I. Giriş
Kişisel Verileri Koruma Kurulunun 1 Temmuz 2026 tarihli ve 2026/1301 sayılı kararı, 28 Temmuz 2026 tarihli ve 33323 sayılı Resmî Gazete’de “Kamu Tüzel Kişiliğini Haiz Veri Sorumluları Tarafından Kişisel Verilerin İnternet Ortamında Paylaşılması Hakkında İlke Kararı” başlığıyla yayımlanmıştır. İlke Kararı, kamu kurum ve kuruluşları, belediyeler, il özel idareleri, üniversiteler ve kamu tüzel kişiliğini haiz diğer veri sorumlularının internet siteleri, sosyal medya hesapları ve benzeri ortamlardaki kişisel veri paylaşımlarını kapsamaktadır. Kararda ayrı bir geçiş süresi veya takvim günü belirlenmemiş, mevcut paylaşımların “ivedilikle” gözden geçirilmesi istenmiştir.
İnternet ortamında kişisel veri içeren bir belgenin yayımlanması, verinin açıklanmasına ve üçüncü kişiler tarafından elde edilebilir hâle gelmesine yol açtığından bir kişisel veri işleme faaliyetidir. Bu nedenle bir belgenin kurumun görev alanıyla ilgili olması, belgenin tamamının açık internette yayımlanmasını tek başına hukuka uygun hâle getirmemektedir. Her paylaşımın 6698 sayılı Kişisel Verilerin Korunması Kanunu‘ndaki bir işleme şartına dayanması gerekmektedir. Paylaşımın ayrıca hukuka ve dürüstlük kurallarına uygunluk, doğruluk ve güncellik, belirli, açık ve meşru amaç, amaçla bağlantılılık, sınırlılık ve ölçülülük ile gerekli süre kadar muhafaza ilkelerini karşılaması zorunludur.
İlke Kararı doğrudan kamu tüzel kişiliğini haiz veri sorumlularına yöneliktir. Özel hukuk tüzel kişilerinin internet yayınları bu kararın doğrudan kapsamı içinde genel bir yükümlülük olarak düzenlenmemiştir. Karar özel hizmet sağlayıcılar için bağımsız bir yükümlülük de kurmamaktadır. Bu nedenle kararın kamu tüzel kişiliğini haiz veri sorumlularıyla sınırlı muhatap çerçevesi korunmalıdır.
II. Kararın Kapsamı ve İnternet Yayınının Hukuki Niteliği
İlke Kararı, internet siteleri ve sosyal medya hesaplarıyla sınırlı bir yayın kontrolü öngörmemektedir. Kurum içi veya kurumlar arası yazışmalar, e-posta iletileri, duyurular, kapalı elektronik ortamlar, panolar ve ilan tahtaları üzerinden yapılan kişisel veri paylaşımlarında da aynı hususlara riayet edilmesini istemektedir. Bu kanal katmanı, açık internet taramasının yanında kurum içi ve sınırlı erişimli paylaşım biçimlerinin de ayrıca incelenmesini gerektirmektedir.
Kurulun tespit ettiği yayınlar yalnız ad, soyadı ve iletişim bilgileriyle sınırlı değildir. Anne ve baba adı, yaş, T.C. kimlik numarası, adres, doğum yeri, meslek, uzmanlık alanı, görev yeri, unvan, hizmet yılı, sicil numarası, çalışılan birim, askerlik ve öğrenim bilgileri kararda sayılan örnekler arasındadır. Kura konusu taşınmazların ada ve parsel bilgileri ile sınav ve başvuru numaraları, KPSS puanı, başarı durumu, doğru-yanlış-net sayıları, öğrenci veya aday numarası, eksik evrak bilgisi ve eski hükümlü olma durumu da aynı kapsamda belirtilmiştir. Bu çeşitlilik, yayın incelemesinin yalnız doğrudan kimlik bilgilerine veya tek bir belge türüne indirgenemeyeceğini göstermektedir.
İnternet ortamındaki paylaşım, verilerin daha sınırlı bir ortamda ve daha sınırlı sayıda kişiyle paylaşılmasına kıyasla daha fazla veri güvenliği riski taşımaktadır. İlke Kararı bu risk farkını, erişim kanalının ayrıca değerlendirilmesini gerektiren bir unsur olarak kabul etmektedir. Aynı sonucun yalnız katılımcılar veya yalnız ilgili kişi tarafından görülmesi yeterliyse açık internet yayını yerine erişimi sınırlandıran bir yöntem kurulması gerekmektedir.
III. İşleme Şartı, Veri Minimizasyonu ve Yayın Süresi
İnternet yayını öncelikle geçerli bir kişisel veri işleme şartına dayanmalıdır. Genel nitelikli kişisel veriler bakımından Kanun’un 5’inci maddesi, özel nitelikli kişisel veriler bakımından ise 6’ncı maddesi esas alınmaktadır. Kanunlarda açıkça öngörülme veya veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunluluk, kararda örnek verilen işleme şartlarıdır. Geçerli bir şartın bulunmaması hâlinde kişisel verinin internet ortamında paylaşılmaması gerekmektedir.
