Sınav ve Kura Sonuçlarında Yeni Dönem Başlıyor, Kamu Kurumlarının Yıllardır Yaptığı Uygulamaya Sınır Geldi

Bir kamu kurumunun personel alımı sonuçlandığında, kurumun internet sitesinde yayımlanan listede yalnızca kazananların adı yer almıyordu. Aynı belgede çoğu zaman adayların KPSS puanı, mezun oldukları okul, asil mi yedek mi olduğu, hatta eksik evrak durumu da açık şekilde görülebiliyordu. Kişisel Verileri Koruma Kurulu, bu yaygın uygulamaya sınır getiren ilke kararını yayımladı.

Kurulun 01/07/2026 tarihli ve 2026/1301 sayılı "Kamu Tüzel Kişiliğini Haiz Veri Sorumluları Tarafından Kişisel Verilerin İnternet Ortamında Paylaşılması Hakkında İlke Kararı", 28 Temmuz 2026 tarihli ve 33323 sayılı Resmi Gazete'de yayımlanarak yürürlüğe girdi. Karar; belediyeler, il özel idareleri ve üniversiteler başta olmak üzere kamu tüzel kişiliğini haiz tüm veri sorumlularını kapsıyor.

Karar Hangi Yetkiye Dayanıyor?

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 15'inci maddesinin altıncı fıkrası, şikâyet üzerine veya resen yapılan inceleme sonucunda ihlalin yaygın olduğunun tespit edilmesi hâlinde Kurulun bu konuda ilke kararı alıp yayımlamasını öngörüyor. Kanunun 22'nci maddesinin birinci fıkrasının (e), (f) ve (g) bentleri ise Kurula; görev alanı ile Kurumun işleyişine ilişkin konularda, veri güvenliğine ilişkin yükümlülükleri belirlemek amacıyla ve veri sorumlusu ile temsilcisinin görev, yetki ve sorumluluklarına ilişkin düzenleyici işlem yapma yetkisi veriyor.

Kurul, kişisel veri içeren bir belgenin internet ortamında yayımlanmak suretiyle duyurulması durumunda, kişisel verilerin açıklanması ve bu yolla üçüncü taraflarca elde edilebilir hale getirilmesi sonucu doğduğunu belirtti. Karara göre internette yayımlanan belgelerin kişisel veri içermesi hali, başlı başına bir kişisel veri işleme faaliyetinin varlığına işaret ediyor.

Kurumların Yayımladığı Belgelerde Hangi Veriler Yer Alıyordu?

Kararda, kamu tüzel kişiliğini haiz veri sorumlularının kendi görev ve yetki alanlarında yürüttükleri faaliyetler kapsamında internet sitelerinde yayımladıkları belgelerde tespit edilen kişisel veriler tek tek sıralandı:

• Ad, soyad, anne adı, baba adı, yaş, T.C. kimlik numarası, adres, cep telefonu numarası, doğum yeri
• Meslek, uzmanlık alanı, görev yeri, unvan/statü, hizmet yılı, sicil numarası, çalışılan birim
• Askerlik durum bilgisi, öğrenim durumu, mezun olunan okullara ilişkin bilgi
• Kamu kurumlarınca gerçekleştirilen kuralara konu olan taşınmaz bilgileri (ada/parsel vb.)
• Çeşitli sınavlar kapsamında işlenen başvuru numarası, KPSS puanı, kabul/ret ya da başarı/başarısızlık durumuna ilişkin bilgi
• Girilen sınava ilişkin doğru/yanlış/net sayısı ve başarı puanı gibi bilgiler
• Başvuru yapılan pozisyon, aday numarası, öğrenci numarası
• Sınava girememe/kabul edilmeme nedeni, sınava katılım durum bilgisi
• Asil-yedek bilgisi, eksik evrak bilgisi ve eski hükümlü olma durumu

Kurul, bu tür paylaşımların 6698 sayılı Kanun hükümlerine ve ikincil mevzuata uygunluğunun sağlanmasının zorunlu olduğunu vurguladı.

