Kişisel Verileri Koruma Kurulu’nun 01.07.2026 tarihli ve 2026/1301 sayılı İlke Kararı, 28.07.2026 tarihli Resmî Gazete’de yayımlanarak yürürlüğe girmiştir. Karar, kamu kurum ve kuruluşları ile kamu tüzel kişiliğini haiz veri sorumlularının internet ortamında yayımladıkları ilan, duyuru, liste ve belgeler bakımından kişisel verilerin korunmasına ilişkin önemli esaslar ortaya koymaktadır. Kurul, internet sitelerinde veya benzeri dijital ortamlarda kişisel veri içeren belge ve listelerin yayımlanmasını, ilgili verilerin üçüncü kişilerin erişimine açılması nedeniyle bir kişisel veri işleme faaliyeti olarak değerlendirmektedir. Bu nedenle kamuya açık şekilde yapılan her paylaşımın 6698 sayılı Kişisel Verilerin Korunması Kanunu’nda yer alan temel ilkelere uygun olması gerekmektedir.
Kararın Temel Yaklaşımı
İlke Kararı’nın temelinde, kamu kurumlarının internet sitelerinde kişisel verileri zorunlu olmadıkça herkesin erişimine açık şekilde yayımlamaması gerektiği anlayışı bulunmaktadır.
Özellikle sınav sonuçları, personel alım ilanları, atama ve yerleştirme sonuçları, başvuru değerlendirme listeleri, asil/yedek aday listeleri, eksik evrak veya başvuru durumu listeleri, eğitim, sertifika veya kurs sonuçları ile benzeri ilan ve duyurular yayımlanırken, kişisel verilerin kamuya açık şekilde görünür hale getirilmesi yerine, mümkün olduğu ölçüde daha sınırlı ve güvenli yöntemlerin tercih edilmesi gerekmektedir.
Bu kapsamda kişilerin ad-soyad, T.C. kimlik numarası, adres, telefon, doğum yeri, görev yeri, unvan, sicil numarası, başvuru yapılan pozisyon, aday/öğrenci numarası, sınav puanı, başarı durumu, kabul/ret bilgisi, asil/yedek bilgisi veya özel nitelikli kişisel veri niteliği taşıyabilecek bilgilerinin internet ortamında yayımlanması önemli KVKK riskleri doğurabilecektir.
Veri Minimizasyonu ve Ölçülülük İlkesi
Karar, özellikle veri minimizasyonu ve ölçülülük ilkelerini ön plana çıkarmaktadır. Kamu kurumları, bir ilan veya duyuruyu yayımlarken bu bilginin yayımlanmasının gerçekten zorunlu olup olmadığını, aynı amacın daha az kişisel veriyle sağlanıp sağlanamayacağını ve liste yayımlamak yerine kişiye özel sorgulama yöntemi kullanılıp kullanılamayacağını değerlendirmelidir.
T.C. kimlik numarası, telefon, adres gibi doğrudan tanımlayıcı verilere gerçekten ihtiyaç bulunup bulunmadığı ayrıca incelenmeli; mümkün olan hallerde maskeleme, anonimleştirme veya erişim sınırlandırma yöntemleri tercih edilmelidir.
Bu değerlendirme yapılmadan kişisel veri içeren listelerin internet ortamında yayımlanması, KVKK’nın hukuka ve dürüstlük kurallarına uygun olma, belirli, açık ve meşru amaçlarla işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ilkeleri bakımından aykırılık riski oluşturacaktır.
Kamuya Açık Liste Yerine Güvenli Sorgulama Yöntemleri
İlke Kararı’nda, kişisel veri içeren sonuç ve duyuruların herkesin erişimine açık listeler halinde yayımlanması yerine, ilgili kişinin yalnızca kendi sonucuna erişebileceği yöntemlerin tercih edilmesi gerektiği vurgulanmaktadır.
Bu kapsamda e-Devlet doğrulaması, çift faktörlü kimlik doğrulama, kullanıcı hesabı üzerinden sonuç görüntüleme, başvuru numarası ve ek doğrulama bilgisiyle sınırlı sorgulama, güvenli portal veya kapalı sistem üzerinden bilgilendirme gibi yöntemler, kamuya açık liste paylaşımına göre daha uygun seçenekler olarak değerlendirilebilir.
