Kamu Kurumları İçin Yeni KVKK Gündemi: İnternet Paylaşımlarında 2026/1301 Sayılı İlke Kararı

Kişisel Verileri Koruma Kurulu'nun 01.07.2026 tarihli ve 2026/1301 sayılı İlke Kararı, kamu tüzel kişiliğini haiz veri sorumlularının internet ortamında kişisel veri paylaşımını doğrudan 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun temel ilkeleri ve işleme şartları çerçevesinde ele almaktadır. Karar, 28 Temmuz 2026 tarihli ve 33323 sayılı Resmî Gazete'de yayımlandı.

1. İnternette yayımlamak da "kişisel veri işleme" faaliyetidir

Kurulun yaklaşımındaki en önemli noktalardan biri, kişisel veri içeren bir belgenin internet sitesinde yayımlanmasının yalnızca bir "duyuru" veya "bilgilendirme" faaliyeti olarak görülmemesidir.

Bir belgede yer alan kişisel verilerin internet üzerinden üçüncü kişilerin erişimine açılması, Kanun kapsamında kişisel verilerin işlenmesi anlamına gelmektedir.

Dolayısıyla kamu kurumlarının:

• Personel listeleri,
• Sınav ve başvuru sonuçları,
• Kura sonuçları,
• İhale veya değerlendirme süreçlerine ilişkin belgeler,
• Öğrenci ve aday listeleri,
• Çeşitli kurul ve komisyon kararları,
• Sosyal yardım veya hizmetlerden yararlananlara ilişkin bilgiler

gibi içerikleri internet ortamında yayımlarken ayrıca kişisel veri koruma değerlendirmesi yapması gerekmektedir.

2. "Kamu kurumu olmak" tek başına yayımlama yetkisi vermiyor

Kararın uygulama bakımından dikkat çekici sonucu, kamu hizmetinin yürütülmesi amacıyla hareket edilmesinin her türlü kişisel verinin internet ortamında açık biçimde yayımlanması için yeterli kabul edilmemesidir.

Kurul, internet ortamında kişisel veri paylaşımının, öncelikle 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 5'inci maddesinde düzenlenen bir işleme şartına, özel nitelikli kişisel veriler bakımından ise 6'ncı maddede öngörülen şartlardan birine dayanması gerektiğini ve geçerli bir işleme şartı bulunmuyorsa paylaşım yapılmaması gerektiğini belirtmiştir. Ancak burada kritik bir ikinci aşama bulunmaktadır:

"Hukuki işleme şartının bulunması, verinin sınırsız biçimde yayımlanabileceği anlamına gelmemektedir." Kurum ayrıca Kanun'un 4'üncü maddesinde düzenlenen genel ilkelere uymak zorundadır.

3. Asıl sınav: "Amaçla bağlantılı, sınırlı ve ölçülü olma"

Kararın kamu kurumları açısından en önemli pratik mesajı ölçülülük ilkesinde ortaya çıkmaktadır.

Bir kamu kurumunun gerçekleştirdiği işlem için belirli bir kişisel veriye ihtiyaç duyulması, aynı verinin internet sitesinde herkesin erişimine açılmasını otomatik olarak gerekli kılmamaktadır. Örneğin bir sınav sonucunun ilan edilmesi gerekiyorsa, bunun için adayın; T.C. kimlik numarası, açık adresi, telefon numarası, doğum yeri, KPSS puanı, öğrenim bilgileri gibi çok sayıda verisinin aynı belgede yayımlanması ayrıca gerekçelendirilmelidir.

Kurulun yaklaşımına göre internet ortamında paylaşılacak veri, amacın gerçekleşmesi için gerekli asgari seviyede tutulmalı, ihtiyaç bulunmayan bilgiler yayımlanmamalı ve gerekli durumlarda maskeleme veya anonimleştirme gibi yöntemler uygulanmalıdır. Bu nedenle kamu kurumları bakımından yeni yaklaşım şu şekilde özetlenebilir:

"Yayımlayabilir miyiz?" sorusundan önce "Bu verinin tamamını yayımlamamız gerçekten gerekli mi?" sorusu sorulmalıdır.

4. Sınav sonuçlarında toplu liste dönemi kapanıyor mu?

Kararın özellikle sınav, kura ve benzeri sonuç duyuruları bakımından önemli bir uygulama etkisi bulunmaktadır.

Kurul, somut olayın özelliklerinin dikkate alınması gerektiğini belirtmekle birlikte, mümkün olduğu ölçüde yalnızca ilgili kişinin kendi sonucuna erişebileceği güvenli yöntemlerin tercih edilmesini uygun görmektedir.

Bu kapsamda:

• E-Devlet üzerinden kişiye özel sorgulama,
• Kullanıcı doğrulaması,
• Çift faktörlü kimlik doğrulama,
• Kişiye özel sonuç ekranları

gibi yöntemler öne çıkmaktadır.

Böylece kamu kurumlarının "sonuçları kamuoyuna duyurma" ihtiyacı ile kişilerin kişisel verilerinin korunması arasında daha kontrollü bir yöntem kurulması hedeflenmektedir.

5. İnternette kalma süresi de artık ayrı bir uyum konusu

Kişisel veri içeren bir duyurunun hukuka uygun şekilde yayımlanmış olması, bu duyurunun internet sitesinde süresiz olarak tutulabileceği anlamına gelmemektedir. Kurul, verilerin ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi ilkesine dikkat çekmiştir.

Buna göre kurumların yalnızca yeni yayımlayacakları içerikleri değil, geçmiş yıllarda internet sitelerine yüklenmiş belgeleri de taraması gerekmektedir.

Gerekli süre sona erdiğinde:

• Kaldırma,
• Silme,
• Yok etme,
• Anonim hâle getirme

işlemlerinin somut olayın niteliğine göre değerlendirilmesi gerekmektedir.

6. Web sitesi yöneticileri de KVKK uyum zincirinin parçası

Kararın bir başka önemli yönü, kişisel veri korumasının yalnızca hukuk veya insan kaynakları biriminin sorumluluğunda görülmemesidir.

İnternet sitesi ve sosyal medya hesaplarını yöneten çalışanlar başta olmak üzere ilgili personelin kişisel verilerin korunması konusunda düzenli olarak eğitilmesi ve farkındalık çalışmalarının yürütülmesi gerektiği vurgulanmıştır. Bu nedenle kurum içi iş akışında "yayıma alma" aşamasına bir KVKK kontrol noktası eklenmesi önemli bir uyum tedbiri olacaktır.

Konu ile ilgili duyuruya buradan ulaşabilirsiniz.