Belediye ve Üniversite Kişisel Verileri İnternette Yayınlayabilir mi? KVKK 2026/1301

2026/1301 Sayılı İlke Kararı Ne Getirdi?

Kişisel Verileri Koruma Kurulu, 1 Temmuz 2026 tarihli ve 2026/1301 sayılı İlke Kararında kamu tüzel kişiliğine sahip veri sorumlularının internet ortamında kişisel veri yayımlamasını ayrıntılı biçimde ele aldı. Karar 28 Temmuz 2026 tarihli Resmî Gazete’de yayımlandı. Kurulun incelemelerinde belediyeler, üniversiteler, il özel idareleri ve diğer kamu tüzel kişilerinin internet sayfalarında kimlik, iletişim, eğitim, personel, sınav ve başvuru verilerinin gereğinden geniş biçimde erişime açılabildiği tespit edildi.

İnternette belge yayımlamak, KVKK bakımından yalnız bir “duyuru” değildir. Kişisel veriyi üçüncü kişilerin erişimine açmak, KVKK m.3 anlamında kişisel veri işleme faaliyetidir. Bu nedenle kurumun kamu görevi yürütmesi tek başına sınırsız yayın yetkisi vermez. Her paylaşım için hukuki sebep, amaç, veri kapsamı, erişim yöntemi ve yayında kalma süresi ayrı belirlenmelidir.

İlke Kararı özellikle açık internetin yüksek yayılma riskine dikkat çeker. Arama motorlarının indekslemesi, ekran görüntüsü alınması, üçüncü kişilerin kopyalaması ve verinin başka veri setleriyle eşleştirilmesi nedeniyle internet yayını, kurum içi veya kimlik doğrulamalı sisteme göre daha ağır bir müdahaledir. Bu nedenle “mevzuat duyuru yapılmasını istiyor” denildiğinde dahi duyurunun hangi verilerle yapılacağı ayrıca ölçülmelidir.

Kamu Kurumlarının Yayımladığı Hangi Veriler Kişisel Veridir?

2026/1301 sayılı Kararda Kurul; ad-soyad, anne-baba adı, yaş, T.C. kimlik numarası, adres, cep telefonu, doğum yeri, meslek, uzmanlık alanı, görev yeri, unvan, hizmet yılı, sicil numarası, birim, askerlik bilgisi, öğrenim bilgisi, ada-parsel bilgisi, sınav başvuru numarası, KPSS puanı, kabul-ret durumu, başarı durumu, mezun olunan okul, doğru-yanlış-net sayıları, aday veya öğrenci numarası ve benzeri verilerin internet ortamında bulunabildiğini tespit etmiştir.

Bu listedeki her bilgi aynı risk seviyesinde değildir; ancak kimliği belirli veya belirlenebilir gerçek kişiyle bağlantı kurulabiliyorsa kişisel veridir. Ceza mahkûmiyeti, sağlık ve benzeri özel nitelikli bilgiler bakımından KVKK m.6’daki daha sıkı koşullar ayrıca uygulanır.

Kamu Kurumu Kişisel Veriyi Hangi Hukuki Sebeple Yayımlayabilir?

KVKK m.5, kişisel verilerin işlenme şartlarını düzenler. Kamu kurumları bakımından en sık karşılaşılan hukuki sebepler kanunlarda açıkça öngörülme, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi ve bir hakkın tesisi, kullanılması veya korunmasıdır. Ancak hukuki sebebin varlığı, her verinin herkese açık internete konulabileceği anlamına gelmez.

Örneğin bir kanun sonuçların ilan edilmesini emrediyorsa kurumun ilan yapma görevi vardır; fakat ilan metnine T.C. kimlik numarası, telefon ve adres eklemek ayrıca gerekli değilse bu veriler “ilan görevi” gerekçesiyle sınırsız yayımlanamaz. KVKK m.4’teki amaçla bağlantılı, sınırlı ve ölçülü olma ilkesi, işleme şartından bağımsız şekilde her zaman uygulanır.

Özel nitelikli veri bakımından KVKK m.6 uygulanır. Kamu kurumunun elinde bu verinin hukuka uygun bulunması, internet ortamında yayımlama için otomatik yetki yaratmaz. Elde etme, saklama, kurum içi kullanma ve internet yoluyla açıklama birbirinden ayrı veri işleme faaliyetleridir; her birinin hukuka uygunluk zemini bulunmalıdır.

