Son güncelleme: 03.08.2026
Bu karar, her kişisel veri içeren çevrim içi yayını yasaklamamaktadır. Karar, kapsam dahilindeki kuruluşların geçerli bir işleme şartı oluşturmasını, yalnızca gerekli olan asgari bilgiyi yayımlamasını, bilgilerin ne kadar süreyle erişilebilir kalacağını belirlemesini, uygun bir aydınlatma metni sunmasını, güvenlik önlemleri almasını ve mevcut çevrim içi içerikleri gecikmeksizin gözden geçirmesini zorunlu kılmaktadır.
Karar ayrıca, sınav, işe alım, kura veya benzeri sonuçların öncelikle ilgili kişilere bildirilmesi gereken durumlarda, e-Devlet veya kimlik doğrulama sistemleri gibi kimlik doğrulamalı erişim yöntemlerinin kullanılmasını teşvik etmektedir.
Başlangıçta önemli bir kapsam ayrımı yapılmalıdır: İlke kararı doğrudan kamu tüzel kişiliğini haiz veri sorumlularınıilgilendirmektedir; buna belediyeler, il özel idareleri, üniversiteler ve diğer kamu kurumları dahildir. Bu, her özel şirket için özel olarak yazılmış yeni bir web sitesi yayın kuralı değildir; ancak temel KVKK ilkeleri, özel sektör veri sorumluları için de halihazırda geçerliliğini korumaktadır.
Kişisel Verileri Koruma Kurulu, 1 Temmuz 2026tarihinde 2026/1301 sayılı İlke Kararı'nı kabul etmiştir. Karar, 28 Temmuz 2026tarihli ve 33323sayılı Resmî Gazete’de “Kamu Tüzel Kişiliğini Haiz Veri Sorumluları Tarafından Kişisel Verilerin İnternet Üzerinden Paylaşılmasına İlişkin İlke Kararı” başlığıyla yayımlanmıştır.
Karar, kişisel verileri herkese açık belgelerde paylaşan kamu kurumlarına yönelik şikayet ve incelemelerin ardından alındı. Kurul, şu tür bilgilerin yer aldığını tespit etti:
Kurul, bu verilerin hiçbir şekilde yayımlanamayacağını belirtmemiştir. Kurulun yaklaşımı, her türlü yayının geçerli bir hukuki dayanağı olması ve amaçla bağlantılı, sınırlı ve ölçülü kalması gerektiği yönündedir. Bu amaç için gerekli olmayan bilgiler çıkarılmalı, maskelenmeli veya başka bir yöntemle korunmalıdır.
Karar, ayrı bir geçiş süreci içermemektedir. Bunun yerine, halihazırda çevrimiçi ortamda bulunan kişisel verilerin gözden geçirilmesini ivedilikle talep etmekte ve uyumlu olmayan yayınların kaldırılmasını veya düzeltilmesini öngörmektedir.
İlke kararı, veri sorumlusu sıfatıyla hareket eden kamu hukuku tüzel kişilerini doğrudan muhatap almaktadır. Kurul tarafından açıkça belirtilen örnekler şunlardır:
Bir kuruluşun hukuki statüsü önem taşır. Bir kamu kurumuna hizmet veren şirket, sadece bir devlet web sitesini veya iletişim hesabını yönettiği için kamu hukuku tüzel kişisi haline gelmez.
Bununla birlikte, barındırma şirketleri, yazılım sağlayıcıları, iletişim ajansları ve dış kaynaklı web sitesi yöneticileri, kamu kurumu adına kişisel veri işlemeye devam edebilirler. Dolayısıyla, sözleşmesel rolleri ve teknik erişimleri, kamu kurumunun uyumluluk ve güvenlik sorumluluklarının bir parçasını oluşturur.
Yayımlanan karar değildir üniversiteler, belediyeler, ihale makamları, sağlık kuruluşları veya diğer kategoriler için sektöre özgü muafiyetler getirmemektedir. Ayrıca, diğer mevzuatların getirdiği yayınlama yükümlülüklerini de ortadan kaldırmaz. Doğru yaklaşım, ilgili şeffaflık veya yayınlama yükümlülüğünü; hukuka uygun işleme, veri minimizasyonu, ölçülülük, güvenlik ve sınırlı saklama gibi KVKK ilkeleriyle birlikte uygulamaktır.
