Kişisel Verileri Koruma Kurulu (KVKK), kamu kurumlarının internet ortamında kişisel veri paylaşımına ilişkin uygulamalarına yeni kurallar getirdi. Kurulun 1 Temmuz 2026 tarihli ve 2026/1301 sayılı İlke Kararı, 28 Temmuz 2026 tarihli ve 33323 sayılı Resmî Gazete’de yayımlanarak yürürlüğe girdi. Karar, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 15’inci maddesinin altıncı fıkrasında Kurula tanınan ilke kararı alma yetkisi kapsamında alındı.
Kurulun yaptığı değerlendirmelerde; başta belediyeler, il özel idareleri ve üniversiteler olmak üzere kamu tüzel kişiliğini haiz veri sorumlularının internet sitelerinde yayımladığı çok sayıda belgede, kişisel verilerin gereğinden fazla ve geniş kapsamda paylaşıldığı tespit edildi. İncelemelerde ad ve soyadın yanı sıra T.C. kimlik numarası, adres, telefon bilgileri, görev yeri, sicil numarası, KPSS puanı, sınav sonuçları, aday numarası, eksik evrak bilgisi ve benzeri birçok kişisel verinin kamuya açık şekilde yayımlandığı belirlendi.
Kurul, internet ortamında kişisel veri içeren belgelerin yayımlanmasını tek başına bir “kişisel veri işleme faaliyeti” olarak değerlendirdi. Bu nedenle söz konusu paylaşımların, 6698 sayılı Kanun’da öngörülen veri işleme şartlarına ve genel ilkelere uygun olması gerektiği vurgulandı.
Geçerli hukuki dayanak yoksa veri yayımlanamayacak
İlke kararına göre kişisel verilerin internet ortamında paylaşılabilmesi için Kanun’un 5’inci maddesinde, özel nitelikli kişisel veriler bakımından ise 6’ncı maddesinde düzenlenen geçerli veri işleme şartlarından en az birinin bulunması gerekiyor. Böyle bir hukuki dayanak bulunmayan verilerin internet ortamında yayımlanmaması gerektiği açıkça ifade edildi.
Kurul ayrıca veri sorumlularının yalnızca hukuki dayanak oluşturmakla yetinemeyeceğini, Kanun’un 4’üncü maddesinde yer alan “amaçla bağlantılı, sınırlı ve ölçülü olma” ile “ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme” ilkelerine de uyması gerektiğini belirtti. Buna göre gereksiz kişisel verilerin paylaşılmaması, zorunlu olmayan bilgilerin maskeleme veya benzeri yöntemlerle korunması ve yayımlanan verilerin belirlenen süre sonunda kaldırılması gerekecek.
Sınav ve kura sonuçlarında yeni yöntem
Kararın kamu personeli adaylarını doğrudan ilgilendiren en önemli düzenlemelerinden biri sınav ve kura sonuçlarının ilan edilmesine ilişkin oldu.
Buna göre, gerekli durumlarda yalnızca ilgili sınava veya kuraya katılan kişilerin denetimini sağlayacak yöntemler kullanılacak. Bunun gerekli olmadığı durumlarda ise adaylar sadece kendi sonuçlarına erişebilecek. Kurul, bu amaçla e-Devlet altyapısı veya çift faktörlü kimlik doğrulaması gibi güvenli erişim yöntemlerinin kullanılmasını uygun buldu. Böylece herkesin görebildiği aday listeleri yerine, kişiye özel erişim sistemlerinin yaygınlaştırılması hedefleniyor.
Mevcut internet içerikleri de gözden geçirilecek
Kurul, kamu kurumlarına yalnızca bundan sonraki paylaşımlar için değil, halen internet ortamında bulunan kişisel veri içerikli belgeler için de yükümlülük getirdi.
Buna göre veri sorumluları, mevcut paylaşımlarını ivedilikle gözden geçirmekle yükümlü olacak. Hukuki dayanağı bulunmayan veya Kanun’un genel ilkelerine aykırı olduğu değerlendirilen içeriklerin kaldırılması, maskeleme uygulanması veya kişisel verilerin imha edilmesi gerekecek. Ayrıca kurumların aydınlatma yükümlülüğünü yerine getirmesi, gerekli teknik ve idari tedbirleri alması ve personeline KVKK farkındalık eğitimleri vermesi istendi.
Kurul, belirlenen ilkelerin yalnızca internet siteleriyle sınırlı olmadığını; kurum içi ve kurumlar arası yazışmalar, e-posta gönderimleri, duyurular, panolar ve ilan tahtalarında yapılan kişisel veri paylaşımlarını da kapsadığını bildirdi.
Yükümlülüklere uymayan kurumlar hakkında işlem yapılabilecek
İlke kararında, belirlenen tedbirlerin alınmadığının tespit edilmesi halinde Kurulun somut olay bazında inceleme yapacağı ve gerekli görülmesi durumunda 6698 sayılı Kanun’un 18’inci maddesi uyarınca ilgili veri sorumluları hakkında idari işlem tesis edebileceği belirtildi.
Öne çıkan değişiklikler
- İnternette kişisel veri paylaşımı için hukuki dayanak zorunlu hale geldi.
- Gereksiz kişisel verilerin yayımlanması yasaklandı.
- Sınav ve kura sonuçlarında kişiye özel erişim sistemi esas alınacak.
- Eski paylaşımlar da KVKK açısından yeniden incelenecek.
- İnternet siteleri yanında e-posta, pano ve ilanlar da aynı kurallara tabi olacak.
- Tedbir almayan kurumlar hakkında KVKK tarafından idari işlem uygulanabilecek.
Editor
