı, hesap işten ayrıldıktan sonra kullanıcı tarafından açılmamıştı ve iş sürekliliği amacıyla belirlenmiş iki aylık yönlendirme uygulanmıştı. Bu nedenle aynı teknik kavram olan “yönlendirme” iki dosyada farklı hukuki sonuca ulaştı. Sonucu belirleyen amaç, gereklilik, süre, prosedür ve erişim kapsamıdır.

İş E-Postası ile Kişisel E-Posta Ayrımı Nasıl Yapılır?

Kurumsal e-posta adresi iş amacıyla tahsis edilse de posta kutusunda kişisel veriler yer alır. Çalışanın özel sağlık bilgisi, aile yazışması, banka bilgisi, kişisel şifre veya başka özel içerik kurumsal hesaba yanlışlıkla ulaşmışsa işveren bu verileri iş amacı dışında kullanamaz ve erişimi veri minimizasyonu ilkesine göre sınırlar. “Şirket domaini olduğu için her içerik şirketindir” yaklaşımı kişisel veri ve özel hayat korumasını ortadan kaldırmaz.

İşveren politikası kurumsal hesabın iş amaçlı kullanılacağını açıkça belirleyebilir ve çalışanı aydınlatabilir. Buna rağmen ayrılma sonrasında posta kutusu incelenirken erişimin iş amacına bağlı, gerekli ve ölçülü tutulması gerekir. İşle ilgisiz içerik fark edildiğinde erişim durdurulmalı ve ilgili verinin hukuki sebebi ayrıca değerlendirilmelidir.

Eski Posta Kutusundaki İş Kayıtları Nasıl Ayrıştırılır?

Projeler, müşteri sözleşmeleri, teklif yazışmaları, teslim kayıtları ve iş süreçleri şirketin hukuki yükümlülüğü veya bir hakkın tesisi, kullanılması ve korunması için gerekli olduğu sürece kurumsal kayıt olarak saklanır. Bu kayıtların işten ayrılan kişinin hesabında dağınık bırakılması yerine belge yönetim sistemine, müşteri dosyasına veya proje klasörüne taşınması daha sağlıklıdır. Böylece kişisel hesap kimliği üzerinden sürekli veri işleme ihtiyacı azalır.

Arşivleme işleminde “bütün mailboxı on yıl sakla” yaklaşımı yerine veri kategorisi bazında süre uygulanmalıdır. Muhasebe belgesi, sözleşme, personel verisi, ticari yazışma ve basit günlük mesajın hukuki saklama ihtiyacı farklıdır. Yasal zorunluluk veya devam eden dava varsa gerekli kayıtlar korunur; gereksiz kopyalar imha edilir.

E-Postalar Kaç Yıl Saklanır?

Kurumsal e-posta için bütün içerikleri kapsayan tek KVKK süresi yoktur. KVKK m.4, ilgili mevzuatta öngörülen veya işleme amacı için gerekli süreyi esas alır. İş Kanunu, TBK, TTK, vergi ve dava zamanaşımı gibi farklı düzenlemeler belirli kayıtların saklanmasını gerektirebilir. Ancak bu süreler, eski çalışanın tüm posta kutusunu sınırsız saklamak için genel ruhsat değildir.

Kurulun 2021/205 ve 2023/1548 kararlarında iş ilişkisi ve dava süreçleri bakımından hukuki yükümlülük/hakkın korunması amaçlı belirli verilerin saklanabileceği görülmektedir. Saklanacak içerik uyuşmazlıkla bağlantılı olmalı ve erişim yetkisi sınırlandırılmalıdır. Dava bittiğinde veya süre dolduğunda imha takvimi işletilmelidir.

Otomatik Yanıt Kullanmak Daha Güvenli mi?

