Kararın Hukuki Dayanağı

İlke kararı, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 15'inci maddesinin altıncı fıkrasına dayanıyor. Bu fıkra, Kurul'a yalnızca ihlalin yaygın olduğunun tespit edilmesi halinde ilke kararı alma yetkisi tanıyor. Karar bu nedenle münferit bir şikâyetin sonucu değildir. Kuruma iletilen çok sayıda ihbar ve şikâyetin incelenmesi, sorunun tek tek kurumlarda değil kamu yönetiminin genel uygulamasında bulunduğunu ortaya koymuştur.

Kararın çıkış noktasını tek bir tespit oluşturuyor. Kişisel veri içeren bir belgenin internet sitesinde yayımlanması, verilerin üçüncü kişiler tarafından erişilebilir hale gelmesi sonucunu doğurduğu için Kanun kapsamında bir kişisel veri işleme faaliyeti sayılır. Bir sınav sonucu listesi, bir ihale ilanı veya bir personel duyurusu kurum içinde rutin bilgilendirme olarak değerlendirilse dahi hukuken işleme faaliyetidir ve geçerli bir işleme şartına dayanmak zorundadır.

Kurul'un İnternet Sitelerinde Tespit Ettiği Veriler

Kararın en dikkat çekici bölümünü, incelemelerde tespit edilen veri kategorilerinin listesi oluşturuyor. Kurul, kamu tüzel kişiliğini haiz veri sorumlularının internet sitelerinde yayımladığı belgelerde şu verilere rastladığını belirtiyor:

Ad ve soyadı, anne ve baba adı, yaş, T.C. kimlik numarası, adres, cep telefonu numarası, doğum yeri, meslek, uzmanlık alanı, görev yeri, unvan ve statü, hizmet yılı, sicil numarası, çalışılan birim, askerlik durumu, öğrenim bilgisi, taşınmazlara ilişkin ada ve parsel bilgileri, sınav başvuru numarası, KPSS puanı, kabul veya ret bilgisi, başarı durumu, mezun olunan okul bilgisi, doğru-yanlış-net sayıları, başvuru yapılan pozisyon, aday ve öğrenci numarası, sınava katılmama veya kabul edilmeme nedeni, asil-yedek bilgisi, eksik evrak bilgisi ve eski hükümlü olma durumu.

Listenin son kalemi ayrıca değerlendirilmelidir. Eski hükümlü olma durumu, ceza mahkûmiyetine ilişkin bir veri olarak Kanun'un 6'ncı maddesi kapsamında özel nitelikli kişisel veri sayılır. Bu kategorideki bir verinin herkese açık bir belge içinde yayımlanmış olması, sorunun münferit bir dikkatsizlikten değil sürecin hiç tasarlanmamış olmasından kaynaklandığını gösterir.

İlke Kararının Getirdiği Yükümlülükler

Kurul, uyumun sağlanabilmesi için aşağıdaki hususları sıraladı.

Geçerli bir işleme şartı bulunmalıdır. İnternet ortamındaki her paylaşım, Kanun'un 5'inci maddesinde, özel nitelikli kişisel veriler bakımından ise 6'ncı maddesinde düzenlenen geçerli bir işleme şartına dayanmalıdır. Geçerli bir şartın bulunmadığı hallerde kişisel veriler internet ortamında paylaşılmamalıdır.

İşleme şartının varlığı tek başına yeterli değildir. Veri sorumluları, Kanun'un 4'üncü maddesinde düzenlenen genel ilkelere de uygun hareket etmek zorundadır. Kurul özellikle "amaçla bağlantılı, sınırlı ve ölçülü olma" ilkesine dikkat çekiyor. Bu ilke gereği amacın gerçekleşmesi için gerekli asgari düzeyde kişisel veri paylaşılmalı, gerekli olmayan verilere yer verilmemeli, bu doğrultuda maskeleme ve anonimleştirme gibi tedbirler uygulanmalıdır.

Yayında kalma süresi belirlenmelidir. Saklama ilkesi uyarınca kişisel veri içeren paylaşımların yayında kalma süreleri tanımlanmalı, süre sonunda kaldırma, silme, yok etme veya anonim hale getirme işlemleri gerçekleştirilmelidir. Uygulamada en sık ihmal edilen yükümlülük budur. Beş yıl önce yayımlanmış bir sınav sonucu listesi bugün hâlâ erişilebilir durumdaysa ihlal devam ediyor demektir.

Aydınlatma yükümlülüğü yerine getirilmelidir. İnternet ortamında paylaşılacak kişisel veriler bakımından Kanun'un 10'uncu maddesi kapsamında aydınlatma yapılmalıdır. Kurul, aydınlatmanın yapıldığını ispat yükünün veri sorumlusuna ait olduğunu ayrıca vurguluyor.

