E-posta İmzasında Hukuken Bulunması Gerekenler

9 Eylül 2026

Günümüzün dijital öncelikli iş ortamında, hedef kitlenizle olan her temas noktası kritik öneme sahiptir. Buna e-posta imzanız da dahildir. Ancak çoğu zaman yalnızca bir kartvizit gibi görülen e-posta imzaları, Türkiye’de faaliyet gösteren kurumlar için genellikle göz ardı edilen yasal bir boyuta sahiptir: KVKK uyumluluğu ve Türk Ticaret Kanunu’ndan (TTK) kaynaklanan zorunlu bilgilendirme yükümlülükleri.

Çalışanların iletişim bilgilerinin işlenmesinden ticari yazışmalarda bulunması zorunlu sicil kayıtlarına kadar uzanan bu hukuki çerçeve, kurum sınırlarını aşarak geniş bir etki alanı yaratır. Türkiye’deki işletmeler veya kişilerle iletişim kuran her kurum için, imzalarda yer alan kişisel verilerin ve yasal aydınlatmaların bu kurallara uygunluğunu sağlamak sadece iyi bir uygulama değil, yasal bir zorunluluktur. Uyumsuzluk ise önemli para cezalarına ve itibar kaybına yol açabilir.

E-posta İmzalarınız KVKK İlkelerine Ne Kadar Uygun?

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), Türkiye’de kişisel verisi işlenen tüm gerçek kişilerin temel hak ve özgürlüklerini korumak amacıyla düzenlenmiştir. Yalnızca Türkiye’de yerleşik kurumlar için değil, Türkiye’deki bireylerin verilerini işleyen yurt dışı merkezli kurumlar için de bağlayıcıdır. Bu durum, Türkiye’deki herhangi bir kişiyle iletişim kurmanız halinde KVKK yükümlülükleriyle karşılaşabileceğiniz anlamına gelir.

KVKK, temel olarak birkaç temel ilkeye odaklanır:

• Hukuka ve dürüstlük kurallarına uygun olma: Veri işleme faaliyetleri yasalara ve genel ahlak/dürüstlük kurallarına uygun yürütülmelidir.
• Doğru ve gerektiğinde güncel olma: İşlenen veriler gerçeği yansıtmalı ve gerektiğinde güncellenebilmelidir.
• Belirli, açık ve meşru amaçlar için işlenme: Verinin hangi amaçla işlendiği şeffaf ve meşru olmalıdır.
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma: Sadece amaca ulaşmak için gereken kadar veri işlenmeli, aşırıya kaçılmamalıdır.
• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme: Amaç sona erdiğinde veya yasal süre dolduğunda veriler silinmeli, yok edilmeli veya anonim hale getirilmelidir.

Bu ilkeler, e-posta imzası gibi görünüşte basit bir şeyde bile, bilgiyi nasıl yönettiğinizi doğrudan etkiler.

E-posta İmzanız Ticaret Hukuku Açısından Uyumlu mu?

KVKK yanı sıra kurumlar için e-posta imzaları Türk Ticaret Kanunu’nun 39. maddesi kapsamında da ayrı bir yasal zorunluluğa tabidir. Bu madde, tacirlerin kullandıkları her türlü belge ve ticari mektupta (elektronik posta dahil) belirli bilgilerin yer almasını şart koşar. KVKK’nın aksine bu yükümlülük kişisel veri korumasından değil, üçüncü kişilerin kurumla hukuki ilişkiye girerken kiminle muhatap olduklarını net biçimde bilmesini sağlamaktan kaynaklanır.

TTK m. 39/2 uyarınca, tacirlerin işletmeleriyle ilgili olarak gönderdikleri her türlü belgede (e-posta yazışmaları dahil) aşağıdaki bilgilerin bulunması zorunludur:

• Ticaret Unvanı: İşletmenin ticaret siciline tescil edilmiş tam unvanı, kısaltma veya farklı bir kullanım olmaksızın eksiksiz yazılmalıdır.
• Merkez Adresi: Ticaret siciline kayıtlı işletme merkezinin adresi.
• Ticaret Sicili ve Numarası: İşletmenin kayıtlı olduğu ticaret sicili müdürlüğü ve sicil numarası.
• MERSİS Numarası: Merkezi Sicil Kayıt Sistemi’nde işletmeye ait benzersiz numara.
• Sermaye Bilgisi (Anonim ve Limited Şirketler İçin): Şirketin taahhüt edilen ve ödenmiş sermaye tutarları; henüz tamamı ödenmemişse bu husus da açıkça belirtilmelidir.
• İnternet Sitesi Adresi: TTK md. 1524 uyarınca internet sitesi kurma ve bilgi toplumu hizmetlerini yayınlama yükümlülüğü bulunan sermaye şirketlerinin tescilli web sitesi adresi.

