Kişisel Verileri Koruma Kurulu, 28 Temmuz 2026 tarih ve 33323 sayılı Resmî Gazetede yayımlanan İlke Kararı ile kamu tüzel kişiliğini haiz veri sorumlularının internet ortamında gerçekleştirdiği kişisel veri paylaşımlarına ilişkin önemli tespit ve değerlendirmelerde bulundu. Karar, yalnızca mevcut uygulamalara yönelik bir uyarı niteliği taşımıyor. Aynı zamanda kamu kurumlarının internet sitelerinde yıllardır süregelen birçok paylaşım alışkanlığının yeniden gözden geçirilmesi gerektiğini ortaya koyuyor. İlk bakışta yalnızca kamu kurumlarını ilgilendiriyor gibi görünen bu karar, aslında kişisel verilerin internet ortamında paylaşılmasına ilişkin temel yaklaşımı ortaya koyması bakımından tüm veri sorumluları için yol gösterici niteliktedir.
İnternet ortamında yayımlamak da bir kişisel veri işleme faaliyetidir
Kararın en önemli vurgularından biri, kişisel verilerin internet ortamında yayımlanmasının da 6698 sayılı Kanun kapsamında bir kişisel veri işleme faaliyeti olduğunun açık biçimde hatırlatılmasıdır.
Bir belgenin internet sitesine yüklenmesi, yalnızca bilgi paylaşımı olarak değerlendirilemez. Bu işlem aynı zamanda KVKK'nın hukuka uygunluk, veri minimizasyonu, amaçla bağlantılı olma ve ölçülülük ilkelerine uygun olmak zorundadır. Dolayısıyla "bu belge zaten kamuya açık" veya "yıllardır bu şekilde yayımlıyoruz" yaklaşımı, tek başına hukuka uygunluk için yeterli değildir.
Kurul hangi uygulamalara dikkat çekiyor?
Kararda yapılan tespitler incelendiğinde, internet ortamında yayımlanan belgelerde sıklıkla
• Ad Ve Soyad,
• T.C. Kimlik Numarası,
• Adres Bilgileri,
• Telefon Numaraları,
• İmza Örnekleri,
• Sicil Bilgileri,
• Öğrenci, Personel Veya Adaylara İlişkin Sınav Sonuçları,
• Askerlik, Sağlık ve benzeri kişisel bilgiler gibi verilerin gereksiz şekilde yer alabildiği ifade edilmektedir.
Kurul, bu tür uygulamaların kişisel verilerin korunmasına ilişkin temel ilkelere uygun şekilde yeniden değerlendirilmesi gerektiğini vurgulamaktadır.
Gerçek hayattan birkaç örnek
Kararın uygulamadaki karşılığını anlamak için günlük hayatta sık karşılaşılan bazı örneklere bakmak yeterlidir.
Belediye meclis kararları
Birçok belediye, meclis kararlarını veya encümen kararlarını PDF olarak internet sitesinde yayımlamaktadır. Ancak bu belgelerde bazen ilgili kişilerin T.C. kimlik numarası, açık adresi, telefon numarası, imzası veya ruhsat bilgileri de aynen yer alabilmektedir. Oysa kararın yayımlanması hukuken gerekli olsa bile bu kişisel verilerin tamamının internet ortamında paylaşılması aynı şekilde zorunlu olmayabilir. İlke kararı bu ayrımı ne olarak hatırlatmaktadır.
Üniversitelerin sınav sonuçları
Geçmişte birçok üniversite ve kamu kurumu sınav sonuçlarını Ad Soyad – T.C. Kimlik Numarası – Puan – Sonuç şeklinde yayımlıyordu. Bugün ise büyük ölçüde aday numarası veya öğrenci numarası kullanılmasının tercih edildiği görülmektedir. Bu değişim yalnızca teknolojik bir dönüşüm değil, aynı zamanda veri minimizasyonu ilkesinin doğal bir sonucudur.
İhale kararları
İhale kararlarının kamuoyuna açıklanması çoğu zaman yasal bir yükümlülüktür. Ancak karar metninde gerçek kişi yüklenicilere ait T.C. kimlik numarası, imza, iletişim bilgileri veya banka bilgilerinin de yayımlanması her zaman gerekli değildir. Yayımlanması gereken bilgi ile kişisel veri arasındaki sınırın doğru çizilmesi gerekir.
İmar askı ilanları
İmar uygulamalarına ilişkin askı ilanlarında malik isimleri, ada-parsel bilgileri ve bazen adres bilgilerinin birlikte yayımlandığı görülmektedir. Peki ilanın amacının gerçekleşmesi için bu kişisel verilerin tamamının internet ortamında yayımlanması gerçekten gerekli midir? Kurulun yaklaşımı, tam da bu gereklilik değerlendirmesinin yapılmasını istemektedir.
Personel ve sınav duyuruları
Bazı kamu kurumlarının internet sitelerinde görevlendirme listeleri, başarı sıralamaları, personel duyuruları, sınav sonuçları gibi belgelerin isim bazlı ve ayrıntılı kişisel verilerle yayımlanmaya devam ettiği görülmektedir. Karar sonrasında bu belgelerin de veri minimizasyonu ilkesi açısından yeniden gözden geçirilmesi önem taşımaktadır.
