Kamu Kurumlarının İnternet Sitelerinde Kişisel Veri Paylaşımına Yeni KVKK İlkeleri
Kamu kurumlarının internet sitelerinde yayımlanan duyurular, sınav sonuçları, personel listeleri, ihale belgeleri ve benzeri içerikler uzun yıllardır kişisel verilerin korunması bakımından tartışma konusu olmuştur. Çoğu zaman kamu hizmetinin gereği olarak görülen bu paylaşımlar, kimi durumlarda kişisel verilerin gereğinden fazla açıklanmasına ve internet ortamında süresiz olarak erişilebilir kalmasına yol açmıştır. Kişisel Verileri Koruma Kurulu'nun 1 Temmuz 2026 tarihli ve 2026/1301 sayılı İlke Kararı, tam da bu uygulamaya müdahale ederek kamu tüzel kişiliğini haiz veri sorumlularına önemli yükümlülükler getirmektedir. Karar, 28 Temmuz 2026 tarihli Resmî Gazete'de yayımlanarak yürürlüğe girmiştir.
Kararın temel yaklaşımı, internet ortamında kişisel veri içeren bir belgenin yayımlanmasının başlı başına bir kişisel veri işleme faaliyeti olduğu yönündedir. Bir belgenin internet sitesine yüklenmesiyle birlikte kişisel veriler belirsiz sayıdaki üçüncü kişinin erişimine açılmakta ve bu nedenle 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun tüm hükümleri uygulanmaktadır. Dolayısıyla kamu kurumlarının "yalnızca ilan yaptıkları" yönündeki yaklaşımı artık hukuken yeterli görülmemektedir.
Kurulun üzerinde durduğu en önemli hususlardan biri, kişisel verilerin internet ortamında paylaşılabilmesi için mutlaka Kanun'un 5'inci maddesinde düzenlenen veri işleme şartlarından birine, özel nitelikli kişisel veriler bakımından ise 6'ncı maddede öngörülen hukuki sebeplere dayanılması gerektiğidir. Geçerli bir hukuki dayanak bulunmadığı sürece kişisel verilerin internet ortamında paylaşılmaması gerektiği açıkça ifade edilmiştir. Bu yönüyle karar, kamu kurumlarında yıllardır alışkanlık hâline gelmiş birçok uygulamanın yeniden değerlendirilmesini zorunlu kılmaktadır.
Ancak hukuki sebebin bulunması da tek başına yeterli değildir. Kurul, veri sorumlularının Kanun'un 4'üncü maddesinde yer alan genel ilkelere de uygun hareket etmeleri gerektiğini özellikle vurgulamaktadır. Özellikle amaçla bağlantılı, sınırlı ve ölçülü olma ilkesi doğrultusunda yalnızca gerekli kişisel verilerin paylaşılması, ihtiyaç bulunmayan bilgilerin ise maskeleme, anonimleştirme veya benzeri yöntemlerle korunması gerektiği belirtilmektedir. Uygulamada sıkça karşılaşılan T.C. kimlik numarası, doğum tarihi, adres, telefon numarası, KPSS puanı veya ayrıntılı sınav bilgilerinin gereksiz şekilde yayımlanması bu yaklaşım karşısında artık ciddi hukuki risk taşımaktadır.
Kararın önemli yeniliklerinden biri de internet ortamında yayımlanan kişisel verilerin yayında kalma süresine ilişkindir. Kurul, kişisel veri içeren duyuruların ne kadar süre erişime açık tutulacağının önceden belirlenmesini, süre sonunda ise kaldırma, silme, yok etme veya anonim hâle getirme işlemlerinin gerçekleştirilmesini istemektedir. Böylece internet ortamında yıllarca erişilebilir kalan eski ilanların ve arşiv kayıtlarının oluşturduğu kişisel veri risklerinin azaltılması amaçlanmaktadır.
Özellikle sınav ve kura sonuçlarına ilişkin değerlendirmeler dikkat çekicidir. Kurul, herkese açık listeler yerine mümkün olduğu ölçüde yalnızca ilgili kişinin kendi sonucuna ulaşabileceği güvenli sistemlerin tercih edilmesini önermektedir. E-Devlet entegrasyonu veya çift faktörlü kimlik doğrulaması kullanılan platformlar buna örnek olarak gösterilmektedir. Böylece hem idarenin şeffaflığı korunmakta hem de kişisel verilerin gereksiz biçimde kamuya açıklanmasının önüne geçilmektedir.
Karar yalnızca internet sitelerini değil; sosyal medya hesaplarını, elektronik panoları ve ilan tahtalarını da kapsamına almaktadır. Ayrıca veri güvenliğine ilişkin teknik ve idari tedbirlerin alınmaması hâlinde Kurulun inceleme yapacağı ve 6698 sayılı Kanun'un 18'inci maddesi kapsamında idari yaptırımlar uygulanabileceği açıkça belirtilmiştir. Bu durum, kamu kurumlarının yalnızca hukuk birimlerini değil, bilgi işlem ve kurumsal iletişim birimlerini de doğrudan ilgilendiren yeni bir uyum süreci başlatmaktadır.
Kanaatimizce bu ilke kararı, kamu idarelerinde uzun süredir devam eden "şeffaflık" anlayışını kişisel verilerin korunması ilkeleriyle yeniden dengelemektedir. Karar yeni bir kanuni düzenleme getirmemekle birlikte, mevcut KVKK hükümlerinin dijital ortam bakımından nasıl yorumlanması gerektiğini açık biçimde ortaya koymaktadır. Bundan sonra kamu kurumlarının internet ortamında gerçekleştirecekleri her veri paylaşımında yalnızca yayımlama yetkisini değil; hukuki dayanağı, ölçülülüğü, veri minimizasyonunu, saklama süresini ve veri güvenliğini birlikte değerlendirmeleri gerekecektir. Bu yönüyle söz konusu ilke kararı, Türk kişisel veri koruma hukukunun uygulamasını önemli ölçüde şekillendirecek düzenleyici nitelikte bir metin olarak değerlendirilebilir.
İlgili Kurul Kararı için bkz. Kişisel Verileri Koruma Kurulu'nun 01.07.2026 tarihli ve 2026/1301 sayılı "Kamu Tüzel Kişiliğini Haiz Veri Sorumluları Tarafından Kişisel Verilerin İnternet Ortamında Paylaşılması Hakkında İlke Kararı"