Ölçülülük, Maskeleme ve Veri Minimizasyonu

2026/1301 sayılı İlke Kararının en güçlü mesajı veri minimizasyonudur. Kurum, amacın gerçekleşmesi için gereken asgari kişisel veriyi kullanmalıdır. Yayın zorunluysa kimlik numarasının tamamını göstermek yerine maskeleme, isim yerine başvuru numarası kullanma veya kişiye özel sorgulama sistemi kurma gibi daha az müdahaleci yöntemler değerlendirilmelidir.

Maskeleme göstermelik yapılmamalıdır. Bir listede T.C. kimlik numarasının yalnız birkaç hanesini kapatıp ad, soyad, doğum tarihi, kurum ve başvuru bilgilerini birlikte yayımlamak kişinin yeniden belirlenmesini kolaylaştırıyorsa risk devam eder. Ölçülülük değerlendirmesinde yayımlanan veri alanlarının bütünü ve bunların başka kaynaklarla eşleştirilme olasılığı dikkate alınır.

Kurul, sınav, kura ve benzeri sonuçlarda mümkün olduğu ölçüde yalnız ilgili kişinin kendi sonucuna erişebildiği güvenli yöntemlerin tercih edilmesini belirtmiştir. E-Devlet veya çift faktörlü kimlik doğrulama kullanılan sistemler bu yaklaşımın örnekleridir. Böylece kamuoyuna genel duyuru yapılırken ayrıntılı kişisel veri yalnız yetkili kişiye gösterilebilir.

Sınav ve Kura Sonuçları İnternette Nasıl Açıklanmalıdır?

Sınav veya kura sonucunun ilanı ile adayın bütün özlük ve başvuru bilgilerinin açıklanması aynı işlem değildir. Sonucun kamuya duyurulması için gerekli veri ile gereksiz ayrıntılar ayrılmalıdır. Kurum, yalnızca ilgili kişinin kendi sonucunu görmesini sağlayan sorgu sistemini kullanabiliyorsa açık liste yerine bu yöntem tercih edilmelidir.

Özellikle KPSS puanı, doğru-yanlış sayıları, mezun olunan okul, eski hükümlü statüsü, kabul edilmeme nedeni veya eksik evrak bilgisi gibi veriler kişinin mesleki ve özel hayatı üzerinde etkili olabilir. İlan amacı bu ayrıntıları zorunlu kılmıyorsa internet üzerinde açık tutulmamalıdır.

İlanın sonunda sonuçlara itiraz süresi varsa kurum, itiraz süresinin sona ermesiyle birlikte yayında kalma ihtiyacını yeniden değerlendirmelidir. Arşivleme yükümlülüğü varsa belgenin kurumun arşivinde saklanması ile arama motorlarına açık web sayfasında süresiz tutulması farklıdır.

Kişisel Veriler İnternette Ne Kadar Süre Kalabilir?

KVKK m.4 uyarınca kişisel veriler ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilir. 2026/1301 sayılı İlke Kararı bu kuralı internet yayınlarına doğrudan uygular. Veri sorumlusu, kişisel veri içeren bir duyurunun ne kadar süre yayında kalacağını baştan belirlemelidir.

Amaç ortadan kalktığında içerik kaldırılmalı, kişisel veri silinmeli, yok edilmeli veya anonim hâle getirilmelidir. “Eski duyurular arşivi” başlığı, süresiz açık yayın için tek başına hukuki sebep değildir. Kurumun mevzuat gereği saklama yükümlülüğü bulunuyorsa dosya içi muhafaza devam edebilir; ancak herkese açık web erişimi ayrıca gerekçelendirilmelidir.

Arama motoru önbelleği ve üçüncü taraf kopyaları nedeniyle yalnız sayfayı silmek her zaman tam sonuç vermeyebilir. Veri sorumlusu kendi kontrolündeki kaynaklarda kaldırma işlemini yapmalı; gerekiyorsa indeks kaldırma ve teknik önlemleri de devreye almalıdır.

KVKK m.12 Kapsamında Veri Güvenliği

KVKK m.12 veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önleme, verilerin muhafazasını sağlama yükümlülüğü getirir. İnternet ortamında paylaşım, erişim çevresini genişlettiği için veri güvenliği riski yükselir. Bu nedenle kamu kurumu yalnız içerik sahibini değil, web yönetim sürecini de kontrol etmelidir.

Yetki matrisi, içerik yayın onayı, otomatik kişisel veri taraması, maskeleme kontrolü, yayın süresi alarmı, erişim logları ve düzenli eğitim bu alandaki idari-teknik tedbirler arasındadır. 2026/1301 sayılı İlke Kararı özellikle web ve sosyal medya yayınından sorumlu personelin farkındalığının artırılmasını vurgular.