Bir işleme şartının bulunması, belgenin mevcut içeriğiyle ve sınırsız erişimle yayımlanmasına otomatik olarak izin vermemektedir. Paylaşım, amacın gerçekleşmesini sağlayacak asgari veriyle sınırlı tutulmalıdır. Örneğin bir sınav sonucunun duyurulması için adayın sonucu ayırt edebilmesini sağlayan bir bilgi yeterliyse T.C. kimlik numarası, adres, telefon numarası, anne-baba adı veya ilgisiz personel bilgisinin aynı belgede yayımlanması ölçülülük koşulunu karşılamaz. Değerlendirme, veri kategorisi ile duyuru amacı arasındaki zorunlu bağ üzerinden yapılmalıdır.
Yayının süresi de paylaşım kararının bir parçasıdır. Karar, kişisel veri içeren içeriğin ne kadar süre erişilebilir kalacağının ilgili mevzuatta öngörülen veya işleme amacı için gerekli süre esas alınarak belirlenmesini ve bu sürenin sonunda paylaşımın sona erdirilmesini istemektedir. Bu çerçevede bir sınav, kura, atama veya başvuru sonucunun ilk duyuru anında hukuki dayanağa sahip olması, belgenin yıllar boyunca açık arşivde tutulmasını kendiliğinden haklı kılmaz. Yayın başlangıcı, erişim süresi ve yayından kaldırma zamanı aynı kayıt üzerinde izlenebilir olmalıdır.
İşleme şartı, minimizasyon ve süre değerlendirmesine aydınlatma ile veri güvenliği yükümlülükleri eşlik etmektedir. Kanun’un 10’uncu maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca aydınlatmanın usulüne uygun yapılması ve bunun ispat edilebilmesi veri sorumlusunun yükümlülüğüdür. Kanun’un 12’nci maddesi kapsamında ise internet yayınının doğurduğu erişim ve yeniden kullanım riski dikkate alınarak idari ve teknik tedbirlerin kurulması, uygulanması ve kurum içinde denetlenmesi gerekmektedir.
IV. Mevcut Yayınlar İçin Uygulanacak Müdahale Yöntemleri
Mevcut içeriğe uygulanacak yöntem, bütün belgeler için aynı değildir. İlke Kararı, mevcut paylaşımların geçerli bir işleme şartına dayanıp dayanmadığının ve genel ilkelere uygun olup olmadığının birlikte incelenmesini istemektedir. Bu inceleme sonucunda yayının internet ortamından kaldırılması veya üzerinde maskeleme ve benzeri düzenlemeler yapılması öngörülmektedir. İşleme sebebi ortadan kalkmış veriler bakımından imha, sonuçlara erişim ihtiyacı devam eden hâllerde ise kimlik doğrulamalı ve sınırlı erişim ayrıca değerlendirilmelidir.
Yayının Kaldırılması
Hiçbir geçerli işleme şartına dayanmayan kişisel veri açık internette paylaşılmamalı ve mevcut paylaşım kamusal erişimde tutulmamalıdır. Geçerli bir işleme şartının bulunduğu ve hukuka uygun yayın amacının devam ettiği bir içerikte aykırılığın gereksiz veri alanlarına ya da genel ilkeler kapsamındaki ölçülülük eksikliğine dayanması hâlinde müdahale otomatik olarak tek bir yönteme indirgenemez. İnternetten kaldırma, maskeleme veya benzeri bir düzenleme aykırılığın niteliği, veri kategorisi, yayın amacı, yayında kalma süresi ve erişim modeli birlikte değerlendirilerek seçilmelidir.
Kaldırma, belgenin açık web sayfasından veya sosyal medya gönderisinden erişilemez hâle getirilmesidir. Kurumun dayanak işlem dosyasında bulunması gereken kayıtların ayrıca saklanıp saklanmayacağı, ilgili saklama yükümlülüğüne göre belirlenir. Bu nedenle internetten kaldırma ile kurumun bütün kayıt sistemlerinden imha aynı işlem olarak kabul edilmemelidir.
Maskeleme ve İçerik Düzeltmesi
Belgenin yayımlanması için geçerli bir işleme şartı ve devam eden bir yayın amacı bulunduğu hâlde içeriğin amaç için gerekli olmayan kişisel veriler taşıması durumunda maskeleme veya benzeri bir düzenleme seçilebilir. Maskeleme, duyurunun hukuki ve işlevsel içeriğini korurken T.C. kimlik numarası, adres, telefon, sicil numarası veya başka bir tanımlayıcının tamamını ya da gerekli kısmını görünmez hâle getirir. Hangi alanın maskeleneceği, veri kategorisi ile yayının amacı birlikte değerlendirilerek belirlenir. Standart bir şablondaki bütün alanların aynen yayımlanması ölçülülük incelemesinin yerini tutmaz.
