I. 引言
土耳其个人数据保护委员会（“委员会”）于2026年7月1日作出的第2026/1301号决定，以《关于具有公法人资格的数据控制者在线共享个人数据的原则决定》之名，刊载于2026年7月28日第33323号《官方公报》。该决定涉及公共机构、市政机关、省特别行政机关、大学及其他具有公法人资格的数据控制者通过网站、社交媒体账户及类似渠道发布个人数据的情形。决定并未规定单独的过渡期或固定天数，而是要求“紧急”审查现有发布内容。
在互联网上发布含有个人数据的文件，会披露相关数据并使第三方得以获取。因此，委员会将发布行为本身视为个人数据处理活动。文件与公共机构的法定职能有关，并不足以单独证明可将文件全文发布于开放互联网。每项发布均须具备第6698号《个人数据保护法》规定的处理条件，并同时遵守适用于数据处理的一般原则，包括合法与公平、准确、目的明确且正当、数据最小化，以及仅在法律或处理目的所需期限内保留数据。
《原则决定》直接针对具有公法人资格的数据控制者。其要求并不构成普遍、直接适用于私法公司的发布规则，也未给私人服务提供商设定独立义务。因此，其适用对象仅限于公法数据控制者。
II. 决定的适用范围与在线发布的法律性质
《原则决定》并不限于审查网站和社交媒体账户。通过内部或机构间往来函件、电子邮件、通知、封闭式电子环境、公示栏及公告栏共享个人数据时，也须遵守相同标准。除审查公众可访问的内容外，这一渠道层面的扩展还要求对内部共享及受限访问共享另行审查。
委员会识别的发布内容远不止姓名和联系方式。决定列举了父母姓名、年龄、土耳其身份证号码、住址、出生地、职业、专业领域、工作单位、职务、工龄、登记号码、所属部门、兵役及教育数据；涉及公开抽签不动产的街区号和宗地号信息；以及考试或申请编号、KPSS成绩、是否通过、答题正误、学生或候选人编号、缺失材料信息和曾被定罪人员身份。这些示例覆盖面广，意味着发布审查不能仅限于明显的身份标识符，也不能仅针对某一种文件类型。
与在受限程度更高、接收群体更小的环境中共享数据相比，在线发布会带来更高的数据安全风险。因此，决定将访问渠道本身作为需要单独进行法律设计的问题。如果仅允许参与者或数据主体本人访问即可实现正当目的，则应以访问受控的方式取代公开发布。
III. 处理条件、数据最小化与发布期限
在线发布首先必须具备有效的处理条件。第6698号《个人数据保护法》第5条适用于普通个人数据，第6条则规制特殊类别个人数据。决定列举的处理条件示例包括法律明确规定的处理活动，以及数据控制者履行法定义务所必要的处理活动。不存在有效处理条件时，不应在网上共享个人数据。
具备处理条件，并不当然允许发布文件中的每一个字段或对文件提供不受限制的访问。数据范围必须限于实现发布目的所必需的最低程度。如果考试结果可通过候选人专属编号加以区分，公布土耳其身份证号码、家庭住址、电话号码、父母姓名或无关的人事信息，将不符合比例原则。各类数据与公告目的之间的联系必须逐项确定，不能仅因标准文件模板包含相关字段便推定其必要性。
发布持续时间也属于同一评估的一部分。决定要求依据适用法律规定的期限或处理目的所需期限确定内容可访问的期间，并在期满后采取终止发布所需的措施。在相关时点具备公布考试、抽签、任命或申请结果的合法依据，并不当然意味着可将该文件在开放档案中保留多年。发布日、经批准的公开期限和撤下日期应当能够在同一记录中追溯。
在评估处理条件、数据最小化和发布期限的同时，还须履行透明度与安全义务。根据第6698号《个人数据保护法》第10条及《关于履行告知义务的程序和原则的公报》，数据控制者必须提供规定的信息，并能够证明其已履行该义务。第12条要求采取与在线发布所产生的访问及再利用风险相适应的行政和技术措施，并对该法的内部实施情况开展审计。
