{"id":11075,"date":"2026-07-29T12:57:17","date_gmt":"2026-07-29T12:57:17","guid":{"rendered":"https:\/\/www.asylegal.com\/?post_type=insight&p=11075"},"modified":"2026-07-29T12:57:18","modified_gmt":"2026-07-29T12:57:18","slug":"publicacion-datos-personales-entidades-publicas-turquia-decision-2026-1301","status":"publish","type":"insight","link":"https:\/\/www.asylegal.com\/es\/publicacion-datos-personales-entidades-publicas-turquia-decision-2026-1301\/","title":{"rendered":"Decisi\u00f3n KVKK 2026\/1301: Publicaci\u00f3n de datos por entidades p\u00fablicas"},"content":{"rendered":"\r\n

I. Introducci\u00f3n<\/h2>\r\n\r\n\r\n\r\n

La Decisi\u00f3n n.\u00ba 2026\/1301 del Consejo de Protecci\u00f3n de Datos Personales, de 1 de julio de 2026, fue publicada en el Bolet\u00edn Oficial de 28 de julio de 2026, n.\u00ba 33323, como Decisi\u00f3n de Principio sobre la Divulgaci\u00f3n en L\u00ednea de Datos Personales por Responsables del Tratamiento con Personalidad Jur\u00eddica P\u00fablica. Se refiere a los datos personales publicados en sitios web, cuentas de redes sociales y canales comparables por instituciones p\u00fablicas, municipios, administraciones provinciales especiales, universidades y otros responsables del tratamiento con personalidad jur\u00eddica p\u00fablica. La Decisi\u00f3n no establece un per\u00edodo transitorio independiente ni un plazo expresado en un n\u00famero fijo de d\u00edas. Exige que las publicaciones existentes se revisen \u00abcon car\u00e1cter urgente\u00bb.<\/p>\r\n\r\n\r\n\r\n

La publicaci\u00f3n en l\u00ednea de un documento que contiene datos personales supone divulgar esos datos y ponerlos a disposici\u00f3n de terceros. Por ello, el Consejo considera que la propia publicaci\u00f3n constituye una actividad de tratamiento de datos personales. El hecho de que un documento guarde relaci\u00f3n con las funciones legales de un organismo p\u00fablico no justifica, por s\u00ed solo, que se publique \u00edntegramente en internet y con acceso abierto. Cada publicaci\u00f3n debe ampararse en una condici\u00f3n de tratamiento prevista en la Ley n.\u00ba 6698 de Protecci\u00f3n de Datos Personales<\/a> y respetar adem\u00e1s los principios generales aplicables al tratamiento, entre ellos la licitud y la lealtad, la exactitud, la existencia de fines determinados y leg\u00edtimos, la minimizaci\u00f3n de los datos y su conservaci\u00f3n \u00fanicamente durante el per\u00edodo exigido por la ley o por la finalidad del tratamiento.<\/p>\r\n\r\n\r\n\r\n

La Decisi\u00f3n de Principio se dirige directamente a los responsables del tratamiento con personalidad jur\u00eddica p\u00fablica. No impone sus instrucciones como regla general y directa de publicaci\u00f3n a las sociedades de derecho privado ni crea una obligaci\u00f3n independiente para los prestadores privados de servicios. Por tanto, el \u00e1mbito subjetivo de sus destinatarios debe mantenerse circunscrito a los responsables del tratamiento de derecho p\u00fablico.<\/p>\r\n\r\n\r\n\r\n

II. \u00c1mbito de la Decisi\u00f3n y naturaleza jur\u00eddica de la publicaci\u00f3n en l\u00ednea<\/h2>\r\n\r\n\r\n\r\n

La Decisi\u00f3n de Principio no se limita a revisar sitios web y cuentas de redes sociales. Exige que los mismos criterios se respeten cuando se compartan datos personales mediante correspondencia interna o interinstitucional, correos electr\u00f3nicos, anuncios, entornos electr\u00f3nicos cerrados, paneles informativos y tablones de anuncios. Esta dimensi\u00f3n adicional de los canales de comunicaci\u00f3n requiere revisar por separado la difusi\u00f3n interna y de acceso restringido, adem\u00e1s de auditar el contenido disponible p\u00fablicamente.<\/p>\r\n\r\n\r\n\r\n

