MEVZUATTAKİ SON
DEĞİŞİKLİKLER

R.Gazete No: 33323

R.G. Tarihi: 28.07.2026

Kişisel verilerin işlenmesi, geniş kapsamlı bir kavram olup kişisel verilerin ilk elde edilmesinden başlayarak imha edilmesine kadar olan süreçte kişisel veriler üzerinde gerçekleştirilen her türlü faaliyet, 6698 sayılı Kanun kapsamında kişisel verilerin işlenmesi olarak değerlendirilmektedir.

Bu kapsamda, kişisel veri ihtiva eden belgelerin internet ortamında yayımlanmak suretiyle duyurulması durumunda; kişisel verilerin açıklanması ve ayrıca bu yolla kişisel verilerin üçüncü taraflarca elde edilebilir hale getirilmesi sonucu doğduğundan, internet ortamında yayımlanan belgelerin kişisel veri ihtiva etmesi hali, bir kişisel veri işleme faaliyetinin varlığına işaret etmektedir.

Kurul tarafından yapılan tespitler göstermektedir ki, kamu tüzel kişiliğini haiz veri sorumluları tarafından kendi görev ve yetki alanlarında yürütülen faaliyetler kapsamında internet sitelerinde yayımlanan muhtelif belgelerde ad, soyadı, anne adı, baba adı, yaş, T.C. kimlik numarası, adres, cep telefonu numarası, doğum yeri, meslek, uzmanlık alanı, görev yeri, unvan/statü, hizmet yılı, sicil numarası, çalışılan birim, askerlik durum bilgisi, öğrenim durumu, kamu kurumlarınca gerçekleştirilen kuralara konu olan taşınmaz bilgileri (ada/parsel vb.), çeşitli sınavlar kapsamında işlenen başvuru numarası, KPSS puanı, kabul/ret ya da başarı/başarısızlık durumuna ilişkin bilgi, mezun olunan okullara ilişkin bilgi, girilen sınava ilişkin doğru/yanlış/net sayısı/başarı puanı gibi bilgiler, başvuru yapılan pozisyon, aday numarası, öğrenci numarası, sınava girememe/kabul edilmeme nedeni, sınava katılım durum bilgisi, asil- yedek bilgisi, eksik evrak bilgisi, eski hükümlü olma durumu ve benzeri kişisel verilere yer verilebilmektedir.

Kamu tüzel kişiliğini haiz veri sorumluları tarafından internet ortamında kişisel verilerin paylaşılması suretiyle kişisel veri işleme faaliyeti gerçekleştirilecek olması durumunda, 6698 sayılı Kanun hükümleri ve ikincil mevzuata uyumun sağlanması gerekmektedir.

Söz konusu uyumun sağlanmasını teminen;

• İnternet ortamında kişisel verilerin paylaşılmasının, 6698 sayılı Kanun'un 5'inci maddesinde; özel nitelikli kişisel veriler bakmamdan ise 6'ncı maddesinde yer verilen geçerli bir kişisel veri işleme şartına veya şartlarına dayanması gerektiği,

• Geçerli bir işleme şartının mevcut olmaması halinde, veri sorumluları tarafından internet ortamında kişisel verilerin paylaşılmamasının uygun olacağı,

• İnternet ortamında kişisel verilerin paylaşılmasının geçerli bir işleme şartına dayanması durumunda da (örneğin bir mevzuat hükmüne dayanması nedeniyle "kanunlarda açıkça öngörülmesi" veya "veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması işleme şartının mevcut olması veya diğer işleme şartlarına dayanılması durumunda) 6698 sayılı Kanun'un 4'üncü maddesinde düzenlenen Genel İlkelere uygun hareket edilmesinin zorunlu olduğu,

• Genel İlkelerden "amaçla bağlantılı, sınırlı ve ölçülü olma" ilkesine uyumun sağlanmasını teminen; amacın gerçekleşmesini sağlayacak minimum düzeyde kişisel veri paylaşılması, amacın gerçekleşmesi bakımından gerekli olmayan kişisel verilere internet ortamında yer verilmemesi ve bu kapsamda gerekli imha, maskeleme ve benzeri önlemlerin veri sorumluları tarafından alınmasının önem arz ettiği,

• Genel İlkelerden "ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme" ilkesine uyumun sağlanmasını teminen kişisel veri içeren paylaşımların ne kadar süre ile paylaşılacağının söz konusu ilke gözetilerek belirlenmesi ve ilgili süreler sonunda paylaşımlara son verilmesi adına gerekli iş ve işlemlerin veri sorumlularınca tesis edilmesinin gerektiği,

• İnternet ortamında paylaşılacak kişisel verilere ilişkin olarak 6698 sayılı Kanun'un 10'uncu maddesinden kaynaklanan aydınlatma yükümlülüğünün ilgili madde hükmüne ve 10 Mart 2018 tarih ve 30356 sayılı Resmi Gazete'de yayımlanarak yürürlüğe giren Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ hükümlerine uygun şekilde yerine getirilmiş olmasının bekleneceği ve aydınlatmanın yerine getirildiğinin ispatının veri sorumlusuna ait olduğu,