Çoğu durumda evet. “Ahmet Yılmaz şirketimizden ayrılmıştır. Bundan sonraki iş yazışmalarınız için x@firma.com adresini kullanınız” şeklindeki otomatik yanıt, eski adrese yeni veri gelmesini azaltır. Mesajın gönderen kişiye doğrudan gitmesi, eski çalışanın posta kutusundaki iletileri başka çalışana aktarmaktan daha az veri işleyebilir.

Otomatik yanıt metninde ayrılmanın sebebi, disiplin iddiası veya kişisel bilgi paylaşılmamalıdır. Sadece iş sürekliliği için gerekli görev değişikliği bilgisi verilir. Belirli geçiş döneminden sonra eski adres tamamen devre dışı bırakılabilir veya göndericiye teslim edilemedi bildirimi verilebilir.

Adres Takma Adı Olarak Sonsuza Kadar Tutulabilir mi?

Eski adın şirket sisteminde sürekli alias olarak tutulup bütün mesajların yöneticilere düşmesi 2023/1321 kararındaki riske benzer. İşveren, “müşteri belki yıllar sonra yazar” gerekçesiyle belirsiz süreli yönlendirme yapmamalıdır. Süre, görevin niteliğine göre önceden belirlenmeli ve düzenli olarak sona erdirilmelidir.

Genel satış veya destek adresi kullanmak bu riski azaltır. Çalışanların müşteri ilişkilerini sadece ad.soyad@ şirket adresine bağlamak yerine satis@, destek@, hukuk@ gibi rol adresleri kullanılırsa personel değişiminde kişisel adrese yönlendirme ihtiyacı azalır.

Yönetici ve Kilit Personelde Farklı Uygulamanın Şartları Nelerdir?

Yönetici, satış sorumlusu, müşteri temsilcisi veya tek başına belirli projeyi yürüten personelin ayrılmasında iş sürekliliği riski daha yüksektir. Sınırlı yönlendirme süresi ancak belgeli iş sürekliliği ihtiyacıyla ve ölçülülük sınırı içinde gerekçelendirilir. Ancak görevin kritik olması sınırsız erişim hakkı vermez. Hangi müşterilerin devredileceği, hangi proje klasörlerinin taşınacağı ve yönlendirmenin ne zaman biteceği çıkış planında yazılı olmalıdır.

Kurulun 2024/284 kararındaki iki aylık uygulama, somut olayda yönetici pozisyonu ve belgeli prosedürle birlikte değerlendirilmiştir. Aynı süreyi stajyer veya kısa süreli çalışan için gerekçesiz uygulamak ölçülülük testinden geçmeyebilir. Her rol için risk bazlı matris oluşturulmalıdır.

Dava veya Soruşturma Varsa E-Posta Silinir mi?

Devam eden iş davası, ceza soruşturması, ticari uyuşmazlık veya iç soruşturma varsa belirli e-postaların delil olarak korunması gerekebilir. KVKK m.5/2-e’deki bir hakkın tesisi, kullanılması veya korunması hukuki sebebi bu bağlamda uygulanabilir. Ancak “dava ihtimali var” denilerek bütün eski çalışan e-postalarının süresiz arşivlenmesi uygun değildir.

Legal hold yöntemiyle uyuşmazlıkla ilgili tarih, kişi ve konu aralığı belirlenebilir. Delil bütünlüğü için salt okunur kopya, erişim kaydı ve hash/teknik kayıt uygulanabilir. Uyuşmazlık kesinleştiğinde saklama ihtiyacı tekrar değerlendirilir.

Bilgi Güvenliği Açısından Hangi Kontroller Yapılmalı?

İşten çıkış listesinde parola değişimi, aktif oturum kapatma, token iptali, mobil cihaz yönetimi, şirket cihazının teslimi, DLP kayıtlarının kontrolü, kişisel buluta veri aktarımı ve harici disk kullanımı incelenmelidir. Kurulun veri ihlali kararlarında eski çalışanların kişisel e-postaya veri göndermesi ve DLP sistemlerinin doğru yapılandırılmaması ciddi risk olarak ele alınmıştır.