Bir Excel veya PDF dosyasının görünürdeki satırlarında kişisel veri bulunmaması da yeterli değildir. Dosya özellikleri, gizli sayfalar, yorumlar ve geçmiş sürümlerde kişisel veri kalabilir. Yayına alınacak elektronik dosyaların teknik olarak temizlenmesi gerekir.

İnternette Kişisel Verisi Yayımlanan Kişi Ne Yapabilir?

İlgili kişi KVKK m.11 kapsamındaki haklarını kullanarak veri sorumlusuna başvurabilir. Öncelikle ilgili sayfanın URL’si, ekran görüntüsü, yayın tarihi ve yayımlanan veri alanları kaydedilmelidir. Ardından kurumun veri sorumlusu başvuru kanalına KVKK m.13 uyarınca başvuru yapılır.

Başvuruda verinin hangi hukuki sebeple yayımlandığı, kimlerin erişebildiği, ne kadar süre yayında tutulacağı, üçüncü kişilere aktarım olup olmadığı sorulabilir; hukuki şartları oluşmuşsa silme, kaldırma, düzeltme veya erişimin sınırlandırılması istenebilir. Veri sorumlusu başvuruyu en geç otuz gün içinde sonuçlandırır.

Cevabın yetersiz bulunması veya başvurunun reddedilmesi hâlinde ilgili kişi KVKK m.14’teki süreler içinde Kişisel Verileri Koruma Kuruluna şikâyet edebilir. Kural olarak cevabın öğrenilmesinden itibaren otuz gün ve her hâlde veri sorumlusuna başvuru tarihinden itibaren altmış gün dikkate alınır.

Kurul, ihlal tespit ederse KVKK m.15 ve 18 kapsamında idari işlem tesis edebilir. Ayrıca hukuka aykırı veri yayımı TCK’daki kişisel verilere ilişkin suçların unsurlarını taşıyorsa ceza hukuku yolu ayrıdır.

2026/1301 Kapsamında Kurumlar İçin Uyum Kontrol Listesi

1. İnternette yayımlanan tüm PDF, Excel, Word ve web sayfalarını kişisel veri açısından envanterleyin.
2. Her yayın için KVKK m.5 veya m.6 kapsamındaki işleme şartını yazılı olarak belirleyin.
3. Yayın amacı için gerekli olmayan veri alanlarını kaldırın.
4. T.C. kimlik numarası, telefon, adres ve hassas alanlarda maskeleme uygulayın.
5. Sınav ve kura sonuçlarında kişiye özel güvenli sorgu yöntemini değerlendirin.
6. Her içerik için yayında kalma süresi ve otomatik kaldırma tarihi belirleyin.
7. KVKK m.10 aydınlatmasını işleme faaliyetine özgü hazırlayın.
8. Web yönetim yetkilerini sınırlandırın ve kayıt altına alın.
9. Eski içerikleri geriye dönük tarayın; hukuki sebebi olmayanları kaldırın.
10. Web ve sosyal medya sorumlularına düzenli KVKK eğitimi verin.

Türkiye Geneli ve Mersin Uygulaması

2026/1301 sayılı İlke Kararı Türkiye’deki kamu tüzel kişiliğine sahip veri sorumluları için ülke genelinde geçerli bir çerçeve oluşturur. Mersin’deki belediyeler, kamu üniversiteleri ve diğer kamu tüzel kişileri de aynı KVKK yükümlülüklerine tabidir. Yerel kurumun kendi yönetmeliği veya duyuru alışkanlığı, 6698 sayılı Kanunun emredici ilkelerini ortadan kaldırmaz.

Mersin’de sınav, kura, sosyal yardım, personel alımı veya belediye hizmetine ilişkin bir listede gereksiz kişisel veri yayımlanmışsa öncelikle kurumun veri sorumlusu başvuru kanalı kullanılmalıdır. Başvuru ve şikâyet süreleri kurumun bulunduğu ile göre değişmez.

İç Bağlantılar

• KVKK Başvurusuna Kaç Günde Cevap Verilir?
• Kişisel Veri İhlali Kaç Saat İçinde Bildirilir?
• KVKK Aydınlatma Metni
• Gizlilik ve Çerez Politikası

Sık Sorulan Sorular

Belediye T.C. kimlik numarasını internet sitesinde yayımlayabilir mi?

Yalnız geçerli bir işleme şartı ve yayın bakımından zorunluluk varsa, KVKK m.4’teki ölçülülük ilkesi gözetilerek işlem yapılabilir. Tam T.C. kimlik numarasının açık yayımı amaç için zorunlu değilse yayımlanmamalı veya etkili biçimde maskelenmelidir.