• 6698 sayılı Kanun'un 12'nci maddesi kapsamında veri sorumlularınca veri güvenliğine ilişkin gerekli idari ve teknik tedbirlerin alınması gerektiği; veri güvenliğinin sağlanmasının, veri sorumlusunun gerçekleştirdiği kişisel veri işleme faaliyetindeki muhtemel riskler ve olası ihlaller de dikkate alınmak suretiyle önlemler alınmasını gerektirdiği, kişisel verilerin internet ortamında paylaşılması suretiyle gerçekleşen bir kişisel veri işleme faaliyetinin, verilerin daha sınırlı bir ortamda ve daha sınırlı sayıda kişi ile paylaşılmasına kıyasla daha fazla veri güvenliği riski barındıracağı ayrıca veri sorumlularının, kendi organizasyonunda Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmakla ve yaptırmakla yükümlü olduğu,

• Mevcut durumda internet ortamında paylaşılan kişisel verilerin veri sorumluları tarafından ivedilikle gözden geçirilerek geçerli bir işleme şartına dayanmayan, genel ilkelere uygunluk arz etmeyen paylaşımların internet ortamından kaldırılması veya bunlar üzerinde maskeleme ve benzeri düzenlemelerin yapılması; söz konusu paylaşımlarda yer alan kişisel verilerin işlenmesini gerektiren sebeplerin ortadan kalkmış olması halinde 6698 sayılı Kanun'un 7'nci maddesi hükümleri ile 28.10.2017 tarihli ve 30224 sayılı Resmi Gazete'de yayımlanarak 01.01.2018 tarihinde yürürlüğe giren Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik hükümlerine uygun olarak kişisel verilerin imha edilmesine ilişkin gerekli iş ve işlemlerin veri sorumlularınca gerçekleştirilmesinin uygun olacağı, 

• Sınav sonucu, kura sonucu ve benzeri durumlarda, somut durumun gerektirmesi halinde ilgililerin denetimine de olanak verecek şekilde yalnızca sınava, kuraya veya ilgili faaliyete katılım sağlayanların veya somut olayın bunu gerektirmemesi halinde yalnızca ilgili kişinin kendi sınavına, kura sonucuna veya ilgili faaliyete ait sonuçlara erişebileceği ve yine genel ilkelere uygun önlemlerin alındığı yöntemlerle paylaşımların yapılabileceği; bu gibi hallerde uygun e-devlet platformlarının veya çift faktörlü doğrulama ile kimlik teyidi yapılmasını sağlayacak yöntemlerin ve vasıtaların kullanılmasının uygun olacağı,

• Söz konusu paylaşımların yoğun olarak internet siteleri ve sosyal medya platformları vasıtasıyla gerçekleştirildiği dikkate alındığında veri sorumluları bünyesinde söz konusu platformların kullanılmasından sorumlu çalışanlar başta olmak üzere tüm çalışanların kişisel verilerin korunması mevzuatı ve uygulamada dikkat edilmesi gereken hususlar hakkında bilgi ve farkındalıklarının artırılmasını sağlayacak eğitim ve farkındalık çalışmalarının veri sorumluları tarafından yürütülmesi gerektiği,

• Öte yandan kamu tüzel kişiliğini haiz veri sorumluları tarafından kişisel veri içeren paylaşımların yalnızca internet ortamında yapılmadığı bu minvalde kurum içi veya kurumlar arası yazışmalar, e-posta iletileri, duyurular, kurum içinde kullanılan kapalı elektronik ortamlar, pano ve ilan tahtası gibi vasıtalarla yapılan kişisel veri paylaşımları kapsamında da bu hususlara riayet edilmesi gerektiği,

• Yukarıda belirtilen hususların, 6698 sayılı Kanun'un 12'nci maddesinin birinci fıkrası uyarınca kişisel verilerin hukuka aykırı işlenmesini önlemek, kişisel verilere hukuka aykırı erişilmesini önlemek ve kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik veri sorumlularınca alınması gereken teknik ve idari tedbirlerden olduğu, diğer yandan 6698 sayılı Kanun'un 12'nci maddesinde düzenlenen veri güvenliğine ilişkin diğer yükümlülüklerin de veri sorumlularınca gözetilmesi gerektiği,

• Söz konusu önlemlerin alınmadığının tespiti halinde Kurulun inceleme yetkisi kapsamında somut olay değerlendirmesi yapılmak suretiyle ilgili veri sorumluları hakkında 6698 sayılı Kanun'un 18'inci maddesi hükümleri gereği işlem tesis edileceği

hususlarında kamuoyunun bilgilendirilmesine ve bu kapsamda 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 15'inci maddesinin altıncı fıkrası hükmü uyarınca İlke Kararı alınmasına ve bu İlke Kararı'nın Resmi Gazete'de ve Kurumun internet sitesinde yayımlanmasına oybirliği ile karar verilmiştir.

----------o----------