Gerekli olmayan kişisel veriler kamu kurumları tarafından paylaşılmayacak

 KVKK, "Kamu Tüzel Kişiliğini Haiz Veri Sorumluları Tarafından Kişisel Verilerin İnternet Ortamında Paylaşılması Hakkında İlke Kararı" Resmi Gazete'de yayımlandı.

Kararda, 6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca yapılan incelemelerde, belediyeler, il özel idareleri, üniversiteler ve diğer kamu tüzel kişiliğini haiz veri sorumlularınca internet ortamında paylaşılan kişisel verilere ilişkin tespit ve değerlendirmelere yer verildi.

Kişisel veri ihtiva eden belgelerin internet ortamında yayımlanmasının, kişisel verilerin üçüncü kişilerce erişilebilir hale gelmesi nedeniyle bir kişisel veri işleme faaliyeti niteliğinde olduğu belirtilen kararda, kurulun tespitleri de yer aldı.

Kurulun tespitlerine göre, kamu tüzel kişiliğini haiz veri sorumlularınca internet sitelerinde yayımlanan çeşitli belgelerde ad ve soyadı, anne ve baba adı, T.C. kimlik numarası, adres, cep telefonu numarası, doğum yeri, meslek, görev yeri, unvan, sicil numarası, öğrenim durumu, taşınmaz bilgileri, sınav başvuru numarası ve KPSS puanı gibi çeşitli kişisel verilere yer verildiği ifade edildi.

İlke kararında, internet ortamında yapılacak veri paylaşımlarında amacın gerçekleşmesi bakımından gerekli olmayan kişisel verilere yer verilmemesi, bu kapsamda gerekli imha, maskeleme ve benzeri tedbirlerin veri sorumlularınca alınmasının önem taşıdığı vurgulandı.

Kişisel veri içeren paylaşımların, işlendikleri amaç için gerekli olan süre kadar erişime açık tutulması, sürenin sonunda ise gerekli işlemlerin tesis edilmesi gerektiği kaydedilen kararda, internet ortamında paylaşılacak kişisel verilere ilişkin aydınlatma yükümlülüğünün de ilgili mevzuata uygun şekilde yerine getirilmesinin beklendiği belirtildi.

Kararda ayrıca, veri sorumlularınca 6698 sayılı Kanun'un 12'nci maddesi kapsamında gerekli idari ve teknik tedbirlerin alınmasının zorunlu olduğu, bu yükümlülüklerin yalnızca internet ortamındaki paylaşımlarda değil elektronik ortamlar ile pano ve ilan tahtaları gibi mecralarda yapılan kişisel veri paylaşımlarında da gözetilmesi gerektiği vurgulandı.

Söz konusu önlemlerin alınmadığının tespit edilmesi halinde Kurulun inceleme yetkisi kapsamında somut olay değerlendirmesi yapılarak ilgili veri sorumluları hakkında 6698 sayılı Kanun'un 18'inci maddesi uyarınca idari işlem tesis edileceği bildirildi.

KURUL KARARI

Kişisel Verileri Koruma Kurumundan:

Kamu Tüzel Kişiliğini Haiz Veri Sorumluları Tarafından Kişisel Verilerin İnternet Ortamında Paylaşılması Hakkında Kişisel Verileri Koruma Kurulunun 01/07/2026 Tarihli Ve 2026/1301 Sayılı İlke Kararına İlişkin Kamuoyu Duyurusu

Kişisel Verileri Koruma Kurumuna (Kurum) iletilen çeşitli şikâyet ve ihbarlarda, kamu kurum ve kuruluşları ile kamu tüzel kişiliğini haiz belediyeler, üniversiteler ve benzeri kuruluşlar tarafından yürütülen hizmetler kapsamında kişisel verilerin internet ortamında paylaşıldığı, bu paylaşımların ise 6698 sayılı Kişisel Verilerin Korunması Kanunu (6698 sayılı Kanun) bakımından hukuka aykırılık teşkil edebildiği yönünde iddialar yer almaktadır.

Söz konusu ihbar ve şikayetlerin Kişisel Verileri Koruma Kurulu (Kurul) tarafından incelenmesi sonucunda; kamu kurum ve kuruluşları ile kamu tüzel kişiliğini haiz diğer veri sorumlularının (belediyeler, il özel idareleri, üniversiteler vb.) internet ortamında gerçekleştirdiği kişisel veri paylaşımlarına ilişkin çeşitli tespit ve değerlendirmelerde bulunulmuştur. Bu kapsamda, bahse konu kişisel veri işleme faaliyetlerinin Kanun’a uygun şekilde yürütülebilmesini teminen kamuoyunun ve ilgili tarafların bilgilendirilmesine ihtiyaç duyulmuştur.

Bilindiği üzere, kişisel verilerin işlenmesi; kişisel verilerin ilk elde edilmesinden başlayarak imha edilmesine kadar geçen süreçte kişisel veriler üzerinde gerçekleştirilen her türlü işlemi kapsayan geniş bir kavramdır. Bu doğrultuda kişisel veri içeren belgelerin internet ortamında yayımlanması; kişisel verilerin açıklanması ve üçüncü kişiler tarafından erişilebilir hale getirilmesi sonucunu doğurduğundan, Kanun kapsamında bir kişisel veri işleme faaliyeti olarak değerlendirilmektedir.