Yayın Süresi ve Geçmiş İçeriklerin Kontrolü
Kişisel veri içeren bir içeriğin internet ortamında yayımlanması zorunlu olsa dahi, bu içeriğin süresiz şekilde erişilebilir kalması ayrıca değerlendirilmelidir.
Bu nedenle kurumların kişisel veri içeren duyuru ve ilanlar için yayında kalma süresi belirlemesi, süresi dolan içerikleri kaldırması, geçmiş tarihli PDF, duyuru, ilan ve liste arşivlerini kontrol etmesi, gerekli olmayan kişisel verileri silmesi, maskelemesi veya anonim hale getirmesi ve içerik kaldırma/imha süreçlerini kayıt altına alması gerekmektedir.
Özellikle geçmiş yıllara ait sınav, başvuru, personel alımı, kurs veya sertifika sonuçlarının internet sitesinde halen açık şekilde bulunması, İlke Kararı kapsamında gözden geçirilmesi gereken önemli alanlardan biridir.
Sosyal Medya ve Dijital Duyuru Alanları da Dikkate Alınmalı
Karar her ne kadar internet sitelerinde yayımlanan içeriklere odaklansa da, ortaya koyduğu ilkeler sosyal medya hesapları ve diğer dijital duyuru kanalları bakımından da yol gösterici niteliktedir.
Bu nedenle kurumların sosyal medya duyurularında kişisel verileri gereğinden fazla görünür hale getirmemesi, etkinlik, eğitim, tören veya saha faaliyeti paylaşımlarında fotoğraf/video kullanımı bakımından aydınlatma ve açık rıza süreçlerini gözetmesi, yorum, mesaj veya kullanıcı etkileşimlerinde kişisel verilerin ifşa edilmesini önleyici moderasyon uygulamaları geliştirmesi ve dijital içerik paylaşımı öncesinde KVKK kontrolü yapması önem taşımaktadır.
Kurumlar İçin Önerilen Aksiyonlar
İlke Kararı sonrasında kamu kurumları ve kamu hizmetiyle bağlantılı faaliyet yürüten kuruluşlar bakımından internet sitesi içeriklerinin gözden geçirilmesi, geçmiş ve güncel duyuru, ilan, PDF, liste ve sonuç belgelerinin KVKK açısından kontrol edilmesi önerilmektedir.
Kişisel veri içeren listelerin zorunlu olmadıkça kaldırılması veya erişiminin sınırlandırılması; zorunlu paylaşımlarda ise maskeleme veya sınırlı erişim yöntemlerinin kullanılması uygun olacaktır.
Başvuru, sınav, değerlendirme ve yerleştirme sonuçlarında herkese açık liste yerine güvenli sorgulama ekranlarının kullanılması; kişisel veri içeren içeriklerin ne kadar süre yayında kalacağının önceden belirlenmesi ve süre sonunda kaldırma/imha sürecinin işletilmesi gerekmektedir.
Bunun yanında sosyal medya paylaşımlarında fotoğraf, video, katılımcı bilgisi veya aday/çalışan bilgisi içeren içerikler ayrıca değerlendirilmelidir. İnternet sitesine veya sosyal medya hesaplarına içerik yükleyen birimler için kısa bir KVKK kontrol listesi oluşturulması ve bu süreçlerde görev alan çalışanlara kişisel veri paylaşımı konusunda farkındalık eğitimi verilmesi önerilmektedir.
Sonuç
Kişisel Verileri Koruma Kurulu’nun bu İlke Kararı, kamu kurumlarının internet ortamında kişisel veri paylaşımına ilişkin uygulamalarını yeniden değerlendirmesini gerektiren önemli bir standart ortaya koymaktadır.
Kararın temel mesajı açıktır: Kişisel veriler, zorunlu olmadıkça herkesin erişimine açık şekilde internet ortamında yayımlanmamalıdır.
Kurumlar, duyuru ve ilan süreçlerinde kamuoyunu bilgilendirme ihtiyacı ile kişisel verilerin korunması yükümlülüğü arasında makul bir denge kurmalı; mümkün olan durumlarda kişiye özel, güvenli ve sınırlı erişim sağlayan yöntemleri tercih etmelidir. Bu yaklaşım, hem KVKK’ya uyumun sağlanması hem de ilgili kişilerin mahremiyetinin korunması bakımından önem taşımaktadır.
Bu içerik genel bilgilendirme amacıyla hazırlanmıştır; hukuki görüş veya danışmanlık yerine geçmez.