Geçerli Bir İşleme Şartı Yoksa Paylaşım da Yapılmayacak

Karara göre internet ortamında kişisel verilerin paylaşılmasının, 6698 sayılı Kanun'un 5'inci maddesinde; özel nitelikli kişisel veriler bakımından ise 6'ncı maddesinde yer verilen geçerli bir kişisel veri işleme şartına veya şartlarına dayanması gerekiyor. Geçerli bir işleme şartının mevcut olmaması halinde, veri sorumluları tarafından kişisel verilerin internet ortamında paylaşılmaması uygun olacak.

Geçerli bir işleme şartı bulunması durumunda dahi -örneğin bir mevzuat hükmüne dayanması nedeniyle "kanunlarda açıkça öngörülmesi" veya "veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması" şartlarının mevcut olması ya da diğer işleme şartlarına dayanılması durumunda- Kanun'un 4'üncü maddesinde düzenlenen genel ilkelere uygun hareket edilmesi zorunlu tutuldu.

Genel İlkeler Ne Getiriyor?

Kurul, iki genel ilkenin uygulanmasına özel olarak dikkat çekti.

Amaçla bağlantılı, sınırlı ve ölçülü olma: Bu ilkeye uyumun sağlanmasını teminen amacın gerçekleşmesini sağlayacak minimum düzeyde kişisel veri paylaşılması, amacın gerçekleşmesi bakımından gerekli olmayan kişisel verilere internet ortamında yer verilmemesi ve bu kapsamda gerekli imha, maskeleme ve benzeri önlemlerin veri sorumluları tarafından alınması önem arz ediyor.

İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme: Bu ilke uyarınca kişisel veri içeren paylaşımların ne kadar süre ile paylaşılacağının önceden belirlenmesi ve ilgili süreler sonunda paylaşımlara son verilmesi adına gerekli iş ve işlemlerin veri sorumlularınca tesis edilmesi gerekiyor.

Sonuç Listelerinde Herkesin Adını Görme Dönemi Değişiyor

Kararın kamu personeli adaylarını doğrudan etkileyen bölümü, sınav ve kura sonuçlarının paylaşımına ilişkin. Kurul, sınav sonucu, kura sonucu ve benzeri durumlarda somut durumun gerektirmesi halinde ilgililerin denetimine olanak verecek şekilde yalnızca sınava, kuraya veya ilgili faaliyete katılım sağlayanların; somut olayın bunu gerektirmemesi halinde ise yalnızca ilgili kişinin kendi sınavına, kura sonucuna veya ilgili faaliyete ait sonuçlara erişebileceği bir yapı öngördü.

Yine genel ilkelere uygun önlemlerin alındığı yöntemlerle paylaşımların yapılabileceği belirtilirken, bu gibi hallerde uygun e-Devlet platformlarının veya çift faktörlü doğrulama ile kimlik teyidi yapılmasını sağlayacak yöntem ve vasıtaların kullanılmasının uygun olacağı kaydedildi.

Bu düzenleme, kurum internet sitelerinde herkese açık şekilde yayımlanan ve adayların birbirlerinin puanlarını görebildiği asil-yedek listelerinin yerini, kimlik doğrulamasıyla erişilen kişiye özel sonuç ekranlarının almasının önünü açıyor.

Halihazırda Yayımlanmış Belgeler de Kapsamda

Karar yalnızca bundan sonraki paylaşımlarla sınırlı değil. Kurul, mevcut durumda internet ortamında paylaşılan kişisel verilerin veri sorumluları tarafından ivedilikle gözden geçirilmesini istedi. Geçerli bir işleme şartına dayanmayan ve genel ilkelere uygunluk arz etmeyen paylaşımların internet ortamından kaldırılması veya bunlar üzerinde maskeleme ve benzeri düzenlemelerin yapılması gerekiyor.

Söz konusu paylaşımlarda yer alan kişisel verilerin işlenmesini gerektiren sebeplerin ortadan kalkmış olması halinde ise 6698 sayılı Kanun'un 7'nci maddesi hükümleri ile 28.10.2017 tarihli ve 30224 sayılı Resmi Gazete'de yayımlanarak 01.01.2018 tarihinde yürürlüğe giren Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik hükümlerine uygun olarak kişisel verilerin imha edilmesine ilişkin gerekli iş ve işlemlerin gerçekleştirilmesi uygun görüldü.

