Kişisel Verileri Koruma Kurulu, kamu kurumları, belediyeler, üniversiteler ve diğer kamu tüzel kişilerinin internet ortamında kişisel veri yayımlamasına ilişkin 2026/1301 sayılı ilke kararını 1 Temmuz 2026’da aldı. 27 Temmuz’da yayımlanan duyuru, kamuya açık belgelerde hangi verilerin gerekli olduğu konusundaki ölçülülük değerlendirmesini açıkladı.
Kurul; ad-soyad, T.C. kimlik numarası, adres, telefon, sicil numarası, ada-parsel bilgisi ve KPSS puanı gibi verilerin kamu sitelerinde yayımlandığı örnekleri değerlendirdi. Bir belgenin kamuya duyurulması, içindeki bütün kişisel verilerin sınırsız ve herkesçe görülebilir biçimde yayımlanabileceği anlamına gelmiyor.
Veri, duyurunun amacıyla sınırlı tutulmalı
İlke kararında kişisel verilerin hukuka ve dürüstlük kurallarına uygun işlenmesi, doğru ve gerektiğinde güncel olması, belirli ve meşru amaçlarla bağlantılı, sınırlı ve ölçülü tutulması gerektiği vurgulandı. Kamu kurumlarının her duyuru için hangi bilgiye gerçekten ihtiyaç olduğunu ayrıca belirlemesi gerekiyor.
Kurul, gerekli durumlarda kimlik numarası gibi alanların maskelenmesini, gereksiz ayrıntıların belge yayımlanmadan önce çıkarılmasını ve erişimin ilgili kişilerle sınırlandırılmasını istedi. Aydınlatma yükümlülüğünün yerine getirilmesi ve teknik-idari veri güvenliği tedbirlerinin uygulanması da kararın işaret ettiği başlıklar arasında yer aldı.
Sınav ve kura sonuçlarında kişiye özel erişim önerildi
Sınav ve kura sonuçlarında mümkün olduğunca yalnızca ilgili kişinin kendi sonucuna erişebildiği yöntemlerin tercih edilmesi gerektiği açıklandı. e-Devlet ve iki aşamalı doğrulama kullanan platformlar, sonuç bilgisinin herkese açık liste yerine kişiye özel biçimde iletilmesine örnek gösterildi.
Karar, kamu hizmetinin şeffaflığı ile kişisel verilerin korunması yükümlülüğünü birlikte ele alıyor. Kurumların duyuru ihtiyacını ortadan kaldırmıyor; ancak duyuru yapılırken listede yer alan kişilerin verilerinin yetkisiz kişilerce görülmesini önleyecek yöntemlerin seçilmesini zorunlu bir değerlendirme konusu haline getiriyor.
İlke kararının merkezindeki ölçülülük değerlendirmesi, duyurunun hedefi ile yayımlanan veri miktarının karşılaştırılmasını gerektiriyor. Bir sınav sonucunu bildirmek için adayın tüm kimlik bilgilerinin, bir kura sonucunu duyurmak için de bütün katılımcı listesinin açık internet sayfasında tutulması her durumda gerekli olmayabilir.
Kamu kurumları belge yayımlamadan önce veri minimizasyonu, maskeleme, erişim yetkisi ve saklama süresi bakımından ayrı bir kontrol yapmalı. Kararda belirtilen güvenli erişim yöntemleri, hem duyurunun yapılmasını hem de kişisel verilerin yalnız ilgili kişi tarafından görülmesini amaçlıyor.
İlke kararı, kamuya açıklık ile kişisel veri güvenliği arasında her belge için aynı çözümün uygulanamayacağını ortaya koyuyor. Duyurunun amacı, veri sahibi grubu ve erişecek kişilerin kapsamı belirlendikten sonra yayımlama yöntemi seçilmeli; gereksiz kişisel veri içeren belgeler arşivde veya internet sayfasında tutulmamalı.