Risk seviyesi farklı değerlendirilmelidir. Kurul, internet ortamındaki paylaşımların daha sınırlı ortamlarda yapılan paylaşımlara kıyasla daha yüksek veri güvenliği riski taşıdığını belirtiyor. Veri sorumluları, Kanun'un 12'nci maddesi kapsamındaki idari ve teknik tedbirleri belirlerken bu farkı gözetmelidir.

Mevcut içerikler gözden geçirilmelidir. Halihazırda yayımlanan içerikler ivedilikle incelenmeli, geçerli bir işleme şartına dayanmayan veya genel ilkelere aykırı olan paylaşımlar internet ortamından kaldırılmalı ya da maskelenmelidir. İşlemeyi gerektiren sebepler ortadan kalkmışsa imha süreçleri işletilmelidir.

Personel eğitimi düzenli olarak yürütülmelidir. İnternet sitelerinin ve sosyal medya hesaplarının kullanımından sorumlu çalışanlar başta olmak üzere tüm personelin farkındalık düzeyi artırılmalıdır.

Sınav ve Kura Sonuçlarında Yöntem Değişikliği

Kurul, sınav sonuçları ve kura sonuçları gibi duyurularda somut olayın niteliğine göre hareket edilmesi gerektiğini belirtmekle birlikte, mümkün olduğu ölçüde yalnızca ilgili kişilerin kendi sonuçlarına erişebileceği güvenli yöntemlerin tercih edilmesini uygun buluyor. Kararda bu kapsamda e-Devlet platformları ile çift faktörlü kimlik doğrulama kullanılan platformlara işaret ediliyor.

Bu ifade, toplu liste yayımlama alışkanlığının karşısına konulmuş somut bir alternatiftir. Kamu kurumlarının aday listelerini tek bir PDF dosyası halinde yayımlama pratiği, kararın ardından yeniden değerlendirilmek durumundadır.

Kapsam Yalnızca İnternet Siteleriyle Sınırlı Değil

Kurul, belirlenen ilkelerin yalnızca internet sitelerindeki paylaşımlar için geçerli olmadığını özellikle vurguluyor. Kurum içi ve kurumlar arası yazışmalar, e-posta iletileri, duyurular, panolar ve ilan tahtaları da aynı yükümlülüklerin kapsamındadır. Bu nedenle uyum çalışmasının yalnızca web sitesi içeriklerinin taranmasıyla sınırlandırılması yeterli olmayacaktır.

Yaptırım Rejimi

Kurul, yükümlülüklere uyulmadığının tespit edilmesi halinde somut olay değerlendirmesi yaparak Kanun'un 18'inci maddesi uyarınca idari işlem tesis edeceğini bildiriyor.

Kamu kurumları açısından bu noktada önemli bir ayrım bulunuyor. Kanun'un 18'inci maddesinin üçüncü fıkrası uyarınca, kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenen kabahatlerde Kurul'un bildirimi üzerine ilgili kurumda disiplin hükümlerine göre işlem yapılır ve sonucu Kurula bildirilir. Kamu tarafında beklenen sonuç idari para cezası değil, sorumlu personel hakkında yürütülecek disiplin sürecidir. Bu durum yaptırımın hafiflediği anlamına gelmez; sorumluluğun kurumdan çalışana kaydığı anlamına gelir. Buna karşılık belediye iştirakleri gibi özel hukuk tüzel kişiliğine sahip yapılar bu fıkranın kapsamı dışındadır ve idari para cezasının doğrudan muhatabıdır.

Özel Sektör Açısından Değerlendirme

Kararın muhatabı kamu kurumlarıdır. Ancak kararın tarif ettiği hata biçimi kamuya özgü değildir. Kurumun kendi süreci gereği ürettiği bir belgenin, içindeki kişisel veriler ayıklanmadan, yayında kalma süresi tanımlanmadan ve aydınlatma yapılmadan açık bir mecraya konulması, özel sektörde de kariyer sayfalarında, tedarikçi duyurularında, sosyal medya paylaşımlarında ve şirket içi panolarda aynı şekilde görülmektedir.

Uyum ekipleri için yapılması gereken iş nettir. Kurumun dışarıya açık her kanalında yayımlanmış, kişisel veri içeren içeriklerin envanteri çıkarılmalı; her bir içerik için hukuki sebep, asgari veri seti ve yayında kalma süresi tanımlanmalı; süresi dolmuş içerikler kaldırılmalıdır. Bu envanter çıkarılmadan yapılacak hiçbir politika güncellemesi kararın gereğini karşılamayacaktır.

Kaynak: Kişisel Verileri Koruma Kurulu'nun 01/07/2026 tarihli ve 2026/1301 sayılı İlke Kararı (28 Temmuz 2026 tarihli ve 33323 sayılı Resmî Gazete). Kararın tam metni ve Kurumun kamuoyu duyurusu için: kvkk.gov.tr/Icerik/7201/ilke-kararlari