Aydınlatma, Veri Güvenliği ve Personel Eğitimi Yükümlülüğü

Kararda kurumlara üç ayrı yükümlülük daha hatırlatıldı. İnternet ortamında paylaşılacak kişisel verilere ilişkin olarak Kanun'un 10'uncu maddesinden kaynaklanan aydınlatma yükümlülüğünün, ilgili madde hükmüne ve 10 Mart 2018 tarihli ve 30356 sayılı Resmi Gazete'de yayımlanarak yürürlüğe giren Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ hükümlerine uygun şekilde yerine getirilmiş olması bekleniyor. Aydınlatmanın yerine getirildiğinin ispatı ise veri sorumlusuna ait.

Kanun'un 12'nci maddesi kapsamında veri sorumlularınca veri güvenliğine ilişkin gerekli idari ve teknik tedbirlerin alınması gerekiyor. Kurul bu noktada önemli bir tespitte bulundu: kişisel verilerin internet ortamında paylaşılması suretiyle gerçekleşen bir işleme faaliyeti, verilerin daha sınırlı bir ortamda ve daha sınırlı sayıda kişi ile paylaşılmasına kıyasla daha fazla veri güvenliği riski barındırıyor. Veri sorumluları ayrıca kendi organizasyonunda Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmakla ve yaptırmakla yükümlü.

Paylaşımların yoğun olarak internet siteleri ve sosyal medya platformları vasıtasıyla gerçekleştirildiği dikkate alınarak, veri sorumluları bünyesinde söz konusu platformların kullanılmasından sorumlu çalışanlar başta olmak üzere tüm çalışanların kişisel verilerin korunması mevzuatı ve uygulamada dikkat edilmesi gereken hususlar hakkında bilgi ve farkındalıklarının artırılmasını sağlayacak eğitim ve farkındalık çalışmalarının yürütülmesi gerektiği belirtildi.

Kural Sadece İnternet Siteleri İçin Geçerli Değil

Kurul, kamu tüzel kişiliğini haiz veri sorumluları tarafından kişisel veri içeren paylaşımların yalnızca internet ortamında yapılmadığına dikkat çekti. Bu minvalde kurum içi veya kurumlar arası yazışmalar, e-posta iletileri, duyurular, kurum içinde kullanılan kapalı elektronik ortamlar, pano ve ilan tahtası gibi vasıtalarla yapılan kişisel veri paylaşımları kapsamında da aynı hususlara riayet edilmesi gerekiyor.

Kararda, yukarıda belirtilen hususların 6698 sayılı Kanun'un 12'nci maddesinin birinci fıkrası uyarınca kişisel verilerin hukuka aykırı işlenmesini önlemek, kişisel verilere hukuka aykırı erişilmesini önlemek ve kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik alınması gereken teknik ve idari tedbirlerden olduğu vurgulandı.

Önlem Almayan Kurumlar Hakkında İşlem Yapılacak

Söz konusu önlemlerin alınmadığının tespiti halinde Kurulun inceleme yetkisi kapsamında somut olay değerlendirmesi yapılmak suretiyle, ilgili veri sorumluları hakkında 6698 sayılı Kanun'un 18'inci maddesi hükümleri gereği işlem tesis edileceği kaydedildi.

Kurul, bu hususlarda kamuoyunun bilgilendirilmesine ve 6698 sayılı Kanun'un 15'inci maddesinin altıncı fıkrası hükmü uyarınca ilke kararı alınmasına, kararın Resmi Gazete'de ve Kurumun internet sitesinde yayımlanmasına oybirliği ile karar verdi.

Kararın kamu kurumlarının işe alım süreçlerine pratikte nasıl yansıyacağı, kurumların önümüzdeki dönemde yayımlayacağı sonuç duyurularıyla netleşecek. Konuya ilişkin gelişmeleri sitemizden takip edebilirsiniz.