Vatandaş Verisini Koruyun: Kamuda KVKK ve Gizlilik
Kamu çalışanları, vatandaşların en hassas verilerine erişir. Bu veriyi yalnızca görevi gereği, gerektiği kadar ve güvenli biçimde işlemek hem etik hem yasal bir sorumluluktur.
Kamu kurumunda çalışmak; vatandaşın kimlik, sağlık, gelir, adres ve aile kayıtları gibi en hassas bilgilerine günlük işin parçası olarak erişmek demektir. Bu erişim size kişisel bir yetki olarak değil, görev gereği ve görevle sınırlı olarak verilmiştir. Bu rehber, sınırın hukuki dayanağını, aşıldığında hangi sorumlulukların doğduğunu ve günlük işte nasıl uygulanacağını anlatır.
Atıflar, 6698 sayılı Kişisel Verilerin Korunması Kanunu↗’nun 7499 sayılı Kanunla (2 Mart 2024) değiştirilmiş güncel metnine ve 5237 sayılı Türk Ceza Kanunu’na dayanır. KVKK’nın temel kavramları (kişisel veri↗, veri sorumlusu, ilgili kişi) burada yeniden anlatılmaz:
Veri sorumlusu Kurumunuzdur; ama yükümlülük size de işler
Kanun açısından verinin güvenliğinden ilk sorumlu, Kurumun kendisidir: uygun güvenlik düzeyini sağlamak için gerekli her türlü teknik ve idari tedbiri almak ve kendi bünyesinde kanunun uygulanmasını denetlemek zorundadır (m.12/1, m.12/3). Bununla birlikte kanun, öğrendikleri kişisel verileri kanuna aykırı olarak başkasına açıklayamayacak ve işleme amacı dışında kullanamayacak kişileri de bağlar; bu yükümlülük görevden ayrıldıktan sonra da sürer (m.12/4). Kurumda veriyle çalışan biri olarak pratikte bunu şöyle okuyun: gördüğünüz veri sizin değil; sır saklama yükümlülüğü ise emekli olsanız da bitmez.
Dayanak: Hangi gerekçeyle işliyorsunuz?
Kanunun genel kuralı, kişisel verilerin ilgili kişinin açık rızası olmadan işlenememesidir (m.5/1). Ancak açık rıza aranmadan işlemeye izin veren şartlar da sayılmıştır (m.5/2). Kamu hizmetinde en sık karşılaşacağınız ikisi şunlardır:
- Kanunlarda açıkça öngörülme (m.5/2-a): İşlem, Kurumunuzun kuruluş ve görev mevzuatında yer alıyor.
- Hukuki yükümlülük (m.5/2-ç): Kurumun bir yükümlülüğünü yerine getirebilmesi için işlem zorunlu.
Pratik sonuç: işlem hangi mevzuata dayanıyorsa, verinin işlenmesi o mevzuatın kapsamıyla sınırlıdır. Dayanağını bilmediğiniz bir veri talebi ya da işlem kalıbı gördüğünüzde, bunu Kurumun KVKK irtibat kişisine ya da hukuk birimine sorun.
Özel nitelikli veri: Daha dar kapı
Irk, etnik köken, siyasi düşünce, din ve mezhep, dernek-vakıf-sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik veriler özel nitelikli sayılır (m.6/1). Bunların işlenmesi esas olarak yasaktır; kanun belirli istisnalar tanır. Kamu çalışanını en çok ilgilendirenler şunlardır (m.6/3):
- Kanunlarda açıkça öngörülmesi,
- Sağlık hizmetlerinin yürütülmesi için sır saklama yükümlülüğü altındaki kişi ve yetkili kurumlarca gerekli olması,
- İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi.
Ayrıca bu verilerin işlenmesinde Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır (m.6/4). Sağlık, ceza kaydı ya da sosyal yardım dosyalarıyla çalışıyorsanız erişiminizi ve aldığınız kopyaları en dar tutun.
Beş temel ilke, kamuda nasıl görünür?
Kanun, kişisel verilerin işlenmesinde beş ilkeye uymayı zorunlu kılar (m.4/2). Her birinin kamudaki karşılığı:
- Hukuka ve dürüstlük kurallarına uygunluk: Vatandaştan neden bilgi istendiği açık olmalı; kapsam dışı belge talep edilmemeli.
- Doğru ve güncel olma: Hatalı bir kayıt, vatandaşın bir hizmete erişimini engelleyebilir. Düzeltme taleplerini ciddiye alın.
- Belirli, açık ve meşru amaç: Bir başvuru için alınan telefon ya da adres, başka bir duyuru, kampanya veya kişisel iletişim için kullanılmaz.