Üniversite sınav sonuçlarını isim isim yayımlayabilir mi?

İlan yükümlülüğü bulunsa bile yayımlanacak veri kapsamı amaçla sınırlı olmalıdır. 2026/1301 sayılı karar, mümkün olduğunda yalnız adayın kendi sonucuna erişebildiği güvenli sistemlerin tercih edilmesini öngörür.

KPSS puanı kişisel veri midir?

Evet. Kişiyle ilişkilendirilebilir KPSS puanı kişisel veridir ve KVKK kapsamında işlenir.

Eski sınav sonuçları yıllarca internette kalabilir mi?

Yalnız ilgili mevzuat veya işleme amacı yayında kalmayı gerektirdiği süre boyunca tutulabilir. Amaç sona erdiğinde açık internet yayını kaldırılmalıdır.

İsim yerine başvuru numarası yazmak yeterli midir?

Başvuru numarası tek başına kişiyi belirlemiyorsa riski azaltır. Ancak diğer verilerle kolayca eşleştirilip kişi belirlenebiliyorsa kişisel veri niteliği devam eder.

Kamu kurumu açık rıza almak zorunda mı?

Her işlem için açık rıza zorunlu değildir. KVKK m.5 veya m.6’daki başka bir işleme şartı varsa o şart kullanılabilir. Buna rağmen m.4 ilkelerine uyulması zorunludur.

Veri yayımlandıktan sonra silmek ihlali ortadan kaldırır mı?

Kaldırma ileriye dönük riski azaltır; önceki hukuka aykırı yayın varsa bu geçmiş işlemi kendiliğinden hukuka uygun hâle getirmez.

Arama motorunda kalan eski kayıt için ne yapılır?

Önce kaynak sayfa kaldırılmalı veya düzeltilmelidir. Ardından indeks/önbellek kaldırma için teknik süreç işletilebilir. Veri sorumlusu kendi kontrolündeki tedbirleri almakla yükümlüdür.

Kurum PDF içindeki kişisel veriden de sorumlu mudur?

Evet. PDF, Excel, Word veya görsel dosyanın internete yüklenmesi de kişisel veriyi açıklama ve erişilebilir kılma işlemidir.

KVKK başvurusuna cevap süresi kaç gündür?

KVKK m.13 uyarınca veri sorumlusu başvuruyu en geç otuz gün içinde sonuçlandırır.

Kurula şikâyet süresi nedir?

Cevabın öğrenilmesinden itibaren otuz gün ve her hâlde veri sorumlusuna başvuru tarihinden itibaren altmış gün içinde şikâyet edilir.

2026/1301 özel şirketlere de uygulanır mı?

İlke Kararının doğrudan konusu kamu tüzel kişiliğini haiz veri sorumlularıdır. Özel şirketler bakımından da KVKK m.4, 5, 6, 10 ve 12 hükümleri aynen uygulanır.

Resmî Kaynaklar

• Kişisel Verileri Koruma Kurulu 01.07.2026 tarih ve 2026/1301 sayılı İlke Kararı.
• 6698 sayılı KVKK m.3, 4, 5, 6, 10, 11, 12, 13, 14, 15 ve 18.
• Kişisel Verileri Koruma Kurumu
• Resmî Gazete
• Mevzuat Bilgi Sistemi

Sonuç

Kamu kurumunun kişisel veriye sahip olması, veriyi sınırsız biçimde internete koyma yetkisi vermez. 2026/1301 sayılı İlke Kararı; hukuki sebep, veri minimizasyonu, ölçülülük, sınırlı yayın süresi, aydınlatma ve veri güvenliğini kamuya açık web yayınlarının zorunlu unsurları hâline getirmiştir. Gereksiz alanlar kaldırılmalı, ihtiyaç varsa maskeleme uygulanmalı ve mümkün olan işlemlerde kişiye özel güvenli erişim tercih edilmelidir.

Hukuki konu hakkında iletişim

İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.

Telefonla AraWhatsAppİletişim Bilgileri

Av. Halil Bakırcı tarafından hazırlanmış, Av. Emirhan Keskin tarafından incelenmiştir.

Yazar Bilgisi

Avukat Halil BAKIRCI, Mersin Barosu 3472 sicil numarasına kayıtlıdır. Bakırcı & Keskin Hukuk Bürosu bünyesinde ceza, aile, iş, gayrimenkul ve ticaret hukuku alanlarında hukuki danışmanlık ve dava takibi sunmaktadır.

İnceleyen: Av. Emirhan Keskin · Mersin Barosu Sicil No: 5507

Av. Halil Bakırcı profilini inceleyin →