Maskeleme her durumda yeterli değildir. Gereksiz veri alanlarının ayrıştırılamadığı, yayında kalma süresinin sona erdiği veya açık erişimin yayın amacıyla bağdaşmadığı bir içerikte yayının kaldırılması ya da erişim modelinin değiştirilmesi gerekmektedir. Böylece maskeleme, kaldırmanın yerine geçen evrensel bir çözüm olarak değil, aykırılığın niteliğine göre seçilen müdahale yöntemlerinden biri olarak uygulanmaktadır.
İmha
Paylaşımda yer alan kişisel verilerin işlenmesini gerektiren sebepler ortadan kalkmışsa konu yalnız internet yayınının sonlandırılmasıyla sınırlı değildir. İlke Kararı, Kanun’un 7’nci maddesi ile Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik uyarınca gerekli imha işlemlerinin gerçekleştirilmesini istemektedir. İmha değerlendirmesi, verinin kurumun diğer sistemlerinde tutulmasının devam eden bir hukuki sebebe dayanıp dayanmadığını da kapsar. Açık web kopyasının kaldırılmış olması, dayanak kalmayan diğer kopyaların süresiz saklanmasına izin vermez.
Kimlik Doğrulamalı ve Sınırlı Erişim
Sınav, kura ve benzeri sonuçlarda bilgiye erişim ihtiyacı devam ederken açık yayın zorunlu olmayabilir. İlgililerin birbirlerinin sonuçlarını denetlemesinin somut durum bakımından gerekli olması hâlinde erişim yalnız ilgili faaliyete katılanlarla sınırlandırılabilir. Böyle bir ihtiyaç bulunmadığında her kişi yalnız kendi sonucuna erişebilir. Karar, uygun e-Devlet platformlarını ve çift faktörlü doğrulamayla kimlik teyidi sağlayan yöntemleri bu model için örnek göstermektedir. Erişim tasarımı, sonucun kapsamı, denetim ihtiyacı, veri kategorisi ve erişecek kişi grubu esas alınarak kurulmalıdır.
V. Genel Değerlendirme
Kararın uygulanması, internet alan adlarının ve sosyal medya hesaplarının tek seferlik taranmasından ibaret değildir. Her yayın için veri sorumlusu birim, veri kategorileri, işleme şartı, yayın amacı, erişim grubu, yayın başlangıç ve bitiş tarihi, aydınlatma kaydı, uygulanacak maskeleme veya kaldırma işlemi ve işlemin tamamlandığı tarih belirlenmelidir. Böyle bir kayıt, hem mevcut içeriğin “ivedilikle” incelenmesini hem de yeni içeriklerin yayımdan önce aynı hukuki eşiklerden geçirilmesini sağlar. “İvedilikle” ifadesi sabit bir gün sayısı vermediğinden, kurumun gecikmeksizin başlattığı ve izlenebilir şekilde yürüttüğü inceleme süreci önem taşımaktadır.
İnternet sitesi ve sosyal medya platformlarını kullanan çalışanlar başta olmak üzere kurum personeline kişisel verilerin korunması mevzuatı ve uygulama esasları hakkında eğitim verilmesi de İlke Kararı’nda açıkça yer almaktadır. Eğitim, paylaşım yetkisinin kimde olduğunu, hangi belge alanlarının açık internete çıkarılamayacağını, yayın süresinin nasıl tanımlanacağını ve kaldırma veya maskeleme kararının kimin tarafından uygulanacağını gösterecek görev dağılımıyla tamamlanmalıdır. Veri sorumlusu ayrıca Kanun hükümlerinin kurum içinde uygulanmasını sağlamak amacıyla gerekli denetimleri yapmakla veya yaptırmakla yükümlüdür.
Kararda sayılan önlemlerin alınmadığının tespiti, kendiliğinden ve incelemesiz bir idari para cezası sonucu doğurmamaktadır. Kurul, inceleme yetkisi kapsamında somut olayı değerlendirdikten sonra ilgili veri sorumlusu hakkında Kanun’un 18’inci maddesi uyarınca işlem tesis edeceğini belirtmektedir. Bu nedenle yaptırım riski yayının kapsamı, veri kategorileri, işleme şartı, erişim biçimi, yayında kalma süresi ve veri sorumlusunun aldığı idari ve teknik tedbirler üzerinden somutlaşmaktadır. Kamu tüzel kişiliğini haiz veri sorumluları bakımından uygulanabilir sonuç, mevcut yayınların gecikmeksizin sınıflandırılması ve her içerik için açık erişim, sınırlı erişim, maskeleme, kaldırma veya imha kararlarından birinin hukuki dayanağıyla birlikte kayda geçirilmesidir.