Sık yapılan bir operasyonel hata, mevcut bir PDF, elektronik tablo, toplantı kararı veya aday listesinin yüklenmesini bir kişisel veri işleme faaliyeti olarak değil, bir iletişim faaliyeti olarak değerlendirmektir.
KVKK kapsamında işleme; verilerin kaydedilmesi, depolanması, açıklanması, aktarılması, erişilebilir hale getirilmesi ve kullanımının engellenmesi gibi eylemleri kapsar. Bir belge web sitesine yüklendiğinde, içerdiği kişisel veriler üçüncü taraflara açıklanmış ve erişilebilir kılınmış olur.
Bu durum, aşağıdaki hallerde de geçerliliğini korur:
Mesele, yayının belgenin asıl amacı olup olmadığı değildir. Mesele, bilgilerin çevrimiçi ortamda erişilebilir kılınmasının hukuka uygun ve orantılı olup olmadığıdır. Kurul, kişisel veri içeren bir belgenin internette yayınlanmasını açıkça bir işleme faaliyeti olarak ele almaktadır.
Kişisel verileri yayınlamadan önce kurum, KVKK'nın 5. maddesi uyarınca en az bir geçerli işleme şartı belirlemelidir. Özel nitelikli kişisel verilerin söz konusu olduğu durumlarda, 6. madde kapsamındaki daha katı şartlar değerlendirilmelidir.
Bir kamu kurumu için en ilgili şartlar şunlar olabilir:
Açık rıza, yalnızca belirsiz bir yayın uygulamasını telafi etmek için kullanılmamalıdır. Birçok kamu sektörü ilişkisinde, kurum ile birey arasındaki dengesizlik, açık rızaya dayanmayı zorlaştırabilir. Daha da önemlisi, açık rıza alınması; amaç sınırlılığı, veri minimizasyonu, orantılılık ve güvenlik ilkelerine uyma yükümlülüğünü ortadan kaldırmaz.
Bir inceleme, işe alım süreci, tahsis prosedürü veya satın alma işlemi yürütmek için hukuki bir dayanağın bulunması, ilgili her veri alanının tüm internete açılması için otomatik olarak hukuki bir dayanak oluşturmaz.
Yayınlama adımı ayrı olarak değerlendirilmelidir.
| Situation | What must be established | Safer publication approach |
|---|---|---|
| Legislation expressly requires public online publication | Identify the exact provision, required channel, mandatory fields and publication period. | Publish only the required information. Remove unrelated fields and automatically expire the content when the required period ends. |
| Legislation requires a result or decision to be announced but does not specify unrestricted internet access | Determine the intended audience and whether public access is genuinely necessary. | Prefer e-Devlet, an authenticated portal, individual notification or participant-only access. |
| Publication supports transparency or scrutiny but is not expressly required | Document the public-interest objective, applicable processing condition and proportionality assessment. | Publish a minimized decision summary, statistics or masked information rather than the complete administrative file. |
| Publication is based only on habit, convenience or an inherited template | A valid processing condition and demonstrable necessity are still required. | Do not publish until the legal basis, audience, fields and duration have been approved. |
| No valid processing condition exists | There is no lawful basis for the public disclosure. | Do not publish the personal data. Use a non-personal announcement or direct communication instead. |
Yasal bir yükümlülük ile yerleşik bir idari alışkanlık arasındaki ayrım, kararın merkezinde yer alır.
Bir kanun, yönetmelik veya diğer bağlayıcı hükümler aşağıdakileri açıkça belirttiğinde, yayınlama işleminin zorunlu olma ihtimali daha yüksektir:
Bu durumda dahi kurum, yalnızca kuralın gerektirdiği bilgileri yayınlamalıdır. Bir ödülün, kararın veya sonucun duyurulması zorunluluğu; kimlik numaralarının, ev adreslerinin, telefon numaralarının veya başvuruyla ilgisi olmayan detayların paylaşılmasına izin vermez.
Bazı kurallar, tüm bilgilerin herkese açık bir web sitesinde yer alması gerektiğini belirtmeksizin sonuçların "duyurulmasını" veya "yayınlanmasını" şart koşar.
Bu durumda kurum, yükümlülüğün daha az müdahaleci bir yöntemle yerine getirilip getirilemeyeceğini değerlendirmelidir; örneğin:
Akademik ve öğrenci sınav sonuçlarına ilişkin önceki Kurul kararları, kalıcı olarak aranabilir halka açık listeler yerine kimlik doğrulama ve sınırlı erişim kullanımını desteklemektedir.