Las publicaciones identificadas por el Consejo contienen muchos m\u00e1s datos que nombres e informaci\u00f3n de contacto. La Decisi\u00f3n enumera los nombres de los progenitores, la edad, el n\u00famero de identidad turco, el domicilio, el lugar de nacimiento, la profesi\u00f3n, el \u00e1mbito de especializaci\u00f3n, el lugar de trabajo, el cargo, los a\u00f1os de servicio, el n\u00famero de registro, la unidad, los datos relativos al servicio militar y a la educaci\u00f3n; los datos de bloque y parcela de inmuebles sujetos a sorteos p\u00fablicos; y los n\u00fameros de examen o solicitud, las puntuaciones del KPSS, la informaci\u00f3n sobre aptos y no aptos, las respuestas correctas e incorrectas, los n\u00fameros de estudiante o candidato, la informaci\u00f3n sobre documentos que faltan y la condici\u00f3n de exconvicto. La amplitud de estos ejemplos impide limitar la revisi\u00f3n de las publicaciones a los identificadores m\u00e1s evidentes o a un \u00fanico tipo de documento.<\/p>\r\n\r\n\r\n\r\n

La publicaci\u00f3n en l\u00ednea entra\u00f1a un riesgo mayor para la seguridad de los datos que su comunicaci\u00f3n en un entorno m\u00e1s restringido y a un grupo m\u00e1s limitado. En consecuencia, la Decisi\u00f3n trata el canal de acceso como una cuesti\u00f3n jur\u00eddica diferenciada que debe dise\u00f1arse de forma espec\u00edfica. Si el objetivo leg\u00edtimo puede alcanzarse permitiendo el acceso \u00fanicamente a los participantes o a la persona interesada, la publicaci\u00f3n abierta debe sustituirse por un m\u00e9todo de acceso controlado.<\/p>\r\n\r\n\r\n\r\n

III. Condiciones de tratamiento, minimizaci\u00f3n de datos y per\u00edodos de publicaci\u00f3n<\/h2>\r\n\r\n\r\n\r\n

Toda publicaci\u00f3n en l\u00ednea debe ampararse, en primer lugar, en una condici\u00f3n v\u00e1lida para el tratamiento. El art\u00edculo 5 de la Ley n.\u00ba 6698 se aplica a los datos personales ordinarios, mientras que el art\u00edculo 6 regula las categor\u00edas especiales de datos personales. La Decisi\u00f3n menciona, entre otros ejemplos, el tratamiento expresamente previsto por la ley y el que resulte necesario para que el responsable cumpla una obligaci\u00f3n legal. Si no existe una condici\u00f3n v\u00e1lida para el tratamiento, los datos personales no deben compartirse en l\u00ednea.<\/p>\r\n\r\n\r\n\r\n

La existencia de una condici\u00f3n de tratamiento no permite autom\u00e1ticamente publicar todos los campos de un documento ni facilitar un acceso sin restricciones. Los datos deben limitarse al m\u00ednimo necesario para alcanzar la finalidad de la publicaci\u00f3n. Si el resultado de un examen puede distinguirse mediante una referencia espec\u00edfica del candidato, la publicaci\u00f3n del n\u00famero de identidad turco, el domicilio, el n\u00famero de tel\u00e9fono, los nombres de los progenitores o informaci\u00f3n de personal ajena al resultado no respetar\u00eda el requisito de proporcionalidad. La relaci\u00f3n entre cada categor\u00eda de datos y la finalidad del anuncio debe acreditarse, en lugar de presumirse a partir de una plantilla documental.<\/p>\r\n\r\n\r\n\r\n

La duraci\u00f3n de la publicaci\u00f3n forma parte de la misma evaluaci\u00f3n. La Decisi\u00f3n exige que el per\u00edodo de disponibilidad se determine atendiendo al plazo previsto en la normativa aplicable o al tiempo necesario para la finalidad del tratamiento y que, una vez transcurrido, se adopten las medidas necesarias para poner fin a la publicaci\u00f3n. La existencia de una base jur\u00eddica para anunciar en su momento el resultado de un examen, sorteo, nombramiento o solicitud no justifica autom\u00e1ticamente que el documento permanezca durante a\u00f1os en un archivo de acceso abierto. La fecha de publicaci\u00f3n, el per\u00edodo de disponibilidad aprobado y la fecha de retirada deben poder rastrearse en un mismo registro.<\/p>\r\n\r\n\r\n\r\n