Bu unsurların eksik veya hatalı verilmesi, TTK m. 51 kapsamında idari para cezasına yol açabileceği gibi, kurumun ticari itibarı açısından da olumsuz bir izlenim yaratabilir. Bu nedenle e-posta imzası tasarlanırken KVKK uyumluluğu ile TTK m. 39 zorunlulukları birlikte değerlendirilmeli, imza şablonu her iki mevzuatı da karşılayacak şekilde kurgulanmalıdır.

E-posta İmzası Bir Veri İletişim Noktası Olarak KVKK İçin Neden Önemli?

Genellikle temel iletişim bilgilerini içeren bir e-posta imzasının KVKK kapsamına nasıl girdiğini merak edebilirsiniz. Cevap, “kişisel veri” ve “veri işleme” tanımlarında yatmaktadır.

Kişisel Veri: KVKK, kişisel veriyi kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgi olarak tanımlar. Bu, çalışanın adını, e-posta adresini, telefon numarasını, iş unvanını ve varsa fotoğrafını içerir. Bunların hepsi bir e-posta imzasında yaygın olarak bulunan unsurlardır.

İşleme: “İşleme”, otomatik olan veya herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla, kişisel veriler üzerinde gerçekleştirilen aktarma ve açıklama dahil hemen her işlemi kapsar. Çalışana ait kişisel verileri bir e-posta imzasına dahil edip bir e-posta gönderdiğinizde, bu verileri hukuken “işlemiş ve aktarmış” olursunuz.

Bu nedenle, kişisel veri içeren bir imza ile gönderilen her e-posta, KVKK ilkelerine ve şartlarına uyması gereken bir veri işleme faaliyetidir. Bunu göz ardı etmek, özellikle karmaşık düzenleyici ortamlarda faaliyet gösteren çokuluslu kurumlar için yasal sorunlara yol açabilir.

E-posta İmzanız KVKK Uyumlu mu?

Kurumunuza ait mevcut e-posta imzalarınızı değerlendirmek ve imzalarınızın tamamen KVKK uyumlu olduğundan emin olmak için aşağıda listelediğimiz kontrol listesini kullanabilirsiniz:

1. İşlemenin Yasal Dayanağı

İşlediğiniz her kişisel verinin Kanun’un 5. maddesinde belirtilen işleme şartlarından en az birine dayanması gerekir. İş bağlamında e-posta imzaları için en yaygın hukuki sebepler aşağıdakileri içermektedir:

Meşru Menfaat: Meşru menfaat, genellikle standart iş iletişim bilgilerini (ad, unvan, şirket, e-posta, telefon) bir e-posta imzasına dahil etmek için en uygun dayanaktır. Bu işlem, kurumunuzun meşru menfaatleri için (örneğin, kurumsal iletişimi sağlamak) gerçekten zorunlu olmalı ve çalışanın temel hak ve özgürlüklerine zarar vermemelidir.

Sözleşmenin İfası: E-posta iletişimi alıcıyla yapılan bir sözleşmeyle (örneğin, bir hizmet sözleşmesi) doğrudan ilgiliyse, belirli iletişim bilgileri bu sözleşmenin kurulması veya ifası için gerekli olabilir.

2. Veri Azaltma

KVKK, toplanan ve işlenen kişisel verilerin “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü” olmasını gerektirir.

Aşırı Kişisel Verilerden Kaçının: Profesyonel iletişim için kesinlikle gerekli olmayan kişisel bilgileri eklemeyin. Bu, kişisel cep telefonu numaralarını (iş hattı varsa), ev adreslerini veya işle ilgili olmayan aşırı kişisel sosyal medya bağlantılarını içerebilir.

İşle İlgililiğe Odaklanın: Alıcının göndereni profesyonel olarak tanımlamasına ve iş amaçlı olarak onlarla iletişime geçmesine yardımcı olan bilgilere bağlı kalın.