Bu tür ifadeler tek başlarına yasal bir dayanak oluşturmaz:
Bu hususlar operasyonel bir amacı açıklamaya yardımcı olabilir ancak geçerli bir işleme şartı ve orantılılık değerlendirmesi ihtiyacının yerini tutmazlar.
Şeffaflık ve veri koruma birbirini dışlayan kavramlar değildir. Şeffaflık normalde bir kararın hukuka uygun alınıp alınmadığı, kamu kaynaklarının nasıl tahsis edildiği ve bir sürecin denetlenip denetlenemeyeceği ile ilgilidir. Bu süreçte toplanan her kişisel verinin kısıtlamasız bir şekilde ifşa edilmesini otomatik olarak gerektirmez.
Kamu ihale mevzuatı; ilanların, ihale bilgilerinin ve sözleşme sonuçlarının EKAP veya Kamu İhale Bülteni gibi resmi kanallar aracılığıyla yayınlanmasını zorunlu kılabilir.
Kurum, başvuru dosyalarının tamamını, imza sirkülerini, kimlik kayıtlarını, iletişim listelerini veya kurum içi değerlendirme formlarını ayrı bir ihtiyaç olmaksızın ek bir halka açık sayfaya yüklemek yerine, öngörülen kanalı ve gerekli bilgileri kullanmalıdır.
Aynı ayrım, kurumsal bir tedarikçiye ilişkin bilgiler ile onun temsilcileri, çalışanları, uzmanları veya hissedarlarına ilişkin kişisel bilgiler arasında da geçerlidir.
Mevzuatın işe alım veya sınav sonuçlarının duyurulmasını zorunlu kıldığı durumlarda, kurum şunları belirlemelidir:
Bir sonucun duyurulmasına ilişkin idari bir gereklilik, isimleri, kimlik numaralarını, puanları, ret gerekçelerini ve yedek liste durumunu içeren aranabilir bir elektronik tablonun yayımlanması için otomatik olarak yetki verildiği şeklinde yorumlanmamalıdır.
Bazı kararların yürürlüğe girmesi, ilgili tarafları bilgilendirmesi veya idare hukuku gerekliliklerini karşılaması için yayımlanması gerekebilir.
Bu gibi durumlarda kurum şunları belgelemelidir:
Kamu erişimi için yalnızca kısaltılmış bir versiyon uygun olsa bile, tam versiyonun kurum kayıtlarında saklanması gerekebilir. Bir belgenin kamuya açık web sitesinden kaldırılması, başka bir yasa saklama zorunluluğu getirdiği sürece, temelindeki resmi kaydın silinmesi anlamına gelmez.
Bir işleme şartına sahip olmak yalnızca ilk soruyu yanıtlar: işlemenin gerçekleşip gerçekleşemeyeceği.
Bir sonraki soru, belirli yayın biçiminin ölçülü olup olmadığıdır.
Kurul, kuruluşların amaca ulaşmak için gereken minimum miktarda kişisel veriyi yayımlamasını şart koşar. Bu, hem dahil edilen alanların hem de seçilen kanalın yarattığı ifşa riskinin incelenmesini gerektirir.
Herhangi bir internet kullanıcısı tarafından görülebilen, kimlik doğrulaması olmaksızın indirilebilen, arama motorları tarafından indekslenebilen ve birkaç yıl boyunca erişilebilir kalan bir belge, kimlik doğrulamalı bir portal içinde geçici olarak görüntülenen bir sonuca kıyasla çok daha fazla ifşa riski yaratır.
