Son güncelleme: 03.08.2026
Bu karar, her kişisel veri içeren çevrim içi yayını yasaklamamaktadır. Karar, kapsam dahilindeki kuruluşların geçerli bir işleme şartı oluşturmasını, yalnızca gerekli olan asgari bilgiyi yayımlamasını, bilgilerin ne kadar süreyle erişilebilir kalacağını belirlemesini, uygun bir aydınlatma metni sunmasını, güvenlik önlemleri almasını ve mevcut çevrim içi içerikleri gecikmeksizin gözden geçirmesini zorunlu kılmaktadır.
Karar ayrıca, sınav, işe alım, kura veya benzeri sonuçların öncelikle ilgili kişilere bildirilmesi gereken durumlarda, e-Devlet veya kimlik doğrulama sistemleri gibi kimlik doğrulamalı erişim yöntemlerinin kullanılmasını teşvik etmektedir.
Başlangıçta önemli bir kapsam ayrımı yapılmalıdır: İlke kararı doğrudan kamu tüzel kişiliğini haiz veri sorumlularını ilgilendirmektedir; buna belediyeler, il özel idareleri, üniversiteler ve diğer kamu kurumları dahildir. Bu, her özel şirket için özel olarak yazılmış yeni bir web sitesi yayın kuralı değildir; ancak temel KVKK ilkeleri, özel sektör veri sorumluları için de halihazırda geçerliliğini korumaktadır.
Kişisel Verileri Koruma Kurulu, 1 Temmuz 2026 tarihinde 2026/1301 sayılı İlke Kararı'nı kabul etmiştir. Karar, 28 Temmuz 2026 tarihli ve 33323 sayılı Resmî Gazete’de “Kamu Tüzel Kişiliğini Haiz Veri Sorumluları Tarafından Kişisel Verilerin İnternet Üzerinden Paylaşılmasına İlişkin İlke Kararı” başlığıyla yayımlanmıştır.
Karar, kişisel verileri herkese açık belgelerde paylaşan kamu kurumlarına yönelik şikayet ve incelemelerin ardından alındı. Kurul, şu tür bilgilerin yer aldığını tespit etti:
Kurul, bu verilerin hiçbir şekilde yayımlanamayacağını belirtmemiştir. Kurulun yaklaşımı, her türlü yayının geçerli bir hukuki dayanağı olması ve amaçla bağlantılı, sınırlı ve ölçülü kalması gerektiği yönündedir. Bu amaç için gerekli olmayan bilgiler çıkarılmalı, maskelenmeli veya başka bir yöntemle korunmalıdır.
Karar, ayrı bir geçiş süreci içermemektedir. Bunun yerine, halihazırda çevrimiçi ortamda bulunan kişisel verilerin gözden geçirilmesini ivedilikle talep etmekte ve uyumlu olmayan yayınların kaldırılmasını veya düzeltilmesini öngörmektedir.
İlke kararı, veri sorumlusu sıfatıyla hareket eden kamu hukuku tüzel kişilerini doğrudan muhatap almaktadır. Kurul tarafından açıkça belirtilen örnekler şunlardır:
Bir kuruluşun hukuki statüsü önem taşır. Bir kamu kurumuna hizmet veren şirket, sadece bir devlet web sitesini veya iletişim hesabını yönettiği için kamu hukuku tüzel kişisi haline gelmez.
Bununla birlikte, barındırma şirketleri, yazılım sağlayıcıları, iletişim ajansları ve dış kaynaklı web sitesi yöneticileri, kamu kurumu adına kişisel veri işlemeye devam edebilirler. Dolayısıyla, sözleşmesel rolleri ve teknik erişimleri, kamu kurumunun uyumluluk ve güvenlik sorumluluklarının bir parçasını oluşturur.
Yayımlanan karar üniversiteler, belediyeler, ihale makamları, sağlık kuruluşları veya diğer kategoriler için sektöre özgü muafiyetler getirmemektedir. Ayrıca, diğer mevzuatların getirdiği yayınlama yükümlülüklerini de ortadan kaldırmaz. Doğru yaklaşım, ilgili şeffaflık veya yayınlama yükümlülüğünü; hukuka uygun işleme, veri minimizasyonu, ölçülülük, güvenlik ve sınırlı saklama gibi KVKK ilkeleriyle birlikte uygulamaktır.
