Şirket E-Posta Hesabı Eski Çalışanın Kontrolünde Kalırsa Yazışmalar Nasıl Korunur?

Satış temsilcisi işten ayrıldı; müşteri teklifleriniz onun adına açılmış şirket e-posta hesabında duruyor ve şifreyi hâlâ biliyor olabilir. Şirket müşteriye verilen sözü, teklifin son sürümünü ve gelen itirazı kaybetmeden erişimi durdurmalıdır. Hesap şirket alan adına ait olsa bile içindeki her mesajın sınırsız okunabileceği varsayılmaz. Ticari kayıtların korunması, çalışan ve müşteri kişisel verilerinin ölçülü işlenmesi ve gerçekte kimin ne yaptığına ilişkin deliller birlikte yönetilir.

İlk saatlerde hangi teknik ve hukuki adımlar atılır?

Yetkili BT yöneticisi aktif oturumları ve erişim anahtarlarını iptal eder; parola, kurtarma adresi, ikinci faktör ve yönlendirme kuralları gözden geçirilir. Sadece şifreyi değiştirmek, önceden verilmiş uygulama jetonunu veya telefonda açık oturumu her zaman kapatmaz. Alan adı, posta kutusu ve yedek hizmetinin hangi şirkete ait olduğu sözleşmeyle teyit edilir. Başka çalışanın kişisel hesabına girilmez; şirket sisteminin yetkili yönetici işlemleri izlenir.

İşlem öncesi ve sonrası zaman damgalı yönetim kayıtları, oturum IP bilgisi, otomatik yönlendirme ayarları ve şüpheli dışa aktarma göstergeleri mümkün olduğunca özgün biçimde saklanır. Şirket daha sonra “eski çalışan dosyaları sildi” diye iddia edecekse, silmenin hangi hesapla hangi anda yapıldığını gösterebilmelidir. Loglar değiştirilmeden, erişim yetkisi sınırlanmış bir kopyada ve tutanakla korunur. Gizli müşterilere açık bir toplu e-posta göndermek, sorunu büyütebilir.

Kurumsal posta şirketin malıysa bütün içerik okunabilir mi?

KVKK Kurulunun 2023/86 sayılı karar özeti, kurumsal e-postanın iş amaçlı denetiminde amaç, önceden bilgilendirme ve ölçülülüğün önemini gösterir. İletişim akışının ve içerik incelemesinin ağırlığı farklıdır. Önce erişim günlükleri, gönderen ve muhatap bilgisi ile somut ticari işlem aranır; içerik incelemesi ihtiyacın gösterdiği belirli yazışmalarla sınırlandırılır. Çalışanın açıkça özel olduğu anlaşılan mesajlarını rastgele başka ekiplere dağıtmak, hesap kurumsal olsa da risklidir.

6698 sayılı Kanun m. 4 işleme amacına bağlı, sınırlı ve ölçülü davranılmasını; m. 5 hukuki işleme şartlarını; m. 10 aydınlatmayı ve m. 12 veri güvenliği tedbirlerini düzenler. Her dosyada “açık rıza aldık” demek tek seçenek değildir ve genel bir izin metni sınırsız erişim sağlamaz. Meşru menfaat ve hakkın korunması gibi dayanakların koşulları somutlaştırılmalıdır. Ayrılan çalışana ait kişisel yazışmaların ayrıştırılmasında gizlilik ve veri saklama politikası uygulanır.

Müşteriye gönderilmiş teklif ve kabul nasıl korunur?

Teklifin PDF eki, alıcı adresi, sunucu üstbilgileri, yanıt zinciri, sipariş numarası ve teslim belgeleri birlikte alınır. E-posta ile siparişin sözleşmeye etkisi ayrıca değerlendirilir. Eski çalışan hesapta kaldı diye gönderilmiş bütün tekliflerin kendiliğinden geçersiz olduğu söylenemez. Şirketi temsil yetkisi, gönderme tarihi, müşteri kabulü ve sonradan yapılan ifa ayrı incelenir.

TTK m. 82, tacirin ticari defterlerini ve ticari faaliyetleriyle ilgili belgeleri saklamasına ilişkin çerçeve sunar; e-posta arşivinin tamamını gereksiz yere çalışanların telefonlarına kopyalamayı haklı kılmaz. Şirket kritik açık işlerin listesini çıkarıp müşteriye yalnız gerekli iletişim değişikliğini güvenilir başka kanaldan doğrular. Özellikle ödeme IBAN'ı değiştiriliyorsa müşteri, bilinen telefon numarasından teyit için uyarılmalı; sahte yönlendirme şüphesi kayıt altına alınmalıdır.