Faydalı bir ölçülülük değerlendirmesi şunları dikkate almalıdır:
| Data field | Typical exposure risk | Potential safer treatment |
|---|---|---|
| Turkish identity number | High. Enables direct identification and may increase fraud or account-verification risks. | Remove unless expressly required. Where an identifier is necessary, use context-appropriate masking or authenticated access. |
| Home address, mobile number or personal email | High. Can enable unwanted contact, profiling, harassment or fraud. | Exclude from public documents and communicate through controlled internal or individual channels. |
| Full name | Allows search-engine indexing and connects the person to the published result. | Consider authenticated access, masking or a participant-specific identifier after assessing reidentification risk. |
| Candidate, application or student number | May remain identifiable to the institution, the candidate or other participants. | Treat as pseudonymous personal data, not automatically anonymous data. Limit the audience and publication period. |
| Scores, rankings and pass/fail status | Reveals academic or professional performance and may affect reputation. | Prefer individualized access. Use participant-only visibility where broader scrutiny is genuinely required. |
| Rejection, exclusion or missing-document reason | May expose sensitive personal circumstances or create unfair inferences. | Publish only the outcome where necessary and provide the detailed reason directly to the applicant. |
| Health, criminal-conviction or other special-category information | Very high. Subject to stricter processing conditions and increased discrimination risk. | Do not include in a public document unless a specific legal analysis establishes necessity and compliance with Article 6. |
| Property block or parcel information | Can identify or profile an individual when combined with allocation, address or applicant data. | Publish only the property information required for the process and separate it from unnecessary personal identifiers. |
Yeni ilke kararı, kamu sektörü belgelerinde bulunan alanların kapsamlı bir listesini sunmaktadır. Bunlardan birkaçı özel dikkat gerektirir.
Genel bir kamu duyurusu için tam bir T.C. kimlik numarasının yayınlanması nadiren gerekli olacaktır. Kısmi kimlik numaraları bile bağlamsal bir değerlendirme gerektirir, çünkü belgedeki diğer bilgiler kişinin kimliğinin belirlenmesine yol açabilir.
Ev adresleri, cep telefonu numaraları ve kişisel e-posta adresleri, genellikle bir sınav, işe alım veya ihale sonucunun şeffaflığına çok az katkı sağlar. Bunların ifşası dolandırıcılık, taciz veya istenmeyen iletişim riskleri yaratabilir.
Bir başvuru sahibinin eksik belge, uygunsuzluk, eski hükümlülük durumu veya başka bir kişisel durum nedeniyle reddedildiğine dair bir ifade, bir sonucu duyurmak için gerekenden çok daha fazlasını açığa çıkarabilir.
Ayrıntılı gerekçeler normal şartlarda doğrudan başvuru sahibine iletilebilir.
Puanlar, doğru ve yanlış cevap sayıları, değerlendirme sıralamaları ve geçme/kalma bilgileri kişisel veridir. Bunların yayınlanması, özel nitelikli veri olmasalar dahi kişinin mesleki veya akademik itibarını etkileyebilir.
Bir ismin aday numarasıyla değiştirilmesi otomatik olarak anonimleştirme sayılmaz. Bu numara, kurum, başvuru sahibi, diğer adaylar veya başka yerlerde yayımlanan bilgiler aracılığıyla bir kişiyle ilişkilendirilebildiği sürece kişisel veri olma özelliğini korur.
Küçük ölçekli bir işe alım sürecinde, yoğun şekilde maskelenmiş bir tanımlayıcı bile meslektaşların veya rakiplerin kişinin kimliğini tahmin etmesi için yeterli olabilir.
Bu teknikler birbirinin yerine kullanılmamalıdır.
Maskeleme, bir alanın bir kısmını gizler; örneğin harfleri veya sayıları yıldız işaretleriyle değiştirir.
Kurul, 2019 tarihli akademik işe alım kararında şu örneklere yer vermiştir: A**** B**** ve 11*******11. Bu örnekler olası bir maskeleme yaklaşımını göstermektedir ancak evrensel ve güvenli bir standart olarak kabul edilmemelidir. Geriye kalan bilgiler, aday grubunun büyüklüğü ve diğer veri setlerinin erişilebilirliği mutlaka dikkate alınmalıdır.
Takma adlaştırma, doğrudan tanımlayıcıyı bir kod, aday numarası veya başka bir referansla değiştirir.
Kodun bir kişiyle tekrar ilişkilendirilebildiği durumlarda veri, kişisel veri olma özelliğini korur. Erişim kontrolleri, anahtar ayrımı ve sınırlı yayınlama gerekliliği devam eder.
KVKK silme yönetmeliği uyarınca anonimleştirme, kişisel verilerin, diğer ilgili verilerle birleştirildiğinde dahi kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek hale getirilmesini gerektirir.
Bir satırdan ismin çıkarılması, kişi benzersiz bir iş unvanı, mülk parseli, puan, departman veya nitelik kombinasyonları aracılığıyla hala tanınabiliyorsa anonimleştirme sağlamaz.
Çoğu bireyselleştirilmiş sınav veya işe alım sonucu için, detaylı bir listeyi anonimleştirmeye çalışmak yerine kimlik doğrulamalı erişim sağlamak daha güvenilirdir.