Las obligaciones de transparencia<\/a> y seguridad acompa\u00f1an al an\u00e1lisis de las condiciones de tratamiento, la minimizaci\u00f3n y la duraci\u00f3n. Conforme al art\u00edculo 10 de la Ley n.\u00ba 6698 y al Comunicado sobre los Procedimientos y Principios para el Cumplimiento de la Obligaci\u00f3n de Informaci\u00f3n, el responsable del tratamiento debe facilitar la informaci\u00f3n exigida y poder demostrar que lo ha hecho. El art\u00edculo 12 exige medidas administrativas y t\u00e9cnicas que respondan a los riesgos de acceso y reutilizaci\u00f3n generados por la publicaci\u00f3n en l\u00ednea, junto con auditor\u00edas internas sobre la aplicaci\u00f3n de la Ley.<\/p>\r\n\r\n\r\n\r\n

IV. Medidas aplicables al contenido ya publicado en l\u00ednea<\/h2>\r\n\r\n\r\n\r\n

No existe una \u00fanica medida adecuada para todos los documentos. Respecto de las publicaciones existentes, la Decisi\u00f3n mantiene la retirada y el enmascaramiento o una adaptaci\u00f3n comparable como respuestas alternativas, una vez evaluadas conjuntamente la condici\u00f3n de tratamiento y la conformidad con los principios generales. La destrucci\u00f3n debe examinarse por separado cuando hayan desaparecido los motivos que justificaban el tratamiento, mientras que el acceso autenticado o restringido permite gestionar los resultados que todav\u00eda deban estar disponibles sin permanecer abiertos al p\u00fablico.<\/p>\r\n\r\n\r\n\r\n

Retirada de internet<\/h3>\r\n\r\n\r\n\r\n

Los datos personales para los que no exista una condici\u00f3n v\u00e1lida de tratamiento no deben publicarse en l\u00ednea, y una publicaci\u00f3n ya existente no puede seguir siendo accesible al p\u00fablico. Cuando concurran conjuntamente una condici\u00f3n v\u00e1lida para el tratamiento y una finalidad l\u00edcita de publicaci\u00f3n que contin\u00fae vigente, pero el defecto se refiera a campos innecesarios o a la proporcionalidad conforme a los principios generales, la respuesta no puede reducirse autom\u00e1ticamente a una \u00fanica medida. La retirada, el enmascaramiento o una adaptaci\u00f3n comparable deben elegirse atendiendo a la naturaleza del defecto, la categor\u00eda de datos, la finalidad de la publicaci\u00f3n, el per\u00edodo de disponibilidad y el modelo de acceso.<\/p>\r\n\r\n\r\n\r\n

La retirada hace que el documento deje de estar disponible en el sitio web p\u00fablico o en el canal de redes sociales. No determina necesariamente si el documento subyacente debe conservarse en el expediente oficial del organismo p\u00fablico. La continuidad del almacenamiento debe evaluarse conforme a la obligaci\u00f3n de conservaci\u00f3n aplicable. Retirar un documento de internet y destruir todas las copias que obren en poder de la instituci\u00f3n son, por tanto, actuaciones distintas.<\/p>\r\n\r\n\r\n\r\n

Enmascaramiento y adaptaci\u00f3n del contenido<\/h3>\r\n\r\n\r\n\r\n

Cuando la publicaci\u00f3n se ampare en una condici\u00f3n v\u00e1lida para el tratamiento y conserve una finalidad l\u00edcita vigente, pero el documento incluya campos innecesarios para esa finalidad, puede optarse por el enmascaramiento o una adaptaci\u00f3n comparable. El enmascaramiento permite conservar el contenido operativo de un anuncio y, al mismo tiempo, ocultar la totalidad o la parte necesaria de un n\u00famero de identidad turco, domicilio, n\u00famero de tel\u00e9fono, n\u00famero de registro u otro identificador. Los campos que deben enmascararse se determinan seg\u00fan la categor\u00eda de datos y la finalidad de la publicaci\u00f3n. Publicar todos los campos incluidos en una plantilla documental est\u00e1ndar no sustituye el an\u00e1lisis de proporcionalidad.<\/p>\r\n\r\n\r\n\r\n

