Kişisel Veri Paylaşımı: KVKK İlke Kararı Ne Değiştiriyor?
Türkiye’de dijitalleşme, e-Devlet kapısının başarısıyla birlikte hızlı bir ivme kazandı. Ancak bu hız, önemli bir mahremiyet ve güvenlik zafiyetini de beraberinde getirdi. Yıllar boyunca bakanlıklardan belediyelere, üniversitelerden il özel idarelerine kadar pek çok kamu kurumu, şeffaflık ilkesini yerine getirmek adına oldukça riskli bir yol izledi: sınav sonuçlarını, personel alım listelerini, kura çekimlerini ve atama kararlarını hiçbir koruma önlemi olmadan doğrudan PDF veya Excel formatında internet sitelerine yükledi.
İlk bakışta masum görünen bu idari alışkanlık, siber güvenlik ve veri mahremiyeti açısından aslında ciddi bir risk kaynağıydı. Arama motorlarında basit sorgularla on binlerce vatandaşın T.C. Kimlik Numarasına, ad-soyadına, baba adına ve iletişim bilgilerine ulaşmak mümkün hale gelmişti.
28 Temmuz 2026 tarihli Resmî Gazete’de yayımlanan 2026/1301 sayılı KVKK İlke Kararı, bu gidişata net bir sınır çekiyor. Bu yazıda, kararın hukuki temelleri, engellemeyi hedeflediği siber güvenlik riskleri ve kurumların hayata geçirmesi gereken alternatif teknik çözümler ele alınıyor.
KVKK 2026/1301 Sayılı İlke Kararı Ne Diyor?
Kişisel Verileri Koruma Kurulunun 2026/1301 sayılı kararı, birikmiş şikâyetlerin, ihbarların ve veri ihlali bildirimlerinin idari düzeydeki karşılığı niteliğinde. Karar, istisnasız tüm kamu kurum ve kuruluşlarını, kamu kurumu niteliğindeki meslek kuruluşlarını ve kamu tüzel kişiliğine sahip diğer veri sorumlularını bağlıyor.
Kararın özü şu şekilde özetlenebilir: bir kamu kurumu, mevzuat gereği bir sürecin (sınav, atama, kura vb.) sonuçlarını yayımlamak zorunda olsa dahi, bu yayımlama ilgili kişilerin temel hak ve özgürlüklerini ihlal edecek şekilde, yani açık listeler hâlinde yapılamıyor. Kurul, aleniyet ile kişisel verilerin korunması arasındaki dengenin uzun süredir aleniyet lehine bozulduğunu tespit etti. Karar, T.C. kimlik numaraları başta olmak üzere kişileri doğrudan veya dolaylı olarak belirlenebilir kılan verilerin, arama motorları tarafından indekslenebilecek toplu listeler hâlinde sunulmasını açıkça yasaklıyor.
Sorunun Kökeni: Aleniyet İlkesinin Yanlış Uygulanması
İdare hukukunun temel ilkelerinden biri şeffaflık ve aleniyettir. Bir sınav veya mülakat sonucunun açıklanması, sürece dahil olan diğer adayların da sonuçları görebilmesi (itiraz hakkının kullanılabilmesi için) mevzuat gereği zorunludur. Ancak kamu kurumlarındaki yazılım ve web yönetim ekipleri bu zorunluluğu genellikle en düşük maliyetli yoldan çözmeyi tercih etti: “Excel tablosunu PDF’e çevir, web sitesinin duyurular sekmesine yükle.”
Bu yaklaşım, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 4. maddesindeki genel ilkelere aykırı. Kanun, verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasını şart koşuyor. Bir adayın sınavı kazanıp kazanmadığını duyurmak meşru bir amaç. Ancak bu amacı gerçekleştirmek için adayın 11 haneli TCKN’sini, doğum tarihini ve ana-baba adını herkesin erişimine açmak ölçülülük ilkesinin açık bir ihlali. Aleniyet, veriyi tüm internete yaymak anlamına gelmiyor; aleniyet, ilgili taraflara gerekli bilgiyi güvenli bir şekilde sunabilmek demek.
Google Dorking ve OSINT: Açık Listelerin Gerçek Maliyeti
Bu tür açık kaynak veri sızıntılarının boyutu, uygulamalı örneklerle gösterildiğinde daha net anlaşılıyor. Hiçbir özel hacker aracına, karanlık ağ forumuna veya sızdırılmış veri tabanına ihtiyaç kalmadan, Google üzerinde çalıştırılan basit bir sorgu, içinde 11 haneli sayı barındıran ve “TC” ibaresi geçen binlerce dokümanı saniyeler içinde ortaya çıkarabiliyor.