Kurul, her bildirim için geçerli olacak tek bir yayın süresi belirlememiştir.
Her kurum, süreyi aşağıdakilere göre belirlemelidir:
Bir yayın iş akışı, içerik yayına girmeden önce bir son kullanma tarihi gerektirmelidir.
Onaylanan sürenin sonunda kurum şunları yapmalıdır:
Silme yönetmeliği, silme ve anonimleştirme işlemlerinin kayıt altına alınmasını zorunlu kılar. Ayrıca verilerin ilgili kullanıcılar için erişilemez hale getirilmesi, kimsenin geri getiremeyeceği şekilde imha edilmesi ve bir kişiyle ilişkilendirilemeyecek şekilde anonimleştirilmesi arasında ayrım yapar.
Bir belge, arşivleme, istihdam, tedarik veya idari kayıt tutma yükümlülüğü kapsamında kurum içinde saklanması gerekse bile, artık herkese açık kalması gerekmeyebilir.
Kurum bu nedenle şu durumlar için ayrı süreler tanımlamalıdır:
“On yıl boyunca saklayın” ifadesi, “on yıl boyunca web sitesinde yayınlayın” anlamına gelmez.
2026 ilke kararı, arama motoru önbelleği veya dizinden çıkarma prosedürünü özel olarak zorunlu kılmaz. Yine de kaynak belgenin kaldırılması, yalnızca ilk düzeltme adımı olarak değerlendirilmelidir.
Savunulabilir bir yanıt normalde şunları içermelidir:
404 veya 410 sayfanın kalıcı olarak kaldırıldığı durumlardanoindex bir sayfanın erişilebilir kalması ancak arama sonuçlarında görünmemesi gereken durumlarGoogle'ın kaldırma araçları bir sayfayı arama sonuçlarından geçici olarak çıkarabilir, ancak kalıcı bir çözüm için kaynak içeriğin de kaldırılması veya engellenmesi gerekir.
Kurul, arama motoru indekslemenin başlı başına bir kişisel veri işleme faaliyeti olduğunu ve bireylerin 2020/481 sayılı Karar'da belirlenen kriterler çerçevesinde indeksin kaldırılmasını talep edebileceklerini ayrıca kabul etmiştir. Bu, her eski sonucun otomatik olarak indeks dışı bırakılması gerektiği anlamına gelmez; mahremiyet ile kamu yararı arasında duruma özel bir denge kurulması gerekliliği devam etmektedir.
Bir kamu kurumu, indirilen veya bağımsız olarak yeniden yayınlanan her kopyanın internetten silineceğini garanti edemez. Ancak kurum, kendi kontrolü altındaki sistemler ve alıcılar nezdinde orantılı adımlar atmalı ve tespit edilebilen üçüncü taraf kopyalarına ilişkin makul takip işlemlerini belgelemelidir.
İlke kararı özellikle sınavları, kuraları ve benzer süreçleri ele almaktadır.
Koşulların katılımcıların daha geniş bir sonuç listesini incelemesini gerektirdiği durumlarda—örneğin bir sıralama veya yerleştirme sürecini doğrulamak için—kurum, erişimi yalnızca ilgili katılımcılara sağlayabilir ve uygun veri minimizasyonu önlemleri uygulayabilir.
Daha geniş bir katılımcı erişimine gerek duyulmayan durumlarda, her birey genel kural olarak yalnızca kendi sonucunu görebilmelidir.
Kurul, uygun seçenekler olarak e-Devlet hizmetlerini ve iki faktörlü kimlik doğrulama yöntemlerini işaret etmektedir.
Güçlü bir sonuç yayınlama modeli şu yöntemleri kullanabilir:
Açık elektronik tablolar, indirilebilir PDF'ler ve herkese açık sosyal medya görselleri, sadece operasyonel olarak kolay oldukları için varsayılan yöntem olmamalıdır.
Kurul, çevrimiçi yayın faaliyetleri için 10. madde kapsamındaki aydınlatma yükümlülüğünün yerine getirilmesini açıkça şart koşmaktadır. Ayrıca, aydınlatmanın yapıldığını ispat yükümlülüğünün veri sorumlusuna ait olduğunu vurgulamaktadır.