Sık yapılan bir operasyonel hata, mevcut bir PDF, elektronik tablo, toplantı kararı veya aday listesinin yüklenmesini bir kişisel veri işleme faaliyeti olarak değil, bir iletişim faaliyeti olarak değerlendirmektir.
KVKK kapsamında işleme; verilerin kaydedilmesi, depolanması, açıklanması, aktarılması, erişilebilir hale getirilmesi ve kullanımının engellenmesi gibi eylemleri kapsar. Bir belge web sitesine yüklendiğinde, içerdiği kişisel veriler üçüncü taraflara açıklanmış ve erişilebilir kılınmış olur.
Bu durum, aşağıdaki hallerde de geçerliliğini korur:
Mesele, yayının belgenin asıl amacı olup olmadığı değildir. Mesele, bilgilerin çevrimiçi ortamda erişilebilir kılınmasının hukuka uygun ve orantılı olup olmadığıdır. Kurul, kişisel veri içeren bir belgenin internette yayınlanmasını açıkça bir işleme faaliyeti olarak ele almaktadır.
Kişisel verileri yayınlamadan önce kurum, KVKK'nın 5. maddesi uyarınca en az bir geçerli işleme şartı belirlemelidir. Özel nitelikli kişisel verilerin söz konusu olduğu durumlarda, 6. madde kapsamındaki daha katı şartlar değerlendirilmelidir.
Bir kamu kurumu için en ilgili şartlar şunlar olabilir:
Açık rıza, yalnızca belirsiz bir yayın uygulamasını telafi etmek için kullanılmamalıdır. Birçok kamu sektörü ilişkisinde, kurum ile birey arasındaki dengesizlik, açık rızaya dayanmayı zorlaştırabilir. Daha da önemlisi, açık rıza alınması; amaç sınırlılığı, veri minimizasyonu, orantılılık ve güvenlik ilkelerine uyma yükümlülüğünü ortadan kaldırmaz.
Bir inceleme, işe alım süreci, tahsis prosedürü veya satın alma işlemi yürütmek için hukuki bir dayanağın bulunması, ilgili her veri alanının tüm internete açılması için otomatik olarak hukuki bir dayanak oluşturmaz.
Yayınlama adımı ayrı olarak değerlendirilmelidir.
| Durum | Belirlenmesi gerekenler | Daha güvenli yayınlama yaklaşımı |
|---|---|---|
| Mevzuat açıkça herkese açık çevrimiçi yayın gerektiriyor | İlgili hükmü, zorunlu kanalı, veri alanlarını ve yayın süresini belirleyin. | Yalnızca gerekli bilgileri yayımlayın. İlgisiz alanları kaldırın ve zorunlu süre sonunda içeriği otomatik olarak yayından kaldırın. |
| Mevzuat bir sonucun veya kararın duyurulmasını gerektiriyor ancak sınırsız internet erişimini şart koşmuyor | Hedef kitleyi ve herkese açık erişimin gerçekten gerekli olup olmadığını belirleyin. | e-Devlet, kimlik doğrulamalı portal, bireysel bildirim veya yalnızca katılımcılara açık erişimi tercih edin. |
| Yayın şeffaflığı veya denetimi destekliyor ancak açıkça zorunlu değil | Kamu yararı amacını, uygulanabilir işleme şartını ve ölçülülük değerlendirmesini belgeleyin. | İdari dosyanın tamamı yerine asgari bilgileri içeren bir karar özeti, istatistik veya maskelenmiş bilgi yayımlayın. |
| Yayın yalnızca alışkanlığa, kolaylığa veya eski bir şablona dayanıyor | Geçerli bir işleme şartı ve kanıtlanabilir gereklilik yine de bulunmalıdır. | Hukuki dayanak, hedef kitle, veri alanları ve süre onaylanmadan yayımlamayın. |
| Geçerli bir işleme şartı bulunmuyor | Kamuya açıklama için hukuki dayanak yoktur. | Kişisel verileri yayımlamayın. Kişisel veri içermeyen bir duyuru veya doğrudan iletişim kullanın. |
Yasal bir yükümlülük ile yerleşik bir idari alışkanlık arasındaki ayrım, kararın merkezinde yer alır.
