KVKK'den Kamu Kurumlarına Kritik Karar: İnternet Ortamında Kişisel Veri Paylaşımı

KVKK'nin aldığı bu ilke kararı, kamu kurumlarının internet ortamında kişisel veri paylaşımında daha dikkatli olması gerektiğini vurgulamaktadır. Karar, kişisel veri koruma hakkının sadece özel sektör için değil, kamu kurumları için de eşit şekilde uygulanması gerektiğini ortaya koymaktadır. Kamu tüzel kişiliğini haiz veri sorumlularının bu karara uyum sağlaması, hem yasal yükümlülük hem de vatandaşların gizlilik haklarının korunması açısından önem taşımaktadır.

KVKK'den Kamu Kurumlarına Kritik Karar: İnternet Ortamında Kişisel Veri Paylaşımı

Kişisel Verileri Koruma Kurumu (KVKK), kamu tüzel kişiliğini haiz veri sorumlularının internet ortamında kişisel veri paylaşımına ilişkin ilke kararı aldı. Karar, Resmi Gazete'de yayımlanmıştır.

Karar Kapsamı

KVKK, "Kamu Tüzel Kişiliğini Haiz Veri Sorumluları Tarafından Kişisel Verilerin İnternet Ortamında Paylaşılması Hakkında İlke Kararı"nı yayımlamıştır.

Kapsanan Kurumlar

Kararda, 6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca yapılan incelemelerde, aşağıdaki kurumlarca internet ortamında paylaşılan kişisel verilere ilişkin tespit ve değerlendirmelere yer verilmiştir:

• Belediyeler
• İl Özel İdareleri
• Üniversiteler
• Diğer kamu tüzel kişiliğini haiz veri sorumlularıyla

Kişisel Veri İşleme Faaliyeti Olarak Kabul

KVKK, kişisel veri ihtiva eden belgelerin internet ortamında yayımlanmasının, verilerin üçüncü kişilerce erişilebilir hale gelmesi nedeniyle bir kişisel veri işleme faaliyeti niteliğinde olduğunu belirtmiştir.

---

İnternet Sitelerinde Paylaşılan Kişisel Veriler

Tespit Edilen Veriler

Kurulun tespitlerine göre, kamu tüzel kişiliğini haiz veri sorumlularınca internet sitelerinde yayımlanan çeşitli belgelerde aşağıdaki kişisel verilere yer verildiği ifade edilmiştir:

Kimlik Bilgileri

• Ad ve soyad
• Anne ve baba adı
• T.C. kimlik numarası
• Doğum yeri

İletişim Bilgileri

• Adres
• Cep telefonu numarası

Çalışma ve Eğitim Bilgileri

• Meslek
• Görev yeri
• Ünvan
• Sicil numarası
• Öğrenim durumu

Diğer Veriler

• Taşınmaz bilgileri
• Sınav başvuru numarası
• KPSS puanı

---

KVKK'nin Gerekli Tedbirler

Gereksiz Verilerin Paylaşılmaması

İlke kararında, internet ortamında yapılacak veri paylaşımlarında amacın gerçekleşmesi bakımından gerekli olmayan kişisel verilere yer verilmemesi gerektiği vurgulanmıştır.

Alınması Gereken Tedbirler

Bu kapsamda, veri sorumlularınca aşağıdaki tedbirlerin alınması gerektiği belirtilmiştir:

• İmha (Veri silme)
• Maskeleme (Veri gizleme/anonimleştirme)
• Benzeri tedbirler

Veri Erişim Süresi

Kararda, kişisel veri içeren paylaşımların, işlendikleri amaç için gerekli olan süre kadar erişime açık tutulması, sürenin sonunda ise gerekli işlemlerin tesis edilmesi gerektiği kaydedilmiştir.

Aydınlatma Yükümlülüğü

İnternet ortamında paylaşılacak kişisel verilere ilişkin aydınlatma yükümlülüğünün, ilgili mevzuata uygun şekilde yerine getirilmesinin beklendiği belirtilmiştir.

