Kamu sitelerinde kişisel veri yayımlama: 2026/1301 sayılı ilke kararı

Bir belediyenin atama listesi, bir üniversitenin sınav sonucu duyurusu, bir odanın kurul kararı ilanı — hepsi internet sitesinde yayımlanır ve çoğu zaman içinde yalnızca ad soyad değil, T.C. kimlik numarası, adres, anne-baba adı ya da askerlik durumu da bulunur. Kişisel Verileri Koruma Kurulu bu tabloyu bir ilke kararına konu etti.

Karar ve kapsamı

Kurul'un 01.07.2026 tarihli ve 2026/1301 sayılı ilke kararı, kamu tüzel kişiliğini haiz veri sorumlularının internet ortamında gerçekleştirdiği kişisel veri paylaşımlarını düzenler. Karara ilişkin kamuoyu duyurusu 27 Temmuz 2026'da yayımlanmıştır.

Duyuruda kamu kurum ve kuruluşları, belediyeler, il özel idareleri ve üniversiteler örnek olarak anılır. Kapsamı belirleyen ölçüt ise kamu tüzel kişiliğine sahip olmaktır; kamu kurumu niteliğindeki meslek kuruluşları da Anayasa'nın 135. maddesi uyarınca kamu tüzel kişiliğini haiz olduğundan, barolar ile tabip, ticaret, esnaf, mali müşavir ve mühendis odalarının yayınları da bu çerçevede değerlendirilmelidir.

İlke kararlarının ağırlığını hatırlatmakta fayda var: bunlar tek bir dosyayı değil, Kurul'un sonraki incelemelerdeki tutumunu gösterir ve tüm ilgililer bakımından uyulması beklenen metinlerdir.

Kurul neyi tespit etti?

Karara temel oluşturan incelemede, internet sitelerinde yayımlanmış belgelerde şu veriler bulunmuştur: ad soyad ve T.C. kimlik numarası, doğum yeri, adres ve cep telefonu, anne-baba adı, görev yeri, unvan, hizmet yılı ve sicil numarası, askerlik durumu, öğrenim düzeyi ve mezun olunan okul, KPSS puanı ile sınav ve başvuru sonuçları, taşınmaz ada-parsel bilgileri ve eski hükümlü olma durumu.

Listenin sonundaki iki kalem ayrıca dikkat çekicidir: eski hükümlü olma durumu, ceza mahkûmiyetine ilişkin olduğu için özel nitelikli kişisel veridir ve daha ağır bir rejime tabidir.

Kararın getirdiği yükümlülükler

1. Geçerli bir işleme şartı aranır. Yayın, Kanun'un 5. maddesindeki — özel nitelikli veriler bakımından 6. maddesindeki — şartlardan birine dayanmalıdır.

2. Şart tek başına yetmez. Genel ilkelere uygunluk ayrıca aranır. Bir mevzuat hükmü ilanı emrediyor olsa bile, o hüküm neyin ilan edileceğini sınırlar.

3. Asgari veri yayımlanır. Amaç için gerekli olmayan veriler siteye konulmaz; gerektiğinde maskeleme ve anonimleştirme uygulanır. Uygulamada en sık karşılaşılan hata, ilan için ad soyad yeterliyken belgenin tamamının taranıp yüklenmesidir.

4. Yayında kalma süresi belirlenir. Süre sonunda kaldırma, silme, yok etme veya anonim hâle getirme işlemi yapılır. "Bir kez yayımlandı, orada kalsın" yaklaşımı bu ilkeyle bağdaşmaz; saklama ve imha politikanız internet yayınlarını da kapsamalıdır.

5. Aydınlatma yapılır ve ispatı veri sorumlusundadır. Yayımlanacak verilere ilişkin aydınlatma yükümlülüğü sürer; yapıldığının ispatı da kuruma aittir.

6. Güvenlik riski daha yüksek kabul edilir. Kurul, internette paylaşımın daha sınırlı ortamlardaki paylaşıma kıyasla daha yüksek risk taşıdığını belirtir ve tedbirler belirlenirken bunun gözetilmesini ister.

Sınav ve kura sonuçlarında beklenen yöntem

Kararın en somut yönlendirmesi budur. Sınav, kura ve benzeri duyurularda — somut olayın niteliğine göre hareket edilmekle birlikte — mümkün olduğu ölçüde yalnızca ilgili kişinin kendi sonucuna erişebileceği güvenli yöntemler tercih edilmelidir. Kurul bu kapsamda e-Devlet platformlarını veya çift faktörlü kimlik doğrulama kullanan platformları örnek gösterir.