Bir kanun, yönetmelik veya diğer bağlayıcı hükümler aşağıdakileri açıkça belirttiğinde, yayınlama işleminin zorunlu olma ihtimali daha yüksektir:
Bu durumda dahi kurum, yalnızca kuralın gerektirdiği bilgileri yayınlamalıdır. Bir ödülün, kararın veya sonucun duyurulması zorunluluğu; kimlik numaralarının, ev adreslerinin, telefon numaralarının veya başvuruyla ilgisi olmayan detayların paylaşılmasına izin vermez.
Bazı kurallar, tüm bilgilerin herkese açık bir web sitesinde yer alması gerektiğini belirtmeksizin sonuçların "duyurulmasını" veya "yayınlanmasını" şart koşar.
Bu durumda kurum, yükümlülüğün daha az müdahaleci bir yöntemle yerine getirilip getirilemeyeceğini değerlendirmelidir; örneğin:
Akademik ve öğrenci sınav sonuçlarına ilişkin önceki Kurul kararları, kalıcı olarak aranabilir halka açık listeler yerine kimlik doğrulama ve sınırlı erişim kullanımını desteklemektedir.
Bu tür ifadeler tek başlarına yasal bir dayanak oluşturmaz:
Bu hususlar operasyonel bir amacı açıklamaya yardımcı olabilir ancak geçerli bir işleme şartı ve orantılılık değerlendirmesi ihtiyacının yerini tutmazlar.
Şeffaflık ve veri koruma birbirini dışlayan kavramlar değildir. Şeffaflık normalde bir kararın hukuka uygun alınıp alınmadığı, kamu kaynaklarının nasıl tahsis edildiği ve bir sürecin denetlenip denetlenemeyeceği ile ilgilidir. Bu süreçte toplanan her kişisel verinin kısıtlamasız bir şekilde ifşa edilmesini otomatik olarak gerektirmez.
Kamu ihale mevzuatı; ilanların, ihale bilgilerinin ve sözleşme sonuçlarının EKAP veya Kamu İhale Bülteni gibi resmi kanallar aracılığıyla yayınlanmasını zorunlu kılabilir.
Kurum, başvuru dosyalarının tamamını, imza sirkülerini, kimlik kayıtlarını, iletişim listelerini veya kurum içi değerlendirme formlarını ayrı bir ihtiyaç olmaksızın ek bir halka açık sayfaya yüklemek yerine, öngörülen kanalı ve gerekli bilgileri kullanmalıdır.
Aynı ayrım, kurumsal bir tedarikçiye ilişkin bilgiler ile onun temsilcileri, çalışanları, uzmanları veya hissedarlarına ilişkin kişisel bilgiler arasında da geçerlidir.
Mevzuatın işe alım veya sınav sonuçlarının duyurulmasını zorunlu kıldığı durumlarda, kurum şunları belirlemelidir:
Bir sonucun duyurulmasına ilişkin idari bir gereklilik, isimleri, kimlik numaralarını, puanları, ret gerekçelerini ve yedek liste durumunu içeren aranabilir bir elektronik tablonun yayımlanması için otomatik olarak yetki verildiği şeklinde yorumlanmamalıdır.
Bazı kararların yürürlüğe girmesi, ilgili tarafları bilgilendirmesi veya idare hukuku gerekliliklerini karşılaması için yayımlanması gerekebilir.
Bu gibi durumlarda kurum şunları belgelemelidir:
Kamu erişimi için yalnızca kısaltılmış bir versiyon uygun olsa bile, tam versiyonun kurum kayıtlarında saklanması gerekebilir. Bir belgenin kamuya açık web sitesinden kaldırılması, başka bir yasa saklama zorunluluğu getirdiği sürece, temelindeki resmi kaydın silinmesi anlamına gelmez.
Bir işleme şartına sahip olmak yalnızca ilk soruyu yanıtlar: işlemenin gerçekleşip gerçekleşemeyeceği.
Bir sonraki soru, belirli yayın biçiminin ölçülü olup olmadığıdır.
