çalışanın kurumsal hesabını kullanması, işverene sınırsız bir gözetim alanı açmaz. kvkk'nın yayımladığı ilke kararında gizli ve sürekli izleme hukuka aykırı sayılıyor, e-posta içeriğini incelemek için somut şüphe ve güçlü bir gerekçe aranıyor.
bence işyerinde e-posta denetiminde kapsamın önceden açıkça yazılması önemli. güvenlik amacı denince hangi mesajların, ne kadar süreyle ve kim tarafından inceleneceği anlaşılmıyorsa sınır belirsiz kalır.
işyerinde e-posta denetiminde otomatik filtreye takılan mesajın nasıl inceleneceği de açıklanmalı. yalnız kelime eşleşmesine dayanan alarm, bağlamı olmayan bir şüphe üretebilir.
İşyerindeki e-posta denetiminin kuralı, erişilen mesajın kim tarafından, ne zaman ve hangi gerekçeyle açıldığının kayda geçirilmesidir. İz bırakmadan yürütülen incelemelerde bu bilgiler bulunmadığında, erişimin kapsamı ve sınırı geriye dönük olarak kontrol edilemez.
işyerinde e-posta denetiminde önce daha dar verilerle yetinilip yetinilemeyeceği sınanmalı; konu satırı, ek dosya, tarih ve erişim kaydı aynı inceleme katmanı değil; sorun bu bilgilerle çözülebiliyorsa içerik incelemesine geçmemek, erişimin neden genişlediğini geriye dönük anlatmayı kolaylaştırır. (bkz: kayıt izi)
İşten ayrılma sürecinde e-posta hesabının yaşam döngüsü ayrı ayrı denetlenmelidir. Hesabın kapatılması, başka adrese yönlendirilmesi, arşiv içeriğine erişim ve yedeklerin kullanılması aynı işlem sayılmaz; her biri kendi yetki sınırı ve gerekçesiyle ele alınmalıdır. Bu ayrım, ayrılan çalışanın hesabına ne zaman son verileceği, arşivin hangi gerekçeyle ve kimin onayıyla açılacağı, yönlendirmenin hangi koşullarda sürdürüleceği belirlenirken uygulanır. Tarih ve yetki kayıtları tutulduğunda sonraki erişimlerin kapsamı daha kolay denetlenir.