Kurul tarafından yapılan incelemelerde, kamu tüzel kişiliğini haiz veri sorumlularının internet sitelerinde yayımladıkları çeşitli belgelerde; ad ve soyadı, anne ve baba adı, yaş, T.C. kimlik numarası, adres, cep telefonu numarası, doğum yeri, meslek, uzmanlık alanı, görev yeri, unvan/statü, hizmet yılı, sicil numarası, çalışılan birim, askerlik durumu, öğrenim bilgisi,  taşınmazlara ilişkin ada/parsel bilgileri, sınav başvuru numarası, KPSS puanı, kabul veya ret bilgisi, başarı durumu, mezun olunan okul bilgisi, doğru-yanlış-net sayıları, başvuru yapılan pozisyon, aday ve öğrenci numarası, sınava katılmama veya kabul edilmeme nedeni,  asil-yedek bilgisi, eksik evrak bilgisi, eski hükümlü olma durumu ve benzeri birçok kişisel veriye yer verildiği tespit edilmiştir. 

Kurul, kamu tüzel kişiliğini haiz veri sorumluları tarafından internet ortamında gerçekleştirilen kişisel veri paylaşım faaliyetlerinin 6698 sayılı Kanun ve ilgili ikincil mevzuata uygun şekilde yürütülmesi gerektiğini vurgulamış olup bu kapsamda uyumun sağlanabilmesini teminen;

• İnternet ortamında kişisel veri paylaşımının, Kanun’un 5’inci maddesinde; özel nitelikli kişisel veriler bakımından ise 6’ncı maddesinde düzenlenen geçerli bir kişisel veri işleme şartına dayanması gerektiği,
• Geçerli bir işleme şartının bulunmadığı hallerde kişisel verilerin internet ortamında paylaşılmaması gerektiği,
• Kişisel veri paylaşımının geçerli bir işleme şartına dayanmasının tek başına yeterli olmadığı, veri sorumlularının Kanun’un 4’üncü maddesinde düzenlenen Genel İlkelere de uygun hareket etmesinin zorunlu olduğu,
• Özellikle “amaçla bağlantılı, sınırlı ve ölçülü olma” ilkesi kapsamında, amacın gerçekleşmesi için gerekli asgari düzeyde kişisel verinin paylaşılması; gerekli olmayan kişisel verilere internet ortamında yer verilmemesi ve bu doğrultuda maskeleme, anonimleştirme ve benzeri tedbirlerin uygulanmasının önem arz ettiği,
• “İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme” ilkesi gereğince, kişisel veri içeren paylaşımların yayında kalma sürelerinin belirlenmesi ve bu sürelerin sonunda gerekli kaldırma, silme, yok etme veya anonim hale getirme işlemlerinin tesis edilmesi gerektiği,
• İnternet ortamında paylaşılacak kişisel verilere ilişkin Kanun’un 10’uncu maddesi kapsamında aydınlatma yükümlülüğünün yerine getirilmesi gerektiği ve aydınlatmanın yapıldığının ispat yükünün ise veri sorumlusuna ait olduğu,
• Kanun’un 12’nci maddesi uyarınca kişisel verilerin güvenliğinin sağlanmasına yönelik gerekli idari ve teknik tedbirlerin alınması gerektiği; internet ortamında gerçekleştirilen kişisel veri paylaşımlarının, verilerin daha sınırlı ortamlarda paylaşılmasına kıyasla daha yüksek veri güvenliği riski taşıdığı ve veri sorumluları tarafından idari ve teknik tedbirler belirlenirken bu durumun gözetilmesi gerektiği,
• Halihazırda internet ortamında yayımlanmakta olan kişisel veri içeren içeriklerin veri sorumluları tarafından ivedilikle gözden geçirilmesi; geçerli bir işleme şartına dayanmayan veya Kanun’un genel ilkelerine uygun olmayan paylaşımların internet ortamından kaldırılması ya da gerekli maskeleme ve benzeri işlemlerin yapılması, kişisel verilerin işlenmesini gerektiren sebeplerin ortadan kalkması halinde ise imha süreçlerinin işletilmesi gerektiği,
• Sınav sonuçları, kura sonuçları ve benzeri duyurularda, somut olayın niteliğine göre hareket edilmesi gerekmekle birlikte mümkün olduğu ölçüde yalnızca ilgili kişilerin kendi sonuçlarına erişebileceği güvenli yöntemlerin tercih edilmesinin uygun olacağı; bu kapsamda e-Devlet platformları veya çift faktörlü kimlik doğrulama yöntemlerinin kullanıldığı platformların tercih edilmesinin uygun olacağı,
• Veri sorumluları bünyesinde, internet siteleri ve sosyal medya platformların kullanılmasından sorumlu çalışanlar başta olmak üzere tüm çalışanların kişisel verilerin korunmasına ilişkin bilgi ve farkındalık düzeylerinin artırılması amacıyla eğitim ve bilinçlendirme faaliyetlerinin düzenli olarak yürütülmesi gerektiği,
• Söz konusu yükümlülüklere uyulmadığının tespiti halinde, somut olayın özellikleri dikkate alınarak gerekli incelemenin yapılacağı ve 6698 sayılı Kanun’un 18’inci maddesi uyarınca ilgili veri sorumluları hakkında idari işlem tesis edileceği

hususlarında kamuoyunun bilgilendirilmesine ve bu kapsamda 6698 sayılı Kanun’un 15’inci maddesinin altıncı fıkrası uyarınca İlke Kararı alınmasına Kurul tarafından karar verilmiştir.

Kamuoyuna saygıyla duyurulur.