Kurul, kuruluşların amaca ulaşmak için gereken minimum miktarda kişisel veriyi yayımlamasını şart koşar. Bu, hem dahil edilen alanların hem de seçilen kanalın yarattığı ifşa riskinin incelenmesini gerektirir.
Herhangi bir internet kullanıcısı tarafından görülebilen, kimlik doğrulaması olmaksızın indirilebilen, arama motorları tarafından indekslenebilen ve birkaç yıl boyunca erişilebilir kalan bir belge, kimlik doğrulamalı bir portal içinde geçici olarak görüntülenen bir sonuca kıyasla çok daha fazla ifşa riski yaratır.
Faydalı bir ölçülülük değerlendirmesi şunları dikkate almalıdır:
| Veri alanı | Tipik ifşa riski | Daha güvenli olabilecek uygulama |
|---|---|---|
| T.C. kimlik numarası | Yüksek. Doğrudan kimlik tespitini sağlar; dolandırıcılık veya hesap doğrulama risklerini artırabilir. | Açıkça gerekli değilse kaldırın. Tanımlayıcı gerekiyorsa bağlama uygun maskeleme veya kimlik doğrulamalı erişim kullanın. |
| Ev adresi, cep telefonu numarası veya kişisel e-posta adresi | Yüksek. İstenmeyen iletişim, profilleme, taciz veya dolandırıcılığa imkan verebilir. | Herkese açık belgelerden çıkarın; kontrollü kurum içi veya bireysel kanallardan iletin. |
| Ad ve soyad | Arama motorlarının dizine eklemesine imkan verir ve kişiyi yayımlanan sonuçla ilişkilendirir. | Yeniden kimlik tespiti riskini değerlendirdikten sonra kimlik doğrulamalı erişim, maskeleme veya katılımcıya özel tanımlayıcı kullanmayı değerlendirin. |
| Aday, başvuru veya öğrenci numarası | Kurum, aday veya diğer katılımcılar kişinin kimliğini belirlemeye devam edebilir. | Otomatik olarak anonim kabul etmeyin; takma adlaştırılmış kişisel veri olarak değerlendirin. Erişebilen kitleyi ve yayın süresini sınırlayın. |
| Puanlar, sıralamalar ve başarılı/başarısız durumu | Akademik veya mesleki performansı açığa çıkarır ve itibarı etkileyebilir. | Bireysel erişimi tercih edin. Daha geniş bir inceleme gerçekten gerekliyse görünürlüğü katılımcılarla sınırlayın. |
| Ret, eleme veya eksik belge nedeni | Hassas kişisel durumları açığa çıkarabilir veya haksız çıkarımlara yol açabilir. | Gerekliyse yalnızca sonucu yayımlayın; ayrıntılı gerekçeyi doğrudan başvuru sahibine iletin. |
| Sağlık, ceza mahkumiyeti veya diğer özel nitelikli bilgiler | Çok yüksek. Daha sıkı işleme şartlarına tabidir ve ayrımcılık riski yüksektir. | Somut bir hukuki değerlendirme gerekliliği ve 6. maddeye uygunluğu ortaya koymadıkça herkese açık belgeye dahil etmeyin. |
| Taşınmaz ada veya parsel bilgisi | Tahsis, adres veya başvuru sahibi bilgileriyle birleştirildiğinde kimlik tespitine veya profillemeye imkan verebilir. | Yalnızca süreç için gerekli taşınmaz bilgilerini yayımlayın ve gereksiz kişisel tanımlayıcılardan ayırın. |
Yeni ilke kararı, kamu sektörü belgelerinde bulunan alanların kapsamlı bir listesini sunmaktadır. Bunlardan birkaçı özel dikkat gerektirir.
Genel bir kamu duyurusu için tam bir T.C. kimlik numarasının yayınlanması nadiren gerekli olacaktır. Kısmi kimlik numaraları bile bağlamsal bir değerlendirme gerektirir, çünkü belgedeki diğer bilgiler kişinin kimliğinin belirlenmesine yol açabilir.
Ev adresleri, cep telefonu numaraları ve kişisel e-posta adresleri, genellikle bir sınav, işe alım veya ihale sonucunun şeffaflığına çok az katkı sağlar. Bunların ifşası dolandırıcılık, taciz veya istenmeyen iletişim riskleri yaratabilir.