Veri ihlali olup olmadığı nasıl değerlendirilir?

Şüpheli oturum görmek, her durumda müşterinin kişisel verilerinin üçüncü kişiye geçtiğinin kanıtı değildir. Hangi hesabın hangi verilere erişebildiği, gerçekten dışa aktarma olup olmadığı ve erişimi olan kişinin yetki durumu araştırılır. Kişisel veriler kanuni olmayan yollardan başkaları tarafından elde edilmişse KVKK m. 12/5 bildirim yükümlülüğü doğabilir. Kurulun 2019/10 kararına ilişkin duyurusu, öğrenmeden itibaren en geç 72 saatte Kurula bildirim ölçütünü açıklar; bu süre, her şüpheli posta olayı için otomatik ihlal ilanı anlamına gelmez.

Örneğin ayrılan personelin hesabında yalnız tarihi teklifler bulunuyor, ayrıldıktan sonra hiç giriş görünmüyorsa tedbir ve saklama değerlendirmesi başka; ayrıldıktan sonra gelen müşteri kimlik belgeleri özel adrese otomatik aktarılmışsa başka olur. İkinci durumda aktarılan veri türü, kişi sayısı, alıcının kimliği, erişim kısıtlaması ve bildirim değerlendirmesi yazılı karar dosyasında tutulmalıdır. Ticari sır iddiası ile kişisel veri ihlali ayrı hukuki başlıklardır.

Eski çalışandan ne istenebilir?

Hesabın ve şirket varlıklarının teslimi, şirket belgelerinin üçüncü kişiye gönderilmemesi, varsa kopyaların akıbetinin açıklanması yazılı ve somut biçimde istenir. İş sözleşmesi, gizlilik ve hesap kullanım kuralları incelenir. Şirket zararı iddia ediliyorsa TBK çerçevesinde ihlal, gerçek zarar ve nedensellik kurulmalıdır. “Müşteri bizi aramadı” tek başına belirli satış kaybını kanıtlamaz. İş sözleşmesinin sona ermesiyle ücret ve işçilik hakları da ayrı tasfiye edilir; erişim uyuşmazlığı bu hakların belirsiz tutulmasına gerekçe olamaz.

Denetlenebilir dosya listesi

• İşten ayrılış, zimmet, erişim kapatma ve yönetici işlem tutanakları;
• Hesap sahipliği, hizmet sağlayıcı sözleşmesi, yedek ve log saklama ayarları;
• Aktif sipariş, fiyat teklifi ve müşteri kabul zincirleri;
• Yönlendirme kuralları, şüpheli girişler ve olası dışa aktarma raporu;
• Aydınlatma metni, bilgi güvenliği politikası ve ihlal değerlendirmesi.

Hesabın teknik sahipliği sorunu alan adına yayılmışsa alan adı ve sosyal hesap kontrolü yazısı ayrı bir kayıt zinciri sunar.

Sık sorulan sorular

Eski çalışanın özel telefonundaki bütün e-postalar incelenebilir mi?

Şirket, kendi sistem kayıtlarını yetkili ve ölçülü yöntemle korur. Özel telefona sınırsız erişim hakkı doğmaz; cihaz ve veri türü bakımından ayrı hukuki dayanak gerekir.

Hesap hemen silinmeli mi?

Önce aktif erişim kesilir ve korunması gereken ticari kayıtlar güvenli biçimde ayrılır. Silme ve saklama, hukuki yükümlülükle veri minimizasyonu birlikte gözetilerek planlanır.

Müşteriye hemen “verileriniz çalındı” denir mi?

Gerçek erişim ve aktarım tespit edilir; ihlal koşulları varsa Kurula ve ilgililere gerekli bildirim yapılır. Kanıtsız bir ifade de geciktirilmiş zorunlu bildirim de sakıncalıdır.

Resmî kaynaklar

• KVKK Kanun metni m. 4, 5, 10, 12
• KVKK Kurulu 2023/86 kurumsal e-posta kararı
• KVKK 2019/10 veri ihlali bildirimi
• Adalet Bakanlığı TTK
• Adalet Bakanlığı TBK

Hesabın sahipliği, loglar ve iş sözleşmesi somut olarak incelenmelidir. Ticari yazışma uyuşmazlığı için iletişim sayfasından başvurabilirsiniz. Bu yazı genel bilgi verir.

Resmî kaynaklar: Türk Ticaret Kanunu (6102)