Aydınlatma metni, geçerli olduğu durumlarda şunları doğru bir şekilde açıklamalıdır:
Operasyonel bir iyileştirme olarak kuruluşlar, planlanan yayın süresini ve erişimin herkese açık mı, sadece katılımcılara özel mi yoksa bireyselleştirilmiş mi olacağını da açıklamalıdır.
Web sitesinin alt bilgisinde yer alan genel bir gizlilik bildirimi, ayrı bir işe alım, sınav veya çekiliş yayınını yeterince kapsamayabilir. İlgili bildirim, sürecin uygun bir aşamasında; örneğin başvuru sırasında veya faaliyet için veriler toplanmadan önce sunulmalıdır.
Aydınlatma ve açık rıza ayrı kavramlar olarak kalmalıdır. Aydınlatma yapmak bir işleme şartı oluşturmaz; açık rıza talep etmek ise aydınlatma yükümlülüğünün yerini tutmaz.
Faydalı kanıtlar şunları içerebilir:
Bu karar sadece web sitesi yöneticileriyle sınırlı değildir. İçerik oluşturan, onaylayan ve yayınlayan birimlerin tamamını kapsayan bir yönetişim gerektirir.
Pratik bir yayın süreci aşağıdaki kontrolleri içermelidir.
Her tekrarlayan yayın sürecini, aşağıdakileri içerecek şekilde kaydedin:
Yayınlamadan önce içerik sahibi şu soruları yanıtlamalıdır:
İşe alım listeleri, sınav sonuçları, ihale duyuruları ve kurul ilanları, gereksiz alanları varsayılan olarak hariç tutan onaylı şablonları kullanmalıdır.
Bu, çalışanlardan her yeni belgeyi manuel olarak düzenlemelerini istemekten daha güvenlidir.
Amaca bağlı olarak kontroller şunları içerebilir:
Karar, özellikle web sitelerini ve sosyal medya platformlarını yöneten çalışanlar için eğitim ve farkındalık çalışmalarını açıkça zorunlu kılmaktadır.
Eğitim; iletişim ekiplerini, insan kaynaklarını, satın almayı, öğrenci işlerini, bilgi teknolojilerini, hukuk işlerini, kayıt yönetimini ve dış ajansları da kapsamalıdır.
Bilginin neden yayımlandığını, hangi bilgilerin kullanıldığını ve yayın sürecinin nasıl işlediğini belirlediği durumlarda, kamu kurumu genellikle veri sorumlusu olmaya devam eder.
Bir barındırma sağlayıcısı, web sitesi geliştiricisi veya iletişim ajansı, bilgileri yalnızca kamu kurumunun belgelenmiş talimatları doğrultusunda işlediği durumlarda veri işleyen sıfatıyla hareket edebilir.
Yayın sürecini dış kaynakla yürütmek, sorumluluğu dış kaynakla yürütmek anlamına gelmez.
12. Madde uyarınca, kişisel verilerin bir veri sorumlusu adına işlendiği durumlarda, veri sorumlusu ve veri işleyen, gerekli veri güvenliği önlemlerini alma konusunda ortak sorumluluğa sahiptir. Veri sorumlusu ayrıca uygun denetimleri yapmalı veya yaptırmalıdır.
Bu nedenle hizmet sağlayıcılarla yapılan sözleşmeler şunları içermelidir:
Bir yüklenici, bilgileri kendi amaçları doğrultusunda yeniden kullanmaya, analiz etmeye, yeniden yayımlamaya veya saklamaya bağımsız olarak karar verirse, bu faaliyet için ayrı bir veri sorumlusu haline gelebilir. Sınıflandırma, yalnızca sözleşmedeki tanımlamaya değil, fiili kararlara ve davranışlara bağlıdır.
İlke kararı, belirlenen önlemlerin alınmamasının, KVKK'nın 18. maddesi uyarınca vaka bazlı bir Kurul incelemesine ve yasal sürece yol açabileceğini belirtmektedir.
Kamu kurumları ve kamu kurumu niteliğindeki meslek kuruluşları için 18. madde, Kurulun ilgili kurumu bilgilendirerek sorumlu yetkililer ve diğer kamu personeli hakkında disiplin soruşturması başlatılmasını sağlamasını öngörür. Sonucun Kurula bildirilmesi zorunludur.
Kurul ayrıca veri sorumlusuna bir işleme faaliyetini düzeltmesi, sonuç yayımlama sistemini yeniden tasarlaması, içeriği kaldırması veya diğer uygun önlemleri alması talimatını verebilir. Devlet üniversitelerini içeren önceki vakalar, kamu sektörü statüsünün Kurul talimatlarına uyma yükümlülüğünü ortadan kaldırmadığını göstermektedir.