El enmascaramiento no basta en todos los casos. Si los campos innecesarios no pueden separarse, el per\u00edodo de publicaci\u00f3n ha expirado o el acceso abierto resulta incompatible con la finalidad de la publicaci\u00f3n, el contenido debe retirarse o debe modificarse el modelo de acceso. Por tanto, el enmascaramiento es una medida disponible, no un sustituto universal de la retirada.<\/p>\r\n\r\n\r\n\r\n

Destrucci\u00f3n<\/h3>\r\n\r\n\r\n\r\n

Cuando hayan desaparecido los motivos que exig\u00edan el tratamiento, la cuesti\u00f3n trasciende la mera finalizaci\u00f3n de la publicaci\u00f3n en l\u00ednea. La Decisi\u00f3n de Principio remite al art\u00edculo 7 de la Ley n.\u00ba 6698 y al Reglamento sobre la Supresi\u00f3n, Destrucci\u00f3n o Anonimizaci\u00f3n de Datos Personales, y exige la adopci\u00f3n de las medidas de destrucci\u00f3n necesarias. Este an\u00e1lisis debe abordar tambi\u00e9n si la conservaci\u00f3n de los datos en otros sistemas de la instituci\u00f3n sigue contando con una base jur\u00eddica. La retirada de la copia de la web p\u00fablica no autoriza la conservaci\u00f3n indefinida de otras copias respecto de las cuales haya desaparecido el fundamento del tratamiento.<\/p>\r\n\r\n\r\n\r\n

Acceso autenticado y restringido<\/h3>\r\n\r\n\r\n\r\n

El resultado de un examen, sorteo o procedimiento comparable puede seguir teniendo que ponerse a disposici\u00f3n de sus destinatarios sin publicarse para el p\u00fablico general. Si las circunstancias exigen que los participantes puedan verificar rec\u00edprocamente sus resultados, el acceso puede limitarse a quienes hayan participado en esa actividad. Cuando no exista tal necesidad de verificaci\u00f3n, puede darse a cada persona acceso \u00fanicamente a su propio resultado. La Decisi\u00f3n identifica como ejemplos adecuados las plataformas apropiadas de administraci\u00f3n electr\u00f3nica y los m\u00e9todos de verificaci\u00f3n de identidad mediante autenticaci\u00f3n de dos factores. El modelo de acceso debe basarse en la naturaleza del resultado, la necesidad de verificaci\u00f3n, las categor\u00edas de datos y el grupo de usuarios previsto.<\/p>\r\n\r\n\r\n\r\n

V. Evaluaci\u00f3n general<\/h2>\r\n\r\n\r\n\r\n

La aplicaci\u00f3n de la Decisi\u00f3n exige m\u00e1s que una b\u00fasqueda puntual en los dominios web y las cuentas de redes sociales. Para cada publicaci\u00f3n deben documentarse la unidad responsable, las categor\u00edas de datos, la condici\u00f3n de tratamiento, la finalidad de la publicaci\u00f3n, los destinatarios, las fechas de inicio y finalizaci\u00f3n, el registro de transparencia, la medida de enmascaramiento o retirada y la fecha de ejecuci\u00f3n. Este mismo registro sirve tanto para la revisi\u00f3n urgente del contenido existente como para el control previo a la publicaci\u00f3n de nuevo material. La expresi\u00f3n \u00abcon car\u00e1cter urgente\u00bb no equivale a un plazo legal fijo contado por d\u00edas; exige que la revisi\u00f3n se inicie sin demora y se lleve a cabo mediante un proceso trazable.<\/p>\r\n\r\n\r\n\r\n