Pratik karşılığı: herkesin görebildiği bir PDF listesi yerine, kişinin kendi kimlik doğrulamasıyla girip yalnızca kendi sonucunu gördüğü bir ekran.

Şimdi ne yapmalı?

Karar, mevcut yayınların ivedilikle gözden geçirilmesini ister. Geçerli bir işleme şartına dayanmayan ya da genel ilkelere uymayan paylaşımlar kaldırılmalı veya maskelenmeli; işlemeyi gerektiren sebepler ortadan kalkmışsa imha süreçleri işletilmelidir.

İşe yarayan bir sıra şudur: sitedeki ve sosyal medya hesaplarındaki kişisel veri içeren tüm yayınların envanteri çıkarılır; her biri için dayanak ve yayında kalma süresi yazılır; dayanağı olmayanlar kaldırılır; kalanlarda gereksiz alanlar maskelenir; süresi dolanlar için periyodik bir kontrol takvimi kurulur.

Karar ayrıca, internet sitesi ve sosyal medya hesaplarını yöneten çalışanlar başta olmak üzere tüm personele düzenli eğitim ve bilinçlendirme faaliyetleri yürütülmesini ister. Bu, kurumun içinde bu işi fiilen yapan kişilerin —çoğu zaman basın veya bilgi işlem biriminden bir çalışanın— hangi alanı maskeleyeceğini bilmesi anlamına gelir; KVKK farkındalık eğitimi hizmetimiz bu yükümlülüğü belgelenebilir biçimde karşılar.

Sık yapılan hatalar

1. Belgenin tamamını tarayıp yüklemek. İlan için gereken alan yerine imzalı belgenin görüntüsü konulunca T.C. kimlik numarası da yayına girer.
2. Eski duyuruları arşivde bırakmak. Yayında kalma süresi belirlenmediği için yıllar önceki listeler erişilebilir kalır.
3. Sosyal medyayı kapsam dışı saymak. Karar internet ortamını bütün olarak ele alır; kurumsal hesaplardan yapılan paylaşımlar da kapsamdadır.
4. Maskelemeyi görsel olarak yapmak. PDF üzerine siyah kutu çizmek, altındaki metin seçilebiliyorsa maskeleme değildir.
5. Sınav sonucunu tam listeyle ilan etmek. Kararın açıkça alternatif önerdiği tipik durum budur.
6. Kaldırma talebini yanıtsız bırakmak. İlgili kişi başvurusu geldiğinde süresinde ve gerekçeli cevap verilmesi gerekir.

Bütüncül gözden geçirme

Bir yayını kaldırmak veya maskelemek tek başına yeterli değildir; kararın istediği şey yapının kurulmasıdır. Bu da şunları birlikte ilgilendirir: internet yayınları kişisel veri envanterine bir işleme faaliyeti olarak işlenmeli, dayanağı belirlenmeli; aydınlatma metinleriniz hangi verinin nerede ve ne kadar süreyle yayımlandığını göstermeli; saklama ve imha politikanız yayında kalma sürelerini içermeli; siteyi bir ajans veya yazılım firması işletiyorsa veri işleyen sözleşmesi kurulmalı; VERBİS kaydınız bu işleme faaliyetiyle tutarlı olmalıdır. Yayın bir üst kuruluşa da gönderiliyorsa aktarım çerçevesi ayrıca devreye girer.

Hangi yayının hangi mevzuat hükmüne dayandığı ve o hükmün neyi kapsadığı, kurumun kendi görev mevzuatıyla KVKK'nın kesiştiği yerde belirlenir. Bu nedenle yayın envanterinizin hukuki destek alınarak çıkarılmasını öneririz; Genç Partners, 2016'dan bu yana yürüttüğü uyum projelerindeki deneyimiyle bu ayrımı yapmayı kolaylaştırır.

Özet

• Karar 01.07.2026 tarihli ve 2026/1301 sayılı ilke kararıdır; kamu tüzel kişiliğini haiz veri sorumlularını bağlar — meslek kuruluşları dâhil.
• Yayın geçerli bir işleme şartına dayanmalı, genel ilkelere de uymalıdır.
• Asgari veri yayımlanır; gerekmeyen alanlar maskelenir.
• Yayında kalma süresi belirlenir, süre sonunda imha süreçleri işletilir.
• Sınav ve kura sonuçlarında kişinin yalnızca kendi sonucunu görebildiği güvenli yöntemler tercih edilir.
• Mevcut yayınlar ivedilikle gözden geçirilmeli; siteyi yöneten personele düzenli eğitim verilmelidir.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Kurumunuzun internet yayınlarının karara uyarlanması için hukuki destek alınız.