28 Temmuz 2026 tarihli ve 33323 sayılı Resmî Gazete’de yayımlanan, 2026/1301 Karar sayılı Kişisel Verileri Koruma Kurulu (Kurul) İlke Kararı ile kamu kurum ve kuruluşları (belediyeler, üniversiteler, il özel idareleri vb.) tarafından internet sitelerinde ve sosyal medyada yapılan kişisel veri paylaşımlarına çok sıkı kurallar getirilmiştir. Kurul, kamu kurumlarının web sitelerinde sınav sonuçları, kura listeleri veya atama duyuruları adı altında vatandaşların T.C. kimlik numarası, KPSS puanı, ad-soyad, telefon ve adres gibi kişisel verilerinin uluorta yayımlanmasının ciddi bir veri güvenliği riski oluşturduğunu belirterek; bu uygulamanın derhal sonlandırılması, verilerin maskelenmesi ve sonuçların “e-devlet” veya “şifreli sorgulama” ekranlarına taşınması gerektiğine oybirliğiyle karar vermiştir.
Kararın Detayları ve KVKK’nın Yeni Kriterleri:
- İnternette Belge Yayımlamak Açıkça “Veri İşlemektir”: Kurul kararında, kişisel veri içeren (ad, soyad, T.C. kimlik numarası, telefon, adres, KPSS puanı, askerlik durumu, ada/parsel bilgisi, sınav başarı/başarısızlık durumu vb.) belgelerin kurumların internet sitelerinde duyuru amacıyla yayımlanmasının, verilerin “açıklanması” ve üçüncü şahıslarca elde edilebilir hâle getirilmesi anlamına geldiği ve bunun 6698 sayılı Kanun kapsamında bir “kişisel veri işleme faaliyeti” olduğu net bir şekilde vurgulanmıştır.
- Geçerli Bir Şart Yoksa Paylaşım Yapılamaz: Kamu kurumlarının bu verileri internette paylaşabilmesi için Kanun’un 5. ve 6. maddelerinde yer alan geçerli bir veri işleme şartına (örneğin kanunlarda açıkça öngörülme veya hukuki yükümlülük) dayanması zorunludur. Eğer böyle bir geçerli şart yoksa, verilerin internet ortamında kesinlikle paylaşılmaması gerekmektedir.
- “Maskeleme” ve Ölçülülük Zorunluluğu: Paylaşım için hukuki bir dayanak bulunsa dahi, kurumlar “amaçla bağlantılı, sınırlı ve ölçülü olma” ilkesine uymak zorundadır. Amacın gerçekleşmesi için minimum düzeyde veri paylaşılmalı, gereksiz veriler internete konulmamalı ve mutlaka “maskeleme” (örneğin; T.C. Kimlik: 123890, Ad: Ah YIL*) gibi önlemler alınmalıdır.
- Sınav ve Kura Sonuçlarında “Şifreli Sorgulama” Dönemi: Kararın en çarpıcı kısmı burasıdır. Kurul, sınav ve kura sonuçlarının liste hâlinde (PDF/Excel gibi) herkesin görebileceği şekilde yayımlanmasına karşı çıkmıştır. Bu gibi duyurularda ilgililerin sadece kendi sonuçlarına erişebileceği, e-devlet platformları veya çift faktörlü doğrulama (şifre, SMS onay vb.) ile kimlik teyidi yapılmasını sağlayacak kapalı sorgulama ekranlarının kullanılması gerektiğine hükmetmiştir.
- Süre Sınırı ve Silme Yükümlülüğü: İnternette paylaşılan listeler ve belgeler sonsuza dek orada kalamaz. İlgili duyuru veya işleme amacı sona erdiğinde, verilerin Kişisel Verilerin Silinmesi Yönetmeliği’ne uygun olarak derhal imha edilmesi, internet ortamından kaldırılması gerekmektedir.
- İlan Panoları ve WhatsApp Grupları da Kapsamda: Kurul sadece internet sitelerini değil; kamu kurumlarındaki fiziksel pano ve ilan tahtalarını, kurum içi/kurumlar arası yazışmaları, kapalı elektronik ortamları ve e-posta iletilerini de bu karar kapsamına dâhil etmiştir. Buralarda yapılan paylaşımlarda da veri güvenliği ilkelerine riayet edilmesi zorunludur.
Genç Avukatlık Bürosu Olarak Değerlendirmemiz:
Bugüne kadar birçok belediye, bakanlık, üniversite veya kamu kurumu; personel alım sonuçlarını, ihale ilanlarını, arsa/kura çekim listelerini internet sitelerinden veya ilan panolarından herkesin erişimine açık çarşaf listeler hâlinde yayımlamaktaydı. KVKK’nın yayımlanan bu son İlke Kararı, idarenin şeffaflığı bahanesiyle vatandaşların kişisel verilerinin arama motorlarına ve kötü niyetli üçüncü kişilere altın tepside sunulması dönemini fiilen bitirmiştir.
Bu karar uyarınca kamu tüzel kişiliğine sahip tüm veri sorumlularının (ve bu kurumlarla iş ortaklığı yapan şirketlerin), mevcut web sitelerini, duyuru panolarını ve sosyal medya hesaplarını ivedilikle gözden geçirmeleri, geçmişe dönük liste ve belgeleri internetten kaldırmaları veya maskelemeleri gerekmektedir. Aksi takdirde, KVKK’nın 18. maddesi uyarınca ağır idari yaptırımlarla karşı karşıya kalacaklardır.
Müvekkillerimize ve kamu kurumlarına tavsiyemiz; web sitelerine acilen çift faktörlü kapalı sorgulama altyapıları kurmaları, sosyal medya ve web yöneticisi personellerine KVKK farkındalık eğitimleri vermeleridir. İnternette veya kurum ilanlarında kişisel verileri hukuka aykırı şekilde ifşa edilen vatandaşlarımız ise KVKK’ya şikâyet ve tazminat haklarını kullanabilirler. İdarenin KVKK uyum süreçlerinin yönetilmesi, veri imha politikalarının güncellenmesi ve veri ihlallerine yönelik hukuki destek almak için büromuzun uzman ekibiyle iletişime geçebilirsiniz.