La Decisi\u00f3n de Principio exige tambi\u00e9n expresamente actividades de formaci\u00f3n y sensibilizaci\u00f3n de los empleados, en particular de quienes sean responsables de los sitios web y las plataformas de redes sociales. La formaci\u00f3n debe acompa\u00f1arse de una asignaci\u00f3n de funciones que determine qui\u00e9n puede aprobar una publicaci\u00f3n, qu\u00e9 campos de un documento no pueden colocarse en internet con acceso abierto, c\u00f3mo se fija el per\u00edodo de publicaci\u00f3n y qui\u00e9n ejecuta una decisi\u00f3n de enmascaramiento o retirada. El responsable del tratamiento debe asimismo realizar o encargar las auditor\u00edas necesarias para garantizar la aplicaci\u00f3n interna de la Ley.<\/p>\r\n\r\n\r\n\r\n

La constataci\u00f3n de que no se adoptaron las medidas previstas en la Decisi\u00f3n no da lugar autom\u00e1ticamente a una multa administrativa sin que se examine el caso. El Consejo se\u00f1ala que evaluar\u00e1 las circunstancias concretas en el ejercicio de sus facultades de investigaci\u00f3n y adoptar\u00e1 las medidas previstas en el art\u00edculo 18 de la Ley n.\u00ba 6698 respecto del responsable del tratamiento correspondiente. Por tanto, el riesgo de medidas de ejecuci\u00f3n y sanciones depende del contenido y alcance de la publicaci\u00f3n, las categor\u00edas de datos, la condici\u00f3n de tratamiento, el modelo de acceso, el per\u00edodo de publicaci\u00f3n y las medidas administrativas y t\u00e9cnicas adoptadas. Para los responsables del tratamiento con personalidad jur\u00eddica p\u00fablica, la respuesta pr\u00e1ctica consiste en clasificar sin demora las publicaciones existentes y dejar constancia de la base jur\u00eddica para optar, respecto de cada elemento, por el acceso abierto, el acceso restringido, el enmascaramiento, la retirada o la destrucci\u00f3n.<\/p>\r\n\r\n\r\n\r\n

Esta traducci\u00f3n se ofrece \u00fanicamente con fines informativos y puede presentar diferencias respecto del texto original.<\/em><\/p>\r\n\r\n

 <\/p>","protected":false},"excerpt":{"rendered":"

La Decisi\u00f3n n.\u00ba 2026\/1301 exige a los responsables del tratamiento con personalidad jur\u00eddica p\u00fablica revisar sin demora sus publicaciones de datos personales. La base jur\u00eddica, la minimizaci\u00f3n, el per\u00edodo de publicaci\u00f3n y el modelo de acceso determinan la medida aplicable.<\/p>\n","protected":false},"author":2,"featured_media":11088,"template":"","insight_category":[],"insight_topic":[],"class_list":["post-11075","insight","type-insight","status-publish","has-post-thumbnail","hentry"],"_links":{"self":[{"href":"https:\/\/www.asylegal.com\/es\/wp-json\/wp\/v2\/insight\/11075","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.asylegal.com\/es\/wp-json\/wp\/v2\/insight"}],"about":[{"href":"https:\/\/www.asylegal.com\/es\/wp-json\/wp\/v2\/types\/insight"}],"author":[{"embeddable":true,"href":"https:\/\/www.asylegal.com\/es\/wp-json\/wp\/v2\/users\/2"}],"version-history":[{"count":2,"href":"https:\/\/www.asylegal.com\/es\/wp-json\/wp\/v2\/insight\/11075\/revisions"}],"predecessor-version":[{"id":11089,"href":"https:\/\/www.asylegal.com\/es\/wp-json\/wp\/v2\/insight\/11075\/revisions\/11089"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.asylegal.com\/es\/wp-json\/wp\/v2\/media\/11088"}],"wp:attachment":[{"href":"https:\/\/www.asylegal.com\/es\/wp-json\/wp\/v2\/media?parent=11075"}],"wp:term":[{"taxonomy":"insight_category","embeddable":true,"href":"https:\/\/www.asylegal.com\/es\/wp-json\/wp\/v2\/insight_category?post=11075"},{"taxonomy":"insight_topic","embeddable":true,"href":"https:\/\/www.asylegal.com\/es\/wp-json\/wp\/v2\/insight_topic?post=11075"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}