Bir başvuru sahibinin eksik belge, uygunsuzluk, eski hükümlülük durumu veya başka bir kişisel durum nedeniyle reddedildiğine dair bir ifade, bir sonucu duyurmak için gerekenden çok daha fazlasını açığa çıkarabilir.
Ayrıntılı gerekçeler normal şartlarda doğrudan başvuru sahibine iletilebilir.
Puanlar, doğru ve yanlış cevap sayıları, değerlendirme sıralamaları ve geçme/kalma bilgileri kişisel veridir. Bunların yayınlanması, özel nitelikli veri olmasalar dahi kişinin mesleki veya akademik itibarını etkileyebilir.
Bir ismin aday numarasıyla değiştirilmesi otomatik olarak anonimleştirme sayılmaz. Bu numara, kurum, başvuru sahibi, diğer adaylar veya başka yerlerde yayımlanan bilgiler aracılığıyla bir kişiyle ilişkilendirilebildiği sürece kişisel veri olma özelliğini korur.
Küçük ölçekli bir işe alım sürecinde, yoğun şekilde maskelenmiş bir tanımlayıcı bile meslektaşların veya rakiplerin kişinin kimliğini tahmin etmesi için yeterli olabilir.
Bu teknikler birbirinin yerine kullanılmamalıdır.
Maskeleme, bir alanın bir kısmını gizler; örneğin harfleri veya sayıları yıldız işaretleriyle değiştirir.
Kurul, 2019 tarihli akademik işe alım kararında şu örneklere yer vermiştir: A**** B**** ve 11*******11. Bu örnekler olası bir maskeleme yaklaşımını göstermektedir ancak evrensel ve güvenli bir standart olarak kabul edilmemelidir. Geriye kalan bilgiler, aday grubunun büyüklüğü ve diğer veri setlerinin erişilebilirliği mutlaka dikkate alınmalıdır.
Takma adlaştırma, doğrudan tanımlayıcıyı bir kod, aday numarası veya başka bir referansla değiştirir.
Kodun bir kişiyle tekrar ilişkilendirilebildiği durumlarda veri, kişisel veri olma özelliğini korur. Erişim kontrolleri, anahtar ayrımı ve sınırlı yayınlama gerekliliği devam eder.
KVKK silme yönetmeliği uyarınca anonimleştirme, kişisel verilerin, diğer ilgili verilerle birleştirildiğinde dahi kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek hale getirilmesini gerektirir.
Bir satırdan ismin çıkarılması, kişi benzersiz bir iş unvanı, mülk parseli, puan, departman veya nitelik kombinasyonları aracılığıyla hala tanınabiliyorsa anonimleştirme sağlamaz.
Çoğu bireyselleştirilmiş sınav veya işe alım sonucu için, detaylı bir listeyi anonimleştirmeye çalışmak yerine kimlik doğrulamalı erişim sağlamak daha güvenilirdir.
Kurul, her bildirim için geçerli olacak tek bir yayın süresi belirlememiştir.
Her kurum, süreyi aşağıdakilere göre belirlemelidir:
Bir yayın iş akışı, içerik yayına girmeden önce bir son kullanma tarihi gerektirmelidir.
Onaylanan sürenin sonunda kurum şunları yapmalıdır:
Silme yönetmeliği, silme ve anonimleştirme işlemlerinin kayıt altına alınmasını zorunlu kılar. Ayrıca verilerin ilgili kullanıcılar için erişilemez hale getirilmesi, kimsenin geri getiremeyeceği şekilde imha edilmesi ve bir kişiyle ilişkilendirilemeyecek şekilde anonimleştirilmesi arasında ayrım yapar.
Bir belge, arşivleme, istihdam, tedarik veya idari kayıt tutma yükümlülüğü kapsamında kurum içinde saklanması gerekse bile, artık herkese açık kalması gerekmeyebilir.
Kurum bu nedenle şu durumlar için ayrı süreler tanımlamalıdır:
“On yıl boyunca saklayın” ifadesi, “on yıl boyunca web sitesinde yayınlayın” anlamına gelmez.
2026 ilke kararı, arama motoru önbelleği veya dizinden çıkarma prosedürünü özel olarak zorunlu kılmaz. Yine de kaynak belgenin kaldırılması, yalnızca ilk düzeltme adımı olarak değerlendirilmelidir.
