KVKK yeni unsurlar belirledi: KPSS Puanı ve İmtihan Sonuçları İnternette Artık Bu türlü Paylaşılacak

0

BEĞENDİM

ABONE OL

News

0

Kişisel Verileri Koruma Kurulu’nun (Kurul) 1 Temmuz 2026 tarihli ve 2026/1301 sayılı prensip kararı, 28 Temmuz 2026 tarihli ve 33323 sayılı Resmi Gazete’de yayımlandı. Karar, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 15’inci maddesinin altıncı fıkrasında yer alan, ihlalin yaygın olduğunun tespit edilmesi halinde Kurulun unsur kararı alma yetkisine dayanıyor.

Hangi bilgiler nasıl yayımlanıyordu?

Kurul; belediyeler, il özel yönetimleri ve üniversiteler başta olmak üzere kamu hukuksal kişiliğini haiz kurumların, kendi vazife ve yetki alanlarındaki faaliyetler kapsamında internet sitelerinde yayımladığı dokümanlarda çok sayıda şahsî bilgiye yer verildiğini tespit etti.

Bu evraklarda ad-soyad, anne ve baba ismi, yaş, T.C. kimlik numarası, adres, cep telefonu numarası, doğum yeri, meslek, vazife yeri, unvan/statü, hizmet yılı, sicil numarası, çalışılan ünite, askerlik durumu ve tahsil durumu üzere bilgilerin yanı sıra; müracaat numarası, KPSS puanı, kabul/ret ve başarı/başarısızlık durumu, mezun olunan okul, sınavdaki doğru/yanlış/net sayısı, başvurulan konum, aday ve öğrenci numarası, imtihana girememe/kabul edilmeme sebebi, asil-yedek bilgisi, eksik evrak durumu ve hatta eski hükümlü olma durumu üzere bilgilerin yer alabildiği vurgulandı.

Kurul, şahsî data içeren bir evrakın internette yayımlanmasını başlı başına bir “kişisel bilgi sürece faaliyeti” olarak kıymetlendirdi. Buna nazaran kelam konusu paylaşımların 6698 sayılı Kanun’a ve ikincil mevzuata uygun olması zarurî tutuldu.

Geçerli sürece koşulu yoksa paylaşım da yok

Karara nazaran şahsî bilgilerin internette paylaşılması, Kanun’un 5’inci maddesindeki (özel nitelikli datalar bakımından ise 6’ncı maddesindeki) geçerli bir sürece kaidesine dayanmak zorunda. Geçerli bir kaide bulunmadığı takdirde dataların internette yayımlanmaması gerekiyor.

Kurul ayrıyeten, geçerli bir sürece kaidesi bulunsa dahi Kanun’un 4’üncü maddesindeki genel unsurlara uyulmasının zarurî olduğunu belirtti. Bilhassa “amaçla irtibatlı, hudutlu ve ölçülü olma” unsuru gereği maksadı gerçekleştirecek taban seviyede data paylaşılması; gerekli olmayan bilgiler için imha, maskeleme ve gibisi tedbirlerin alınması gerekiyor. “İlgili mevzuatta öngörülen müddet kadar koruma edilme” unsuru uyarınca da paylaşımların ne kadar müddetle yapılacağının evvelce belirlenmesi ve müddet sonunda paylaşımlara son verilmesi öngörüldü.

Sınav ve kura sonuçlarına özel düzenleme

Memur adaylarını en çok ilgilendiren başlıklardan biri de imtihan ve kura sonuçlarının yayımlanma biçimi oldu. Karara nazaran, somut durumun gerektirmesi halinde ilgililerin kontrolüne imkan sağlayacak biçimde sırf ilgili imtihana, kuraya yahut faaliyete katılanların; bunu gerektirmeyen durumlarda ise sadece ilgili kişinin kendi imtihanına, kura sonucuna yahut sonuçlarına erişebileceği sistemler kullanılacak.

Bu kapsamda uygun e-devlet platformlarının yahut çift faktörlü doğrulama ile kimlik teyidi yapılmasını sağlayacak metot ve araçların kullanılması uygun görüldü. Böylelikle herkesin görebileceği listeler yerine, kişinin kimliğini doğrulayarak sadece kendisine ilişkin sonuca ulaşabildiği bir yapıya geçilmesi hedefleniyor.

Mevcut paylaşımlar da gözden geçirilecek

Kurul, halihazırda internette yayımlanmış olan şahsî dataların veri sorumlularınca acilen gözden geçirilmesini istedi. Geçerli bir sürece kuralına dayanmayan yahut genel prensiplere terslik taşıyan paylaşımların internetten kaldırılması ya da bunlar üzerinde maskeleme ve gibisi düzenlemelerin yapılması gerekiyor. Verilerin işlenmesini gerektiren nedenler ortadan kalkmışsa, ilgili mevzuat uyarınca imha edilmesi öngörüldü.

Kararda ayrıyeten kurumların, Kanun’un 10’uncu maddesi kapsamındaki aydınlatma yükümlülüğünü yerine getirmesi, 12’nci maddesi kapsamında gerekli teknik ve idari önlemleri alması ve başta ilgili platformların kullanımından sorumlu çalışanlar olmak üzere çalışana yönelik farkındalık eğitimleri düzenlemesi gerektiği belirtildi.

Kurul, bu unsurların sadece internet sitelerini değil; kurum içi ve kurumlar arası yazışmaları, e-posta mesajlarını, duyuruları, panoları ve duyuru tahtalarını da kapsadığının altını çizdi.

Tedbir almayan kurumlar hakkında süreç yapılacak

Alınması gereken tedbirlerin alınmadığının tespit edilmesi halinde Kurulun, inceleme yetkisi kapsamında somut olay değerlendirmesi yaparak ilgili data sorumluları hakkında 6698 sayılı Kanun’un 18’inci maddesi kararları gereği süreç tesis edeceği kaydedildi.

İlke kararı, Resmi Gazete’nin yanı sıra Kişisel Verileri Koruma Kurumunun internet sitesinde de yayımlandı.