3. Aydınlatma Yükümlülüğü ve Şeffaflık

Bireyler, verilerinin nasıl işlendiği konusunda bilgilendirilme hakkına sahiptir (KVKK md. 10). Her imzada tam bir metin bulunması gerekmemekle birlikte, kurumunuzun ilgili Aydınlatma Metnine bir bağlantı sağlamak çok önemlidir.

Aydınlatma Metnine Bağlantı: Aydınlatma metniniz, veri sorumlusunun kimliğini, verilerin hangi amaçla ve hangi hukuki sebeple işlendiğini, kimlere hangi amaçla aktarılabileceğini ve ilgili kişilerin Kanun’un 11. maddesindeki haklarını açıkça açıklamalıdır.

Açık Gönderen Kimliği: Gönderenin adının, şirketinin ve iletişim bilgilerinin açık ve kolayca tanımlanabilir olduğundan emin olun.

4. Doğruluk ve Güncellik

Kişisel veriler doğru olmalı ve gerektiğinde güncel tutulmalıdır.

Güncel Bilgiler: İş unvanlarının, iletişim numaralarının ve diğer ayrıntıların güncel olduğundan emin olun. Güncel olmayan bilgiler yalnızca iletişimi engellemekle kalmaz, aynı zamanda KVKK ilkelerine aykırılık teşkil edebilir.

Tutarlı Veriler: İmzalardaki bilgilerin dahili özlük ve şirket kayıtlarınızla eşleştiğini doğrulayın.

5. Veri Güvenliği

E-posta imzası kendi başına bir güvenlik sistemi olmasa da, KVKK md. 12 uyarınca veri güvenliğinin sağlanması zorunludur.

Güvenli Yönetim Sistemi: Bir imza yönetim çözümü kullanıyorsanız, işlediği verileri korumak için Kişisel Verileri Koruma Kurulu’nun Veri Güvenliği Rehberi’ne uygun güvenlik önlemlerine sahip olduğundan emin olun

Yetkisiz Değişiklikleri Önleyin: Bireysel çalışanların uyumluluğu veya veri bütünlüğünü tehlikeye atabilecek yetkisiz değişiklikler yapmasını önleyen merkezi sistemler uygulayın.

6. İspat Yükümlülüğü ve Kayıt Yönetimi

KVKK, kurumların ilkelerine uyumluluğu gösterebilmelerini gerektirir.

Belgeleme: E-posta imza politikanızın, KVKK ile nasıl uyumlu olduğunun ve imzaları yönetme süreçlerinin kayıtlarını tutun.

Denetim Kayıtları: Merkezi bir yönetim sistemi, imza değişikliklerinin ve dağıtımlarının denetim kayıtlarını (log/erişim izlerini) sağlamalı ve uyumluluğa olan bağlılığınızı kanıtlamalıdır.

Mevzuata Uygun E-posta İmzası İçin Örnek Şablon

Yukarıda yer alan TTK m. 39, KVKK ve 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun gerekliliklerinin tamamını karşılayan bir kurumsal e-posta altbilgi yapısı aşağıdaki şekilde kurgulanabilir:

Ad Soyad

Unvan / Departman

Telefon: +90 212 XXX XX XX | E-posta: ad.soyad@@sirketadiniz.com

[ŞİRKETİN TAM TİCARET UNVANI A.Ş.]

Adres: ABC Mah. ABC Cad. No: 1 Şişli / İstanbul

Ticaret Sicil Müdürlüğü / No: İstanbul Ticaret Sicili / 123456-5

MERSİS No: 0123456789000014

Ödenmiş Sermaye: 500.000 TL

Web Sitesi: www.sirketadi.com.tr

Kişisel Verilerin Korunması: E-posta yazışmaları kapsamında kişisel verilerinizin işlenmesine ilişkin detaylı bilgiye E-posta İletişimi KVKK Aydınlatma Metni üzerinden ulaşabilirsiniz.

Gizlilik ve Sorumluluk Reddi Bildirimi: Bu e-posta ve ekleri yalnızca muhatabına özeldir, gizli ve/veya imtiyazlı bilgiler içerebilir. Bu mesajın yetkili alıcısı değilseniz içeriğini çoğaltmayınız, saklamayınız, üçüncü kişilerle paylaşmayınız. Mesajı derhal sisteminizden siliniz ve göndereni bilgilendiriniz. Bu e-postada yer alan görüş ve değerlendirmeler, aksi açıkça belirtilmedikçe göndereni bağlar, kurumun resmi görüşünü yansıtmayabilir.