Savunulabilir bir yanıt normalde şunları içermelidir:
404 veya 410 sayfanın kalıcı olarak kaldırıldığı durumlardanoindex bir sayfanın erişilebilir kalması ancak arama sonuçlarında görünmemesi gereken durumlarGoogle'ın kaldırma araçları bir sayfayı arama sonuçlarından geçici olarak çıkarabilir, ancak kalıcı bir çözüm için kaynak içeriğin de kaldırılması veya engellenmesi gerekir.
Kurul, arama motoru indekslemenin başlı başına bir kişisel veri işleme faaliyeti olduğunu ve bireylerin 2020/481 sayılı Karar'da belirlenen kriterler çerçevesinde indeksin kaldırılmasını talep edebileceklerini ayrıca kabul etmiştir. Bu, her eski sonucun otomatik olarak indeks dışı bırakılması gerektiği anlamına gelmez; mahremiyet ile kamu yararı arasında duruma özel bir denge kurulması gerekliliği devam etmektedir.
Bir kamu kurumu, indirilen veya bağımsız olarak yeniden yayınlanan her kopyanın internetten silineceğini garanti edemez. Ancak kurum, kendi kontrolü altındaki sistemler ve alıcılar nezdinde orantılı adımlar atmalı ve tespit edilebilen üçüncü taraf kopyalarına ilişkin makul takip işlemlerini belgelemelidir.
İlke kararı özellikle sınavları, kuraları ve benzer süreçleri ele almaktadır.
Koşulların katılımcıların daha geniş bir sonuç listesini incelemesini gerektirdiği durumlarda—örneğin bir sıralama veya yerleştirme sürecini doğrulamak için—kurum, erişimi yalnızca ilgili katılımcılara sağlayabilir ve uygun veri minimizasyonu önlemleri uygulayabilir.
Daha geniş bir katılımcı erişimine gerek duyulmayan durumlarda, her birey genel kural olarak yalnızca kendi sonucunu görebilmelidir.
Kurul, uygun seçenekler olarak e-Devlet hizmetlerini ve iki faktörlü kimlik doğrulama yöntemlerini işaret etmektedir.
Güçlü bir sonuç yayınlama modeli şu yöntemleri kullanabilir:
Açık elektronik tablolar, indirilebilir PDF'ler ve herkese açık sosyal medya görselleri, sadece operasyonel olarak kolay oldukları için varsayılan yöntem olmamalıdır.
Kurul, çevrimiçi yayın faaliyetleri için 10. madde kapsamındaki aydınlatma yükümlülüğünün yerine getirilmesini açıkça şart koşmaktadır. Ayrıca, aydınlatmanın yapıldığını ispat yükümlülüğünün veri sorumlusuna ait olduğunu vurgulamaktadır.
Aydınlatma metni, geçerli olduğu durumlarda şunları doğru bir şekilde açıklamalıdır:
Operasyonel bir iyileştirme olarak kuruluşlar, planlanan yayın süresini ve erişimin herkese açık mı, sadece katılımcılara özel mi yoksa bireyselleştirilmiş mi olacağını da açıklamalıdır.
Web sitesinin alt bilgisinde yer alan genel bir gizlilik bildirimi, ayrı bir işe alım, sınav veya çekiliş yayınını yeterince kapsamayabilir. İlgili bildirim, sürecin uygun bir aşamasında; örneğin başvuru sırasında veya faaliyet için veriler toplanmadan önce sunulmalıdır.
Aydınlatma ve açık rıza ayrı kavramlar olarak kalmalıdır. Aydınlatma yapmak bir işleme şartı oluşturmaz; açık rıza talep etmek ise aydınlatma yükümlülüğünün yerini tutmaz.
Faydalı kanıtlar şunları içerebilir:
Kararın uygulanması için içerik oluşturan, onaylayan ve yayımlayan birimlerin görevleri birlikte belirlenmelidir.
Pratik bir yayın süreci aşağıdaki kontrolleri içermelidir.