Çalışan çıkmadan önce şirket verilerinin kişisel e-posta veya bulut hesabına kopyalanması önlenmelidir. Ancak inceleme yapılırken çalışanın özel verileri gereksiz şekilde açılmamalıdır. Bilgi güvenliği ile özel hayat koruması birlikte yürütülür.

İşveren İçin E-Posta Çıkış Prosedürü

1. İK çıkış tarihini BT ve ilgili yöneticiye bildirir.
2. Çalışanın aktif erişimleri son iş anında kapatılır.
3. Görev dosyaları ve kurumsal belgeler rol klasörüne devredilir.
4. Eski adres için gerekiyorsa sınırlı süreli otomatik yanıt/yönlendirme kararı yazılı verilir.
5. Yönlendirme süresi rol ve gereklilik gerekçesiyle belirlenir.
6. Yönlendirilecek kişilerin erişim yetkisi minimum tutulur.
7. Kişisel içerik fark edilirse işleme durdurulur ve hukuki sebep değerlendirilir.
8. Dava/kanuni saklama kapsamındaki belirli kayıtlar ayrı arşive alınır.
9. Süre sonunda alias/yönlendirme kapatılır.
10. Silme ve imha işlemleri kayıt altına alınır.

Eski Çalışan Hangi Hakları Kullanabilir?

Eski çalışan KVKK m.11 ve 13 kapsamında işverene başvurarak hangi e-posta verilerinin işlendiğini, işleme amacını, aktarım yapılan kişileri ve saklama süresini sorabilir; şartları varsa silme/yok etme talebinde bulunabilir. Veri sorumlusu başvuruyu en geç otuz gün içinde cevaplar.

Başvuruya “kurumsal e-posta şirketindir” şeklinde genel cevap vermek yeterli değildir. İşveren hangi işleme şartına dayandığını, hangi verinin neden tutulduğunu ve yönlendirme varsa kapsam/süreyi açıklamalıdır. İşleme şartı sona ermiş veriler imha edilmelidir.

İşten Ayrılmadan Önce Çalışana Ne Bildirilmelidir?

E-posta ve bilişim kaynakları kullanım politikası işe girişte aydınlatılmalıdır. Çalışan kurumsal hesabın iş amacıyla kullanıldığını, hangi hâllerde erişim/denetim yapılabileceğini, işten ayrılınca hesabın nasıl kapatılacağını ve gerekli iş kayıtlarının nasıl devredileceğini önceden bilmelidir. Son gün sürpriz uygulama yapmak yerine şeffaf politika izlenmelidir.

Politika, işverene “istediğim her mesajı her zaman okurum” yetkisi veren sınırsız metin hâline getirilmemelidir. Denetim ve erişim de KVKK’nın gereklilik ve ölçülülük ilkelerine tabidir.

Türkiye Geneli ve Mersin Uygulaması

KVKK ve iş hukuku yükümlülükleri Türkiye genelinde aynıdır. Mersin merkezli bir şirketin İstanbul veya uzaktan çalışan personelinin hesabı da aynı çıkış prosedürüne tabi tutulur. Yurt dışındaki grup şirketi veya bulut hizmet sağlayıcıya yönlendirme/aktarım varsa ayrıca KVKK m.9 yurt dışı aktarım şartları incelenir.

Bakırcı & Keskin Hukuk Bürosu’nun İstanbul ve Mersin’de fiziksel ofisleri bulunmaktadır. İşverenlerin çalışan verileri, kurumsal e-posta, erişim prosedürü ve KVKK saklama/imha çalışmalarının hukuki koordinasyonu Türkiye genelinde Mersin’den yürütülebilir.

Sık Sorulan Sorular

İşten ayrılan çalışanın e-postası hemen kapatılır mı?

Çalışanın erişim yetkisi iş ilişkisi bittiğinde kapatılmalıdır. İş sürekliliği için adresin sınırlı teknik geçişi ayrı değerlendirilir.