IV. 现有在线内容的处置措施
并非所有文件都适用同一项措施。对于现有发布内容，决定要求在一并评估处理条件及其是否符合一般原则后，将从互联网撤下与遮蔽或作类似调整保留为可选择的应对措施。处理依据不复存在时，须另行考虑销毁；对于仍需提供但不应继续向公众开放的结果，则应采用身份认证访问或受限访问。
从互联网撤下
不存在有效处理条件的个人数据不得在网上发布，现有发布内容也不得继续向公众开放。只有在有效处理条件和持续存在的合法发布目的均具备，而缺陷涉及非必要字段或一般原则下的比例性时，才不能自动将应对方式简化为单一措施。应根据缺陷性质、数据类别、发布目的、可访问期限和访问模式，在撤下、遮蔽或类似调整之间作出选择。
撤下是指使文件无法再通过公共网站或社交媒体渠道访问，但这并不当然决定公共机构是否须在其正式档案中继续保存基础记录。是否继续保存，应依据适用的留存义务另行评估。因此，将文件从互联网撤下与销毁机构持有的全部副本是两项不同的措施。
遮蔽与内容调整
在有效处理条件和持续存在的合法发布目的均具备，但文件包含实现该目的所不需要的字段时，可以选择遮蔽或作类似调整。遮蔽可在保留公告有效内容的同时，隐去土耳其身份证号码、地址、电话号码、登记号码或其他身份标识符的全部或必要部分。应遮蔽哪些字段，取决于数据类别与发布目的。标准文件模板包含某字段，并不能替代比例性评估。
遮蔽并非在所有情形下都已足够。如果无法将非必要字段分离、发布期限已经届满，或公开访问与发布目的不相容，就必须撤下相关内容或改变访问模式。因此，遮蔽只是可选干预措施之一，不能普遍替代撤下。
销毁
当处理所依据的理由不复存在时，所需措施不止于终止在线发布。《原则决定》援引第6698号《个人数据保护法》第7条以及《个人数据删除、销毁或匿名化条例》，要求采取必要的销毁措施。相关评估还须审查，在机构其他系统中继续保留数据是否仍有法律依据。撤下公开网页副本，并不授权无限期保留处理依据已经终止的其他副本。
身份认证访问与受限访问
考试、抽签或类似结果仍可能需要向有关人员提供，但无须向公众发布。若具体情形要求参与者相互核验结果，可以将访问范围限定为该活动的参与者；若不存在此类核验需要，则可仅允许每人访问其本人结果。决定将适用的电子政务平台及采用双因素身份验证的方法列为合适示例。访问模式应根据结果性质、核验需要、数据类别及预期用户群体确定。
V. 总体评估
落实决定不能仅靠一次性检索网站域名和社交媒体账户。对于每项发布，均应记录责任部门、数据类别、处理条件、发布目的、受众、起止日期、透明度记录、遮蔽或撤下措施及完成日期。同一记录既可支持对现有内容的紧急审查，也可用于新材料发布前的检查。“紧急开展审查”的要求并不等同于固定的法定日历期限；相关证据应当体现审查已不迟延地启动，并通过可追溯流程推进。
《原则决定》还明确要求对员工开展培训和意识提升工作，尤其是负责网站及社交媒体平台的人员。培训还应辅以职责分配机制，明确谁有权批准发布、哪些文件字段不得置于开放互联网、如何确定发布期限，以及由谁执行遮蔽或撤下决定。数据控制者也必须开展或委托开展必要的审计，以确保该法在内部得到落实。
未采取决定所要求的措施，并不会在未经调查和个案审查的情况下自动产生行政罚款。委员会表示，将在其调查权限范围内评估具体案件，并依据第6698号《个人数据保护法》第18条对相关数据控制者采取措施。因此，执法风险取决于发布内容及范围、数据类别、处理条件、访问模式、发布期限，以及已采取的行政和技术措施。对于具有公法人资格的数据控制者，切实可行的应对方式是立即对现有发布内容进行分类，并逐项记录选择公开访问、受限访问、遮蔽、撤下或销毁的法律依据。
本译文仅供参考，可能与原文存在差异。