Her tekrarlayan yayın sürecini, aşağıdakileri içerecek şekilde kaydedin:
Yayınlamadan önce içerik sahibi şu soruları yanıtlamalıdır:
İşe alım listeleri, sınav sonuçları, ihale duyuruları ve kurul ilanları, gereksiz alanları varsayılan olarak hariç tutan onaylı şablonları kullanmalıdır.
Bu, çalışanlardan her yeni belgeyi manuel olarak düzenlemelerini istemekten daha güvenlidir.
Amaca bağlı olarak kontroller şunları içerebilir:
Karar, özellikle web sitelerini ve sosyal medya platformlarını yöneten çalışanlar için eğitim ve farkındalık çalışmalarını açıkça zorunlu kılmaktadır.
Eğitim; iletişim ekiplerini, insan kaynaklarını, satın almayı, öğrenci işlerini, bilgi teknolojilerini, hukuk işlerini, kayıt yönetimini ve dış ajansları da kapsamalıdır.
Bilginin neden yayımlandığını, hangi bilgilerin kullanıldığını ve yayın sürecinin nasıl işlediğini belirlediği durumlarda, kamu kurumu genellikle veri sorumlusu olmaya devam eder.
Bir barındırma sağlayıcısı, web sitesi geliştiricisi veya iletişim ajansı, bilgileri yalnızca kamu kurumunun belgelenmiş talimatları doğrultusunda işlediği durumlarda veri işleyen sıfatıyla hareket edebilir.
Yayın sürecini dış kaynakla yürütmek, sorumluluğu dış kaynakla yürütmek anlamına gelmez.
12. Madde uyarınca, kişisel verilerin bir veri sorumlusu adına işlendiği durumlarda, veri sorumlusu ve veri işleyen, gerekli veri güvenliği önlemlerini alma konusunda ortak sorumluluğa sahiptir. Veri sorumlusu ayrıca uygun denetimleri yapmalı veya yaptırmalıdır.
Bu nedenle hizmet sağlayıcılarla yapılan sözleşmeler şunları içermelidir:
Bir yüklenici, bilgileri kendi amaçları doğrultusunda yeniden kullanmaya, analiz etmeye, yeniden yayımlamaya veya saklamaya bağımsız olarak karar verirse, bu faaliyet için ayrı bir veri sorumlusu haline gelebilir. Sınıflandırma, yalnızca sözleşmedeki tanımlamaya değil, fiili kararlara ve davranışlara bağlıdır.
İlke kararı, belirlenen önlemlerin alınmamasının, KVKK'nın 18. maddesi uyarınca vaka bazlı bir Kurul incelemesine ve yasal sürece yol açabileceğini belirtmektedir.
Kamu kurumları ve kamu kurumu niteliğindeki meslek kuruluşları için 18. madde, Kurulun ilgili kurumu bilgilendirerek sorumlu yetkililer ve diğer kamu personeli hakkında disiplin soruşturması başlatılmasını sağlamasını öngörür. Sonucun Kurula bildirilmesi zorunludur.
Kurul ayrıca veri sorumlusuna bir işleme faaliyetini düzeltmesi, sonuç yayımlama sistemini yeniden tasarlaması, içeriği kaldırması veya diğer uygun önlemleri alması talimatını verebilir. Devlet üniversitelerini içeren önceki vakalar, kamu sektörü statüsünün Kurul talimatlarına uyma yükümlülüğünü ortadan kaldırmadığını göstermektedir.
Kapsam dahilindeki kuruluşlar bir sonraki işe alım veya sınav dönemini beklememelidir. Karar, mevcut çevrimiçi içeriğin acilen gözden geçirilmesi çağrısında bulunmaktadır.