Kurulun yaklaşımı yeni değil
Aslında Kurul, internet ortamındaki kişisel verilere ilişkin bu yaklaşımını önceki kararlarında da ortaya koymuştu. Örneğin, bazı belediyelerin emlak vergisi ve borç sorgulama sistemlerinde yalnızca T.C. kimlik numarasıyla kişisel verilere erişim sağlanabilmesi üzerine yapılan incelemelerde ek güvenlik tedbirlerinin alınması gerektiği değerlendirilmişti.
Yeni İlke Kararı ise bu yaklaşımı bir adım daha ileri taşıyarak, yalnızca erişim güvenliğini değil, internet ortamında yayımlanan belgelerin içeriğini de KVKK ilkeleri çerçevesinde değerlendirmektedir.
Eski belgeler de unutulmamalı
Kararın önemli yönlerinden biri de yalnızca bundan sonra yayımlanacak belgeleri değil yıllardır internet sitelerinde erişime açık bulunan içerikleri de ilgilendirmesidir. Belediye meclis kararları, encümen kararları, ihale belgeleri, sınav sonuçları, personel duyuruları ve benzeri içeriklerin tamamı yeniden gözden geçirilmelidir. Çünkü internet ortamında yıllarca erişilebilir durumda bırakılan her belge, kişisel verilerin işlenmesine ilişkin riskleri de sürekli hâle getirebilir.
Kamu kurumları şimdi ne yapmalı?
Bu İlke Kararı sonrasında kamu kurumlarının en azından şu adımları planlamasında fayda bulunmaktadır:
• İnternet sitelerinde yer alan tüm belge ve duyuruların KVKK açısından envanterinin çıkarılması.
• Yayımlanması zorunlu olmayan kişisel verilerin kaldırılması.
• Gerekli durumlarda anonimleştirme veya maskeleme yöntemlerinin uygulanması.
• İnternet sitesinde yayımlanacak belgeler için ön kontrol mekanizması oluşturulması.
• İlgili personelin veri minimizasyonu konusunda eğitilmesi.
• Belirli aralıklarla internet sitesi KVKK uygunluk denetimi yapılması.
Şeffaflık ile kişisel verilerin korunması arasındaki denge
Kamu kurumlarının faaliyetlerinin şeffaf olması, demokratik hukuk devletinin vazgeçilmez gereklerinden biridir. Vatandaşın idarenin işlemlerini takip edebilmesi, denetleyebilmesi ve bilgiye erişebilmesi kamu yönetiminde hesap verebilirliğin temel unsurudur.
Ancak şeffaflık ilkesi, kişisel verilerin sınırsız biçimde internet ortamında paylaşılmasını haklı kılan bir gerekçe olarak değerlendirilemez.
Nitekim Anayasa'nın 20'nci maddesi, herkesin kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahip olduğunu açıkça güvence altına almıştır. Benzer şekilde 6698 sayılı Kanun'un 4'üncü maddesi, kişisel verilerin hukuka ve dürüstlük kurallarına uygun, belirli, açık ve meşru amaçlarla, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olarak işlenmesini öngörmektedir.
İşte Kurulun bu İlke Kararı da tam olarak bu dengeyi hatırlatmaktadır. Kamu kurumlarının görevi, kamuoyunu bilgilendirirken kişisel verileri görünür hâle getirmek değil, kamunun bilgi edinme hakkını kişilerin temel hak ve özgürlüklerine zarar vermeyecek şekilde hayata geçirmektir.
Sonuç
Kamu kurumlarının internet siteleri, vatandaşların bilgi edinme hakkını sağlayan önemli platformlardır. Ancak şeffaflık ilkesi ile kişisel verilerin korunması hakkı arasında doğru dengenin kurulması da aynı ölçüde önem taşımaktadır.
28 Temmuz 2026 tarihli İlke Kararı, bu dengeyi nasıl kurmak gerektiğine ilişkin önemli bir yol haritası sunmaktadır.
"Bu belgenin içinde yer alan hangi kişisel verilerin yayımlanması gerçekten zorunludur?" sorusu tüm web sitesi içerik oluşturma faaliyetlerinden önce sorulması gereken temel sorulardandır.
Kanaatimce bu kararın en önemli özelliği şudur; Kamu kurumlarının internet sitelerinde yer alan binlerce belgenin yalnızca hukuki dayanak açısından değil veri minimizasyonu ve ölçülülük ilkeleri bakımından da yeniden değerlendirilmesi gerektiğini güçlü biçimde hatırlatmaktadır. Özel sektöre dair uygulamalara dair ilke ve tavsiye kararlarla başlayan veri koruma kültürü kamu kurumlarının da artık içselleştirmesi gereken bir disiplin olmalıdır.
Abdurrahim AY
Hukukçu / Veri Koruma Uzmanı
Kurulun ilke kararının tam metnine aşağıdaki bağlantıdan ulaşabilirsiniz;
https://www.resmigazete.gov.tr/eskiler/2026/07/20260728-6.pdf