KVKK'nın Yeni Veri Minimizasyonu Kararı: Özel Şirketleri de Bağlar mı?

28 Temmuz 2026 tarihli Resmi Gazete’de bir KVKK ilke kararı yayımlandı: 1 Temmuz 2026 tarihli, 2026/1301 sayılı karar, kamu tüzel kişiliğini haiz veri sorumlularının kişisel verileri internet ortamında nasıl paylaşabileceğini sıkı kurallara bağlıyor. Karar metninde geçen kelime net: “kamu.” Ama bu hafta üç ayrı müşteriden aynı soruyu duydum — “biz de aynı şekilde mi davranmalıyız?”

Kısa cevap: Karar sizi doğrudan bağlamıyor. İçindeki ilke ise zaten bağlıyordu.

Karar tam olarak ne getiriyor?

2026/1301 sayılı ilke kararı, kamu kurumlarının web sitelerinde yayımladığı T.C. kimlik numarası, sınav sonucu, telefon, ad-soyad, adres, doğum tarihi ve yeterlilik bilgisi gibi verilere üç net sınır koyuyor.

• Ölçülülük: Amaç için gerekenden fazla veri paylaşılamaz; mümkün olan yerde maskeleme, anonimleştirme veya silme uygulanır.
• Süre sınırı: Yayınlanan veri için önceden belirlenmiş bir saklama süresi olmalı. Hukuki sebep ortadan kalkınca veri kaldırılır ya da anonimleştirilir.
• Erişim daraltma: Sınav sonucu gibi kişiye özel bilgiler herkese açık ilan yerine e-Devlet ya da iki faktörlü kimlik doğrulama üzerinden, yalnızca ilgilisine gösterilmeli.

Kurum ayrıca teknik ve idari tedbir alma ile çalışanlara düzenli eğitim verme yükümlülüğünü hatırlattı. Aykırılık tespit edilirse 6698 sayılı Kanun kapsamında inceleme ve idari yaptırım süreci başlatılabileceğini de yazıya geçirdi.

Kapsam kamu, ilke herkese uygulanıyor

Kararın muhatabı belirsiz değil: “kamu tüzel kişiliğini haiz veri sorumluları.” Özel bir lojistik firmasının ya da mali müşavirlik bürosunun web sitesi bu kararla doğrudan denetlenmiyor. Kurul yeni bir yaptırım kalemi de açmadı — mevcut bir ilkeyi kamu için somutlaştırdı.

O ilke 6698 sayılı Kanun’un 4. maddesinde zaten duruyor: kişisel veriler “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü” olmalı. Bu madde veri sorumlusunun kamu ya da özel olmasına bakmıyor, hepsine uygulanıyor. Kurul’un kamu için somutlaştırdığı örnekler — T.C. kimlik no paylaşımı, süresiz arşiv, herkese açık sınav sonucu — özel sektör sitelerinde de sık rastladığım hatalar.

Sahada gördüklerim şöyle: kariyer sayfasında aday öz geçmişi genel erişime açık bir klasörde duruyor, referans sayfasında müşteri telefon numarası ve e-postası birlikte yayında, etkinlik kayıt listesindeki katılımcı bilgileri Excel dosyası olarak sitede kalmış. Bunların hiçbiri kamu kurumu değil. Ama bir denetimde ya da veri ihlali bildiriminde aynı 4. madde referans gösterilir; kararın kamuya yazdığı gerekçe, sizin sitenizdeki aynı hatayı da açıklar.

Web sitenizde	Riskli mi?	Ne yapılmalı
Kariyer sayfasında aday CV’si genel erişime açık	Evet	Şifreli/özel erişim, süreli otomatik silme
Referans/vaka çalışmasında müşteri telefon+e-posta tam yayında	Evet	İsim ve unvan yeterli; iletişim bilgisi kaldırılsın
Etkinlik/webinar katılımcı listesi herkese açık sayfada	Evet	Liste yalnızca giriş yapan kullanıcıya gösterilsin
Blog yazarı biyografisi (ad, unvan, LinkedIn linki)	Hayır	Kamuya açık meslek bilgisi, minimizasyon kapsamı dışı

Kamu ile aranızdaki fark yaptırım mekanizması

Kamu kurumu bu kararı ihlal ederse doğrudan bu ilke kararına atıfla işlem görür. Özel şirket aynı hatayı yaparsa süreç biraz farklı işler: bir şikâyet ya da veri ihlali bildirimi geldiğinde, incelemeyi yürüten uzman aynı 4. madde metnine bakar ve “ölçülülük ilkesine aykırılık” gerekçesiyle rapor yazar. Sonuç pratikte benzer — idari para cezası ya da düzeltici işlem talebi. Yalnızca dayanak gösterilen metin farklı; ilke aynı.

Bu yüzden kararı “bizi ilgilendirmiyor, kamu için” diye kapatmak yanlış bir rahatlama. Kurul’un üç yıldır kamu-özel ayrımı yapmadan aynı ölçülülük ve süre sınırlaması vurgusunu tekrarladığını görüyorum; bir sonraki ilke kararının doğrudan özel sektörü hedeflemesi sürpriz olmaz.

Sık sorulan sorular

Bu karar özel şirketler için idari para cezası getiriyor mu? Hayır, karar doğrudan kamu tüzel kişiliğini haiz veri sorumlularına yönelik. Özel şirketler için ayrı bir yaptırım kalemi açmıyor; ama aynı davranış zaten 6698 sayılı Kanun’un 4. maddesi kapsamında değerlendirilebilir.

Web sitemdeki veri kategorisini değiştirirsem VERBİS’e bildirmem gerekir mi? Evet, yayımladığınız veri kategorisi ya da saklama süreniz değiştiyse VERBİS’e yedi gün içinde bildirim yapmanız gerekiyor.

Maskeleme mutlaka teknik bir yazılım mı gerektiriyor? Hayır. Ad yerine baş harf, T.C. kimlik no yerine son dört hane, tam adres yerine ilçe düzeyinde bilgi de maskeleme sayılır.

Kararın tam metnini nereden okuyabilirim? kvkk.gov.tr üzerindeki İlke Kararları sayfasında, 2026/1301 sayı ve 1 Temmuz 2026 tarihiyle yayımlı.

Bu hafta yapılacaklar

Web sitenizdeki kariyer, referans ve etkinlik sayfalarını “bu veri neden burada, ne zaman kaldırılacak” sorusuyla tek tek gözden geçirin. Bir yıldan uzun süredir sitede duran ve hâlâ net bir amaca hizmet ettiğini söyleyemediğiniz veri varsa, o veri kalmamalı. Kamu için yazılan bu karar aslında herkese aynı ödevi hatırlatıyor.

Web sitenizdeki kişisel veri paylaşımını ve VERBİS uyumunuzu birlikte gözden geçirmek isterseniz bize ulaşın.