Siber güvenlik terminolojisinde “Google Dorking” olarak bilinen bu yöntemle, `site:gov.tr filetype:pdf “T.C. Kimlik No”` benzeri sorgular yazılarak kamu kurumlarının sunucularında unutulmuş, yıllar öncesine ait açık listeler kolayca bulunabiliyor. Bu tür paylaşımlar genellikle satır ve sütun düzeninde, yapısal bir formatta sunulduğu için veri kazıma (web scraping) botları tarafından da rahatlıkla okunup ayrıştırılabiliyor. Basit bir Python betiğiyle gov.tr uzantılı sitelerdeki duyuru PDF’lerini toplu indirmek, içlerindeki TCKN, ad-soyad ve puan verilerini çekerek geniş bir açık kaynak istihbaratı (OSINT) veri tabanı oluşturmak mümkün hale geliyor.
Veri Zenginleştirme ve Zıpkınlama Saldırıları
Kamu kurumlarının internet sitelerinde kişisel veri paylaşımının yarattığı risk yalnızca TCKN’nin öğrenilmesiyle sınırlı kalmıyor. Asıl tehlike, “veri zenginleştirme” (data enrichment) sürecinde ortaya çıkıyor. Bir kurumun sitesinden elde edilen TCKN ve isim listesi, başka bir kurumun kura sonucundan elde edilen adres bilgisiyle ve farklı bir veri sızıntısından bulunan e-posta adresiyle birleştirildiğinde, hedef kişi hakkında oldukça eksiksiz bir profil ortaya çıkıyor.
Bu profil, zıpkınlama (spear-phishing) saldırıları için güçlü bir malzeme sağlıyor. Standart bir oltalama e-postası “Sayın kullanıcı, hesabınız kilitlendi” derken, açık listelerden beslenen bir zıpkınlama e-postası çok daha inandırıcı bir dil kullanabiliyor: sınav tarihini, alınan puanı ve atama durumunu doğru şekilde bilen, kişiye özel bir mesaj. Böyle bir e-postanın inandırıcılık oranı oldukça yüksek. Hele bu tür saldırıların kritik altyapılarda (ICS/OT ortamlarında) veya büyük şirketlerde çalışan personeli hedeflediği düşünüldüğünde, tek bir çalışanın zafiyeti, kurumun tüm ağ yapısının fidye yazılımıyla (ransomware) şifrelenmesine kadar uzanan bir zincire dönüşebiliyor. Dolayısıyla kamu sitelerindeki bu açık listeler, sadece bir mahremiyet sorunu değil, aynı zamanda ciddi bir siber güvenlik açığı oluşturuyordu.
KVKK Madde 4 ve Ölçülülük İlkesi
2026/1301 sayılı kararın hukuki temelini “ölçülülük” ilkesi oluşturuyor. Ölçülülük ilkesi elverişlilik, gereklilik ve orantılılık olmak üzere üç alt başlıktan oluşuyor. Açık liste yayımlamak amaca belirli ölçüde elverişli olabilir, çünkü aday durumunu öğrenebiliyor. Ancak gerekli değil, çünkü aynı bilgiyi adaya ulaştırmanın çok daha az müdahaleci yöntemleri mevcut. Aynı şekilde, sağlanan fayda (kolay duyuru yapma) ile ortaya çıkan zarar (kişisel verilerin ifşası) arasındaki fark oldukça büyük olduğundan, uygulama orantılı da sayılmıyor. Karar, idarelere net bir mesaj veriyor: iş kolaya geldiği için değil, hukukun ve güvenliğin gerektirdiği şekilde yapılmalı.