---

İdari ve Teknik Tedbirler

Zorunlu Tedbirler

Kararda, veri sorumlularınca 6698 sayılı Kanun'un 12'nci maddesi kapsamında aşağıdaki tedbirlerin alınmasının zorunlu olduğu vurgulanmıştır:

• İdari tedbirler
• Teknik tedbirler

Uygulama Alanı

Bu yükümlülüklerin yalnızca internet ortamındaki paylaşımlarda değil, aşağıdaki mecralarda yapılan kişisel veri paylaşımlarında da gözetilmesi gerektiği belirtilmiştir:

• Elektronik ortamlar
• Pano ve ilan tahtaları
• Diğer mecralar

---

Uygulamayan Kurumlar Hakkında İşlem

İnceleme ve Değerlendirme

Söz konusu önlemlerin alınmadığının tespit edilmesi halinde, Kurulun inceleme yetkisi kapsamında somut olay değerlendirmesi yapılacaktır.

İdari Yaptırım

İlgili veri sorumluları hakkında 6698 sayılı Kanun'un 18'inci maddesi uyarınca idari işlem tesis edileceği bildirilmiştir.

---

Karar Özeti ve Önemleri

Temel İlkeler

KVKK'nin aldığı ilke kararının temel ilkeleri şunlardır:

İlke	Açıklama
Amaçlılık	Paylaşılan veriler, belirtilen amaca uygun olmalıdır
Gereklillik	Yalnızca gerekli veriler paylaşılmalıdır
Süreli Erişim	Veriler, gerekli süre kadar erişime açık tutulmalıdır
Koruma	Teknik ve idari tedbirler alınmalıdır
Aydınlatma	Veri sahipleri bilgilendirilmelidir

Kamu Kurumları İçin Çıkarımlar

Belediyeler, üniversiteler ve diğer kamu kurumları:

1. İnternet sitelerinde yayımlanan belgeleri gözden geçirmeli
2. Gereksiz kişisel verileri kaldırmalı
3. Maskeleme ve anonimleştirme işlemleri yapmalı
4. Veri erişim sürelerini belirlemeli
5. Teknik ve idari güvenlik önlemleri almalı
6. Veri sahiplerini bilgilendirmeli

Yaptırım Riski

Tedbirleri almayan kurumlar:

• KVKK tarafından incelemeye tabi tutulacak
• 6698 sayılı Kanun'un 18'inci maddesi uyarınca idari işlem ile karşı karşıya gelecek
• Olası para cezalarına maruz kalacak

---

Pratik Örnekler

Yapılmaması Gerekenler

❌ Belediye duyuruları - Tam ad, soyad, T.C. kimlik numarası ve adres paylaşımı

❌ Üniversite başarı listeleri - Öğrencilerin T.C. kimlik numaraları ve tam adreslerinin yayımlanması

❌ İl Özel İdaresi kararları - Personel bilgilerinin tam detaylarıyla paylaşılması

❌ Sınav sonuçları - Adayların kimlik numaraları ve tam iletişim bilgilerinin açık yayımlanması

Yapılması Gerekenler

✅ Maskeleme - Ad ve soyadın kısaltılması (Ö.Ö. gibi)

✅ Kısmi bilgi - Telefon numarasının son 4 hanesi paylaşılması

✅ Anonimleştirme - Kimlik numarasının kaldırılması

✅ Süreli erişim - Belgelerin belirli süre sonunda silinmesi

✅ Şifrelenmiş erişim - Hassas belgelere şifre koruması uygulanması

---

Sonuç

KVKK'nin aldığı bu ilke kararı, kamu kurumlarının internet ortamında kişisel veri paylaşımında daha dikkatli olması gerektiğini vurgulamaktadır. Karar, kişisel veri koruma hakkının sadece özel sektör için değil, kamu kurumları için de eşit şekilde uygulanması gerektiğini ortaya koymaktadır.

Kamu tüzel kişiliğini haiz veri sorumlularının bu karara uyum sağlaması, hem yasal yükümlülük hem de vatandaşların gizlilik haklarının korunması açısından önem taşımaktadır.