KVKK Kamu Tüzel Kişiliği Bulunan Veri Sorumlularının İnternet Üzerinden Kişisel Veri Paylaşımına İlişkin İlke Kararı

Kişisel Verileri Koruma Kurulu (Kurul), kamu tüzel kişiliğini haiz veri sorumlularının internet ortamında gerçekleştirdiği kişisel veri paylaşımlarına ilişkin önemli tespitler yapmış ve bu konuda 01/07/2026 tarihli ve 2026/1301 sayılı İlke Kararı’nı kamuoyuna duyurmuştur. Bu karar, özellikle avukatlar ve kurum içi hukuki danışmanlar açısından büyük önem taşımaktadır. Zira kamu kurumları ve belediyeler başta olmak üzere birçok tüzel kişilik, hizmet süreçlerinde kişisel verileri internet siteleri üzerinden yayımlamakta, bu da ciddi KVKK uyum riskleri doğurmaktadır.

Kurul’a intikal eden çok sayıda şikâyet ve ihbar, kamu kurum ve kuruluşları ile belediyeler, üniversiteler, il özel idareleri gibi kamu tüzel kişiliklerinin internet sitelerinde kişisel verileri hukuka aykırı şekilde paylaştığını ortaya koymuştur. Bu paylaşımlar, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında açık bir veri işleme faaliyeti olarak kabul edilmektedir. Çünkü bir belgenin internet ortamında yayımlanması, verilerin üçüncü kişiler tarafından erişilebilir kılınması ve dolayısıyla “açıklanması” anlamına gelmektedir.

Kurul’un detaylı incelemesi neticesinde, söz konusu kurumların internet sitelerinde ad-soyad, T.C. kimlik numarası, anne-baba adı, adres, cep telefonu, KPSS puanı, sınav başvuru numarası, mezuniyet bilgileri, sicil numarası, askerlik durumu, taşınmaz ada-parsel bilgileri, başarı durumu, asil-yedek listeleri ve benzeri çok sayıda kişisel verinin açıkça paylaşıldığı tespit edilmiştir. Bu durum, hem veri güvenliği riskini artırmakta hem de ilgili kişilerin temel hak ve özgürlüklerini ciddi şekilde ihlal etmektedir.

İlke Kararı’nın en kritik vurgusu, internet üzerinden kişisel veri paylaşımının mutlaka Kanun’un 5. maddesinde düzenlenen işleme şartlarından birine dayanması gerektiğidir. Özel nitelikli kişisel veriler söz konusu ise 6. madde hükümlerinin ayrıca uygulanması zorunludur. Geçerli bir işleme şartı bulunmayan hiçbir kişisel verinin internet ortamında yayımlanamayacağı açıkça belirtilmiştir.

Kararda ayrıca, işleme şartının varlığının tek başına yeterli olmadığı, veri sorumlularının KVKK’nın 4. maddesinde yer alan genel ilkelere de mutlak surette uyması gerektiği vurgulanmaktadır. Bu bağlamda “amaçla bağlantılı, sınırlı ve ölçülü olma” ilkesi özel bir önem taşımaktadır. Avukatlar müvekkillerine danışmanlık verirken, kurumların yalnızca amacın gerçekleşmesi için zorunlu olan asgari düzeyde veri paylaşması gerektiğini, gereksiz tüm verilerin maskelenmesi, karartılması veya anonimleştirilmesi gerektiğini özellikle hatırlatmalıdır.

“İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme” ilkesi gereğince, internet ortamında yayımlanan kişisel veri içeren duyuruların belirli bir süreyle sınırlı tutulması ve bu sürenin sonunda derhal kaldırılması, silinmesi veya anonim hale getirilmesi zorunludur. Kurul, halihazırda internette bulunan tüm içerikleri ivedilikle gözden geçirmelerini ve uyumsuz olanları kaldırmalarını veri sorumlularından talep etmiştir.

Aydınlatma yükümlülüğü de kararın önemli unsurlarından biridir. KVKK’nın 10. maddesi uyarınca, internet üzerinden paylaşılan kişisel veriler için aydınlatma metninin açık, anlaşılır ve erişilebilir şekilde sunulması gerekmektedir. Aydınlatmanın yapıldığının ispat yükü ise tamamen veri sorumlusuna aittir.

Veri güvenliği boyutu da kararın odak noktalarındandır. KVKK’nın 12. maddesi çerçevesinde alınması gereken idari ve teknik tedbirlerin, internet ortamının doğası gereği daha yüksek risk taşıdığı gözetilerek belirlenmesi gerektiği belirtilmiştir. Özellikle sınav sonuçları, kura sonuçları ve benzeri duyurular için e-Devlet entegrasyonu veya çift faktörlü kimlik doğrulama gibi güvenli erişim yöntemlerinin tercih edilmesi önerilmektedir. Bu yöntemler, verilerin yalnızca ilgili kişi tarafından erişilebilir olmasını sağlayarak hem gizliliği korur hem de veri sorumlusunun sorumluluğunu önemli ölçüde azaltır.

Kurul, ayrıca veri sorumlusu kurumlar bünyesinde, internet siteleri ve sosyal medya hesaplarını yöneten personel başta olmak üzere tüm çalışanlara yönelik düzenli KVKK eğitimleri verilmesini zorunlu tutmuştur. Bu eğitimlerin farkındalığı artırması ve kurumsal uyumu güçlendirmesi beklenmektedir.

Son olarak, bu ilkelere uyulmaması halinde 6698 sayılı Kanun’un 18. maddesi uyarınca idari para cezası uygulanacağı ve somut olayın özelliklerine göre idari yaptırımların devreye gireceği açıkça ifade edilmiştir.

Bu İlke Kararı, kamu hukuku alanında faaliyet gösteren avukatlar için önemli bir referans niteliğindedir. Özellikle idari davalar, KVKK uyum projeleri ve kurumlara verilen hukuki danışmanlık süreçlerinde bu kararın detaylı şekilde analiz edilmesi, müvekkillerin olası idari para cezalarından korunması açısından kritik öneme sahiptir. Kamu tüzel kişiliklerinin veri paylaşım süreçlerini KVKK’ya uyumlu hale getirmek, hem hukuki riskleri minimize edecek hem de ilgili kişilerin temel haklarını daha etkin koruyacaktır.

(Toplam kelime sayısı: 852)