Eski mailler yeni çalışana verilebilir mi?

Bütün posta kutusunun sınırsız devri yerine gerekli kurumsal kayıtlar amaçla sınırlı şekilde aktarılmalıdır.

E-posta iki ay yönlendirilebilir mi?

2024/284 kararında belgeli prosedür ve yönetici pozisyonu için iki ay somut olayda uygun bulunmuştur. Bu süre bütün işverenler için genel kanuni süre değildir.

Eski adrese gelen mailleri yönetici okuyabilir mi?

Belirsiz ve hukuki sebebi olmayan yönlendirme 2023/1321 kararında hukuka aykırı bulunmuştur.

Otomatik yanıt kullanılabilir mi?

Evet. Yeni iletişim kişisini bildiren, ayrılma sebebini açıklamayan ölçülü otomatik yanıt iş sürekliliği için uygun yöntemdir.

Dava varsa eski mailler tutulabilir mi?

Uyuşmazlıkla bağlantılı gerekli kayıtlar hakkın tesisi/kullanılması/korunması amacıyla saklanabilir; bütün mailboxın süresiz tutulması gerekmez.

Kurumsal mailde kişisel içerik varsa ne olur?

Kurumsal hesap iş amaçlı olsa da kişisel veriler koruma altındadır. İşle ilgisiz içeriğe erişim gereksizse durdurulmalıdır.

Eski çalışan verilerin silinmesini isteyebilir mi?

Evet. İşleme şartları sona eren veriler için KVKK m.11 ve 13 kapsamında silme/yok etme talebi yapılabilir.

Eski e-posta adresi yıllarca alias olarak tutulabilir mi?

Belirsiz süreli ve bütün iletileri başka kişiye aktaran yapı ciddi KVKK riski taşır. Süre ve amaç önceden sınırlandırılmalıdır.

Şirket cihazı geri alınabilir mi?

Evet. İş için tahsis edilen cihazın iş ilişkisi sona erince geri alınması ve erişimin kapatılması kural olarak hukuka aykırı değildir; kişisel verilere gereksiz erişimden kaçınılmalıdır.

Resmî Kaynaklar

• KVKK Kurulu 2023/1321
• KVKK Kurulu 2024/284
• KVKK Kurulu 2021/205
• 6698 sayılı Kanun

Çıkış Tutanağında E-Posta Yönetimi Nasıl Belgelenmelidir?

İşten ayrılma tarihinde yalnız hesabın kapatıldığı değil, hangi erişimlerin sonlandırıldığı, varsa hangi kurumsal kayıtların devredildiği ve geçici yönlendirme uygulanacaksa bunun amacı ile bitiş tarihi de kayıt altına alınmalıdır. Böyle bir tutanak, daha sonra eski çalışanın hesabına kimlerin hangi amaçla eriştiği konusunda belirsizlik oluşmasını önler.

Yönlendirme uygulanıyorsa kapsamın “tüm geçmiş posta kutusuna erişim” şeklinde değil, iş sürekliliği için gerekli yeni iletilerin sınırlı yönetimi şeklinde kurulması gerekir. Süre dolduğunda teknik yönlendirme kapatılmalı; gerekli kurumsal kayıtlar ise kendi saklama hukuki sebeplerine göre ayrı arşivde tutulmalıdır.

Çıkış Kontrolü

• E-posta ve aktif oturumlar kapatıldı mı?
• Mobil cihaz ve uygulama erişimleri iptal edildi mi?
• Kurumsal dosyalar görev klasörüne devredildi mi?
• Geçiş yönlendirmesinin bitiş tarihi belirlendi mi?
• İmha edilmesi gereken gereksiz kopyalar ayrıldı mı?

İlgili Hukuki Rehberler

• İş başvurusunda CV saklama süresi ve KVKK
• İşveren işçinin e-postalarını okuyabilir mi?
• İşveren işçinin WhatsApp mesajlarını okuyabilir mi?