Kapsam dahilindeki kuruluşlar bir sonraki işe alım veya sınav dönemini beklememelidir. Karar, mevcut çevrimiçi içeriğin acilen gözden geçirilmesi çağrısında bulunmaktadır.
| Step | Action | Evidence to retain |
|---|---|---|
| 1 | Inventory public content | Website crawl, document list, social-media inventory, subdomain list and named content owners. |
| 2 | Identify personal-data fields | Review record showing direct identifiers, pseudonymous identifiers, sensitive fields and affected individuals. |
| 3 | Map the processing condition | Exact legal provision or documented Article 5 or Article 6 assessment for each publication process. |
| 4 | Test necessity and proportionality | Explanation of the audience, purpose, required fields and rejected less-intrusive alternatives. |
| 5 | Remove or correct unjustified publications | Before-and-after copies, approval record, removal date and responsible person. |
| 6 | Check duplicates and cached copies | Attachment-path checks, cache-purge logs, search-removal requests and third-party notifications. |
| 7 | Set publication periods | Approved duration, legal source, expiry date and automated or manual removal task. |
| 8 | Redesign examination and recruitment results | Authentication design, access rules, masking assessment and participant-access rationale. |
| 9 | Review privacy notices | Version-controlled notice, delivery mechanism, timestamp and proof of notice. |
| 10 | Review contractors and system access | Processor agreement, access list, security requirements, deletion duties and audit results. |
| 11 | Train publishing teams | Attendance records, training material, assessment results and role-specific instructions. |
| 12 | Introduce recurring audits | Audit schedule, sample checks, findings, corrective actions and closure records. |
İlk inceleme, web sitesinin mevcut navigasyonundan daha fazlasını kapsamalıdır. Ekipler şuraları taramalıdır:
Tam kimlik numaraları, iletişim bilgileri, özel nitelikli veriler, ret gerekçeleri, detaylı sınav bilgileri ve operasyonel amacını yitirdiği halde çevrim içi kalmaya devam eden listeleri içeren dosyalara öncelik verilmelidir.
Yeni bir kamu belgesini onaylamadan önce, sorumlu ekip aşağıdakilerin tümüne yanıt verebilmelidir:
Bu soruları yanıtlayamayan bir yayın, değişikliğe gidilmeden devam ettirilmemelidir.
Türkiye’nin 2026 tarihli ilke kararı, kamu kurumlarının kişisel verileri yayınlamasına tam bir yasak getirmemektedir. Karar, kamu kurumlarının web sitesinde yayın yapmayı idari bir sürecin otomatik ve nihai bir adımı olarak görmekten vazgeçmelerini şart koşmaktadır.
Uygulamadaki kural oldukça basittir:
Yasal gerekliliği belirleyin, hedef kitleyi tanımlayın, minimum veriyi yayınlayın, erişim süresini kısıtlayın ve amaç sona erdiğinde bilgileri kaldırın.
Sınav, kura ve işe alım sonuçları için izlenecek yol özellikle nettir. Herkese açık indirilebilir listelerin yerini, mümkün olan durumlarda, kimlik doğrulamalı ve kişiselleştirilmiş erişim yöntemleri almalıdır.
Kamu kurumları artık mevcut yayınlarının envanterini çıkarmalı, gerekçesiz içerikleri kaldırmalı, tekrarlayan iş akışlarını yeniden tasarlamalı ve iletişim, insan kaynakları, satın alma, bilgi teknolojileri, kayıt yönetimi ve dış hizmet sağlayıcıları arasındaki sorumlulukları netleştirmelidir.
Kuruluşlar, sektöre özgü bir yayın yükümlülüğü, şeffaflık gerekliliği veya idari prosedürün doğru yorumlanmasını etkilediği durumlarda yetkin bir hukuki danışmanlık almalıdır.
Kooch Siber Güvenlik ve Uyumluluk, kuruluşlara ve kamu sektörü hizmet sağlayıcılarına şu konularda destek verebilir:
Amaç, sorunlar ortaya çıktıktan sonra belgeleri sadece sansürlemek değildir. Amaç, gereksiz kişisel verilerin en başta kamuya açık sistemlere ulaşmasını engelleyen tekrarlanabilir bir süreç oluşturmaktır.