Alternatif ve Güvenli Mimari Modeller
İlke kararı, kurumları sadece yasakla baş başa bırakmıyor, Kişisel Veri Paylaşımı sorununun çözümü için teknik alternatiflere de işaret ediyor. Kurumların, açık PDF ve Excel dosyalarını terk ederek “tasarımdan itibaren gizlilik” (privacy by design) prensibine uygun mimarilere geçmesi gerekiyor. Aşağıdaki tablo, mevcut yöntemle uygulanması gereken alternatifleri karşılaştırıyor.
| Mimari Yaklaşım | Teknik Uygulama | Güvenlik ve Uyum Değerlendirmesi |
|---|---|---|
| Geleneksel (Güvensiz) Yöntem | Sonuçların Excel veya aranabilir PDF formatında web sitesine açık statik dosya olarak yüklenmesi | KVKK ihlali. Arama motorları tarafından indekslenir, OSINT ve veri kazıma araçlarına tamamen açıktır, dosya yıllarca sunucuda kalabilir |
| Maskeleme (Pseudonymization) | Listelerin yayımlanması ancak kritik alanların yıldızlanması (örn. 123456***** / YU** EM* U**) | Sınırlı uyum sağlar. Algoritmik maskeleme yapılmazsa veri setleri başka kaynaklarla çaprazlanarak yeniden tanımlanabilir |
| Bireysel Sorgu Ekranları (API) | Adayın kendi TCKN’sini ve bir doğrulama kodunu girerek sonucunu çektiği dinamik ekranlar | Yüksek uyum sağlar. Rate-limiting uygulanmazsa kaba kuvvet (brute-force) saldırılarıyla veri sızdırılabilir |
| e-Devlet Entegrasyonu (SSO) | Adayların e-Devlet kapısı üzerinden, çift faktörlü kimlik doğrulama ile kendi profillerine giriş yapması | En yüksek güvenlik ve tam uyum. Veriler kurumun web sitesinde tutulmaz, merkezi ve güvenli bir SSO mimarisinden çekilir |
Bu tablo, kamu kurumlarının internet sitelerinde kişisel veri paylaşımı süreçlerinde ulaşılması gereken hedefin, e-Devlet entegrasyonu veya en azından güçlü bir doğrulama altyapısına sahip bireysel sorgu ekranları olduğunu gösteriyor.
Geçmişin Yükü: Unutulma Hakkı ve Legacy Veriler
2026/1301 sayılı kararın en zorlayıcı yönlerinden biri, yalnızca geleceğe değil geçmişe de müdahale etmesi. Karar, kurumlardan geçmişte yayımlanan ve artık hukuki geçerliliği kalmayan eski dosyaların tespit edilip yayından kaldırılmasını da istiyor.
Kamu kurumlarının web siteleri yıllar içinde defalarca el değiştiriyor, altyapılar taşınıyor, ancak eski duyuru dizinleri sunucuların derinliklerinde açık unutuluyor. Bu dosyaların güncelliğini yitirmesi, içerdikleri TCKN veya doğum tarihi gibi verilerin de güncelliğini yitirdiği anlamına gelmiyor; bu tür veriler kalıcı niteliktedir.
Dosyanın sunucudan silinmesi tek başına yeterli değil. Arama motorlarının önbelleğinde bu dosyalar aylarca kalmaya devam edebiliyor. Bu nedenle kurumların, web yöneticisi araçları (Google Search Console vb.) üzerinden URL kaldırma taleplerinde bulunması ve sunucu loglarını temizleyerek tam bir dijital temizlik yapması gerekiyor. Unutulma hakkı, artık vatandaşın talebini beklemeden kurumun kendiliğinden işletmesi gereken bir süreç haline geldi.
Tasarımdan İtibaren Gizlilik: Yapısal Değişim Zorunluluğu
Yapısal değişiklikler olmadan, tasarıma müdahale edilmeden kişisel verilerin etkin şekilde korunması mümkün olmuyor. Bir kurum, çalışanlarına sayfalarca bilgi güvenliği politikası imzalatsa da, sistem açık PDF yüklemeye izin verecek şekilde tasarlanmışsa, o veri er ya da geç sızıyor.
Tasarımdan itibaren gizlilik, sistemin mimarisinin insan hatasını en aza indirecek şekilde kurulması anlamına geliyor. Sınav modülü, sonucun bir Excel dosyası olarak dışarı aktarılmasına izin vermemeli; bunun yerine sonucu doğrudan adayın güvenli portalına bir API üzerinden otomatik olarak iletmeli. Güvenlik, sonradan eklenen bir yama değil, yazılım geliştirme yaşam döngüsünün en başından itibaren var olan bir temel taş olmalı. Bu ilke kararından sonra, kamuda yazılım ihalesi şartnamelerine bu tür güvenlik kontrollerinin standart olarak ekleneceği öngörülebilir.
