Kamu Tüzel Kişiliğini Haiz Veri Sorumluları Tarafından Kişisel Verilerin İnternet Ortamında Paylaşılması Hakkında İlke Kararı Resmi Gazete’de Yayımlandı

Kişisel Verileri Koruma Kurulu’nun (“Kurul”) 01.07.2026 tarih ve 2026/1301 sayılı Kamu Tüzel Kişiliğini Haiz Veri Sorumluları Tarafından Kişisel Verilerin İnternet Ortamında Paylaşılması Hakkında İlke Kararı (“Karar”), 28.07.2026 tarih ve 33323 Sayılı Resmi Gazete’de yayımlanmıştır. Karar ile kamu kurum ve kuruluşları ile kamu tüzel kişiliğini haiz diğer veri sorumlularının internet ortamında gerçekleştirdikleri kişisel veri paylaşımlarına ilişkin 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamındaki temel ilkeler ve uyum yükümlülükleri açıklığa kavuşturulmuştur.

Kurul, yaptığı değerlendirmelerde kamu kurumlarının internet sitelerinde ve diğer elektronik ortamlarda sınav sonuçları, personel bilgileri, taşınmaz bilgileri, başvuru bilgileri ve benzeri birçok kişisel verinin yayımlandığını; bu tür paylaşımların da KVKK kapsamında bir kişisel veri işleme faaliyeti oluşturduğunu vurgulamıştır. Bu nedenle, internet ortamında gerçekleştirilen veri paylaşımlarının da KVKK’nın genel ilkeleri ve veri işleme şartlarına uygun şekilde yürütülmesi gerektiği belirtilmiştir.

İnternet Ortamında Kişisel Veri Paylaşımı İçin Hukuki Dayanak Bulunmalıdır

Kararda, internet ortamında gerçekleştirilecek kişisel veri paylaşımlarının KVKK'nin 5'inci maddesinde; özel nitelikli kişisel veriler bakımından ise 6'ncı maddesinde düzenlenen veri işleme şartlarından en az birine dayanması gerektiği açıkça ifade edilmiştir.

Dolayısıyla kamu kurumlarının yalnızca uygulama alışkanlıkları veya şeffaflık ilkesi gerekçesiyle internet ortamında kişisel veri paylaşmaları yeterli görülmeyecek; her paylaşım bakımından geçerli bir hukuki işleme şartının bulunması gerekecektir.

Veri Minimizasyonu ve Saklama Süreleri Ön Plana Çıkmaktadır

Karar, KVKK'da yer alan genel ilkeler kapsamında özellikle amaçla bağlantılı, sınırlı ve ölçülü olma ilkesini öne çıkarmaktadır.

Bu kapsamda;

• paylaşım amacı bakımından gerekli olmayan kişisel verilere yer verilmemesi,
• gerektiğinde maskeleme, anonimleştirme veya benzeri yöntemlerin kullanılması,
• internet ortamındaki paylaşımların erişimde kalacağı sürenin önceden belirlenmesi,
• paylaşım amacı ortadan kalktığında içeriklerin kaldırılması

gerektiği belirtilmektedir.

Bu yaklaşım, internet ortamında gerçekleştirilen veri paylaşımlarının yalnızca yayımlanma anında değil, yayımlandığı süre boyunca da KVKK'ya uygun şekilde yönetilmesi gerektiğini göstermektedir.

Teknik ve İdari Tedbirler Güçlendirilmelidir

Karar’da, internet ortamında yapılan paylaşımların veri güvenliği bakımından daha yüksek risk oluşturduğu vurgulanmaktadır.

Bu nedenle veri sorumlularının;

• risk odaklı teknik ve idari tedbirler almaları,
• düzenli denetim mekanizmaları kurmaları,
• çalışanlara KVKK eğitimleri vermeleri,
• internet sitesi ve sosyal medya yönetim süreçlerini gözden geçirmeleri

gerektiği ifade edilmektedir.

Güvenli Erişim Yöntemleri Teşvik Edilmektedir

Kurul özellikle sınav, kura ve benzeri sonuçların ilanında, kişisel verilerin herkes tarafından erişilebilir şekilde yayımlanması yerine, ilgili kişinin yalnızca kendi bilgilerine ulaşabileceği yöntemlerin kullanılmasını tavsiye etmektedir.

Bu kapsamda e-Devlet altyapısı, çift faktörlü kimlik doğrulama ve benzeri güvenli doğrulama yöntemleri örnek olarak gösterilmektedir.

Mevcut Paylaşımların da Gözden Geçirilmesi Gerekmektedir

Karar yalnızca bundan sonra yapılacak paylaşımları değil, hâlihazırda internet ortamında bulunan içerikleri de kapsamaktadır.

Bu nedenle veri sorumlularının mevcut internet sitelerini, sosyal medya hesaplarını ve diğer elektronik iletişim kanallarını gözden geçirerek;

• hukuki işleme şartına dayanmayan,
• veri minimizasyonu ilkesine aykırı olan,
• saklama süresi dolmuş bulunan

kişisel veri paylaşımlarını kaldırmaları veya gerekli maskeleme ve anonimleştirme işlemlerini gerçekleştirmeleri beklenmektedir.

Kamu Kurumları Bakımından Dikkat Edilmesi Gereken Hususlar

Karar özellikle;

• belediyeler,
• üniversiteler,
• il özel idareleri,
• kamu kurumu niteliğindeki meslek kuruluşları,
• diğer kamu tüzel kişiliğini haiz veri sorumluları

bakımından önem taşımaktadır.

Bu kapsamda veri sorumlularının;

• internet ortamındaki mevcut kişisel veri paylaşımlarını gözden geçirmeleri,
• her paylaşım bakımından hukuki işleme şartını değerlendirmeleri,
• veri minimizasyonu ilkesini uygulamaları,
• saklama sürelerini belirlemeleri,
• internet sitesi ve sosyal medya yönetim süreçlerini KVKK bakımından yeniden değerlendirmeleri,
• teknik ve idari tedbirlerini güncellemeleri,
• çalışan farkındalığını artırmaları

önem arz etmektedir.

Sonuç

İlke Kararı ile Kurul, kamu tüzel kişiliğini haiz veri sorumlularının internet ortamında gerçekleştirdikleri kişisel veri paylaşımlarının da KVKK kapsamında bağımsız bir veri işleme faaliyeti olduğunu açık şekilde ortaya koymuştur. Bu kapsamda veri sorumlularının yalnızca gelecekte yapacakları paylaşımları değil, mevcut internet içeriklerini de hukuki işleme şartları, veri minimizasyonu, saklama süreleri ve veri güvenliği yükümlülükleri bakımından yeniden değerlendirmeleri önem taşımaktadır.

The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.