| Adım | İşlem | Saklanacak kanıtlar |
|---|---|---|
| 1 | Herkese açık içeriğin envanterini çıkarın | Web sitesi taraması, belge listesi, sosyal medya envanteri, alt alan adı listesi ve atanmış içerik sorumluları. |
| 2 | Kişisel veri alanlarını belirleyin | Doğrudan ve dolaylı tanımlayıcıları, hassas alanları ve etkilenen kişileri gösteren inceleme kaydı. |
| 3 | İşleme şartını belirleyin | Her yayın süreci için ilgili mevzuat hükmü veya belgelenmiş 5. ya da 6. madde değerlendirmesi. |
| 4 | Gerekliliği ve ölçülülüğü değerlendirin | Hedef kitle, amaç, gerekli alanlar ve tercih edilmeyen daha az müdahaleci seçeneklere ilişkin açıklama. |
| 5 | Gerekçesi bulunmayan yayınları kaldırın veya düzeltin | Önceki ve sonraki kopyalar, onay kaydı, kaldırma tarihi ve sorumlu kişi. |
| 6 | Yinelenen ve önbellekteki kopyaları kontrol edin | Ek dosya yollarının kontrolü, önbellek temizleme günlükleri, arama sonuçlarından kaldırma talepleri ve üçüncü taraf bildirimleri. |
| 7 | Yayın sürelerini belirleyin | Onaylı süre, hukuki kaynak, bitiş tarihi ve otomatik veya manuel kaldırma görevi. |
| 8 | Sınav ve işe alım sonuçlarının sunumunu yeniden tasarlayın | Kimlik doğrulama tasarımı, erişim kuralları, maskeleme değerlendirmesi ve katılımcı erişiminin gerekçesi. |
| 9 | Aydınlatma metinlerini inceleyin | Sürüm kontrollü metin, iletim yöntemi, zaman damgası ve aydınlatmanın yapıldığına dair kanıt. |
| 10 | Yüklenicileri ve sistem erişimlerini inceleyin | Veri işleyen sözleşmesi, erişim listesi, güvenlik gereklilikleri, silme görevleri ve denetim sonuçları. |
| 11 | Yayın ekiplerini eğitin | Katılım kayıtları, eğitim materyali, değerlendirme sonuçları ve role özgü talimatlar. |
| 12 | Düzenli denetimler başlatın | Denetim takvimi, örneklem kontrolleri, bulgular, düzeltici işlemler ve kapanış kayıtları. |
İlk inceleme, web sitesinin mevcut navigasyonundan daha fazlasını kapsamalıdır. Ekipler şuraları taramalıdır:
Tam kimlik numaraları, iletişim bilgileri, özel nitelikli veriler, ret gerekçeleri, detaylı sınav bilgileri ve operasyonel amacını yitirdiği halde çevrim içi kalmaya devam eden listeleri içeren dosyalara öncelik verilmelidir.
Yeni bir kamu belgesini onaylamadan önce, sorumlu ekip aşağıdakilerin tümüne yanıt verebilmelidir:
Bu soruları yanıtlayamayan bir yayın, değişikliğe gidilmeden devam ettirilmemelidir.
Türkiye’nin 2026 tarihli ilke kararı, kamu kurumlarının kişisel verileri yayınlamasına tam bir yasak getirmemektedir. Karar, kamu kurumlarının web sitesinde yayın yapmayı idari bir sürecin otomatik ve nihai bir adımı olarak görmekten vazgeçmelerini şart koşmaktadır.
Uygulamadaki kural oldukça basittir:
Yasal gerekliliği belirleyin, hedef kitleyi tanımlayın, minimum veriyi yayınlayın, erişim süresini kısıtlayın ve amaç sona erdiğinde bilgileri kaldırın.
Sınav, kura ve işe alım sonuçları için izlenecek yol özellikle nettir. Herkese açık indirilebilir listelerin yerini, mümkün olan durumlarda, kimlik doğrulamalı ve kişiselleştirilmiş erişim yöntemleri almalıdır.
Kamu kurumları artık mevcut yayınlarının envanterini çıkarmalı, gerekçesiz içerikleri kaldırmalı, tekrarlayan iş akışlarını yeniden tasarlamalı ve iletişim, insan kaynakları, satın alma, bilgi teknolojileri, kayıt yönetimi ve dış hizmet sağlayıcıları arasındaki sorumlulukları netleştirmelidir.
Kuruluşlar, sektöre özgü bir yayın yükümlülüğü, şeffaflık gerekliliği veya idari prosedürün doğru yorumlanmasını etkilediği durumlarda yetkin bir hukuki danışmanlık almalıdır.
Kooch Siber Güvenlik ve Uyumluluk, kuruluşlara ve kamu sektörü hizmet sağlayıcılarına şu konularda destek verebilir:
Yayımlama öncesi kontroller, gereksiz kişisel verilerin kamuya açık sistemlere yüklenmesini önlemelidir.