Kamu Kurumları İçin Adım Adım Uyum Yol Haritası
Bu yapısal dönüşüm, karmaşık görünse de planlı bir proje yönetimiyle çözülebilir. Kurumların izleyebileceği adımlar şu şekilde sıralanabilir:
- Keşif ve zafiyet taraması: Kurumun sahip olduğu tüm domain ve alt domainlerde derinlemesine arama yapılmalı. Kendi sistemlere karşı OSINT araçları ve arama sorguları kullanılarak eski açık listeler tespit edilmeli.
- Acil temizlik ve URL kaldırma: Tespit edilen kişisel veri içeren tüm dosyalar (PDF, Excel, Word) sunucudan kalıcı olarak silinmeli. Arama motorlarına index kaldırma talepleri ivedilikle iletilmeli.
- Politika ve prosedür revizyonu: Kurum içi iletişim, insan kaynakları ve yazı işleri birimlerine, açık liste paylaşımının yasaklandığına dair net genelgeler yayımlanmalı.
- Mimari dönüşüm: Yazılım birimleri veya yüklenici firmalarla iletişime geçilerek, duyuru panoları statik dosya yükleme mantığından, TCKN ve doğrulama kodu ile çalışan dinamik sorgu ekranlarına dönüştürülmeli.
- Ağ ve API güvenliği: Yeni sorgu ekranlarına Captcha, rate-limiting ve WAF koruması eklenmeli, böylece botların TCKN deneyerek veri çekmesi engellenmeli.
Sonuç: Veri Mahremiyetinde Yeni Bir Dönem
Farklı dönemlerde çalıştırılan aynı Google sorgularında, toplu sınav paylaşımlarının kamu kurumlarının sayfalarından kademeli olarak kaldırılmaya başladığı görülüyor. Bu, siber güvenlik ekosistemi açısından olumlu bir gelişme.
Kişisel Verileri Koruma Kurulunun 2026/1301 sayılı İlke Kararı, şeffaflık kılıfı altında sürdürülen mahremiyet ihlallerine güçlü bir sınır çiziyor. Kamu kurumlarının internet sitelerinde kişisel veri paylaşımı pratiği, bu kararla birlikte alışılmış bir duyuru yönteminden sıyrılıp, güvenli ve insan haklarına saygılı bir mühendislik sürecine dönüşmek durumunda. Aleniyet, veriyi ortaya saçmak değil, ilgili kişiye güvenli bir şekilde ulaştırmak anlamına geliyor. Artık sorumluluk, bu yapısal dönüşümü gecikmeden hayata geçirmesi gereken idarelerin ve teknik ekiplerin elinde.
Sıkça Sorulan Sorular
2026/1301 sayılı ilke kararı hangi kurumları kapsıyor?
Karar, istisnasız tüm kamu kurum ve kuruluşlarını, kamu kurumu niteliğindeki meslek kuruluşlarını ve kamu tüzel kişiliğine sahip diğer veri sorumlularını kapsıyor. Bakanlıklar, belediyeler, üniversiteler ve il özel idareleri bu kapsamda değerlendirilebilir.
Karar geçmişte yayımlanmış eski dosyalar için de geçerli mi?
Evet. Karar, yalnızca bundan sonra yapılacak paylaşımları değil, geçmişte yayımlanmış ve hukuki geçerliliği kalmamış dosyaların da tespit edilerek yayından kaldırılmasını istiyor. Bu, kurumların vatandaş talebini beklemeden kendiliğinden harekete geçmesi gereken bir yükümlülük olarak öne çıkıyor.
Kurumlar aleniyet yükümlülüğünü nasıl yerine getirebilir?
Toplu listeler yerine, TCKN ve bir doğrulama kodu ile çalışan bireysel sorgu ekranları veya e-Devlet kapısı üzerinden çift faktörlü kimlik doğrulamalı SSO entegrasyonu tercih edilebilir. Bu yöntemler, ilgili kişinin kendi sonucuna erişmesini sağlarken, verinin toplu olarak arama motorlarınca indekslenmesini engeller.
Sadece dosyayı sunucudan silmek yeterli mi?
Hayır. Arama motorlarının önbelleğinde dosyalar aylarca kalmaya devam edebiliyor. Bu nedenle dosya silindikten sonra Google Search Console gibi araçlar üzerinden ayrıca URL kaldırma talebinde bulunulması ve sunucu loglarının temizlenmesi gerekiyor.
Kararın tam metni için: Resmî Gazete, 2026/1301 sayılı KVKK İlke Kararı