- İşlendiği amaçla bağlantılı, sınırlı ve ölçülü olma: İhtiyacınız olan alanı sorgulayın; tüm dosyayı çekmeyin, “bir de bakayım” demeyin.
- Gerekli süre kadar muhafaza: Mevzuattaki ya da amaç için gereken süre dolunca veri silinir, yok edilir veya anonim hâle getirilir (m.7/1).
Görev gereği erişim: Üç gündelik senaryo
1. “Komşumun başvurusunun durumuna bir bakayım”
Sistem sizin ekranınızda kaydı açıyor; teknik yetkiniz var. Ama teknik yetki, hukuki dayanak değildir. Kaydın işiniz kapsamında olmaması, merak ya da iyi niyet olsa bile erişimi hukuka aykırı kılar. Aşağıdaki “Sorumluluk” bölümünde göreceğiniz hükümlerin tam olarak hedef aldığı davranış budur.
2. “Ben X dairesinden arıyorum, şu kişinin adresi lazım”
Karşı tarafın kim olduğunu ve yetkisini bağımsız bir kanaldan doğrulamadan veri vermeyin. Kurumlar arası veri talepleri genellikle yazılı ve mevzuata dayalı bir talebe bağlanır; telefonla “acil” baskısı bu yolun yerini tutmaz. Bu tür aramalar, hedefli sosyal mühendisliğin klasik başlangıcıdır.
3. Yanlış alıcıya giden e-posta ya da yanlış eklenmiş belge
Fark ettiğiniz anda, gizlemeden, Kurumunuzun bilgi işlem/SOME ve KVKK irtibat birimine bildirin. Verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde ilgilisine ve Kurula bildirim yükümlülüğü veri sorumlusu olan Kuruma aittir (m.12/5); sizin göreviniz, Kurumun bu yükümlülüğü yerine getirebilmesi için olayı hızlıca iletmektir. Gönderim öncesi alıcı ve ek kontrolü için:
Sorumluluk: Üç ayrı yoldan doğar
Ceza sorumluluğu
Kişisel verilere ilişkin suçlar bakımından Türk Ceza Kanunu’nun 135 ila 140. maddeleri uygulanır (KVKK m.17/1). Temel hükümler:
| Madde | Fiil | Temel ceza ve not |
|---|---|---|
| 135 | Kişisel verilerin hukuka aykırı olarak kaydedilmesi | Bir yıldan üç yıla kadar hapis. Verinin siyasi, felsefi veya dini görüşlere, ırki kökene, ahlaki eğilimlere, cinsel yaşama, sağlık durumuna ya da sendikal bağlantıya ilişkin olması hâlinde ceza yarı oranında artırılır. |
| 136 | Kişisel verileri hukuka aykırı olarak bir başkasına verme, yayma veya ele geçirme | İki yıldan dört yıla kadar hapis. |
| 137 | Nitelikli hâl: Suçun kamu görevlisi tarafından ve görevinin verdiği yetki kötüye kullanılarak işlenmesi | 135 ve 136. maddelerdeki suçlar için verilecek ceza yarı oranında artırılır. |
| 138 | Kanunların belirlediği süreler geçtiği hâlde verileri sistem içinde yok etmeme | Bir yıldan iki yıla kadar hapis. KVKK’ya göre silinmesi gereken veriyi silmeyenler de bu madde kapsamında cezalandırılır (KVKK m.17/2). |
| 139 | Soruşturma usulü | 135, 136 ve 138. maddelerdeki suçlar şikâyete bağlı değildir; mağdur başvurmasa da soruşturulabilir. |
Yukarıdaki süreler kanundaki temel cezalardır; somut olayda cezayı mahkeme belirler.
Disiplin sorumluluğu
Veri güvenliğine ilişkin yükümlülüklere aykırılık gibi kanunda sayılan fiiller bir kamu kurumunda işlendiğinde, Kurulun yapacağı bildirim üzerine ilgili memurlar ve diğer kamu görevlileri hakkında disiplin hükümlerine göre işlem yapılır ve sonucu Kurula bildirilir (m.18/4).
Görevden ayrılma sonrası
Açıklamama ve amaç dışı kullanmama yükümlülüğü, görevden ayrıldıktan sonra da devam eder (m.12/4).
Bir işlemin hukuka uygun olup olmadığından emin değilseniz, işlemi yapmadan önce Kurumunuzun hukuk müşavirliğine veya KVKK irtibat kişisine sorun. “Sormuştum” demek, “bilmiyordum” demekten çok daha güçlü bir konumdur.
Vatandaş size doğrudan başvurursa
İlgili kişi, kanunun uygulanmasıyla ilgili taleplerini (verilerinin işlenip işlenmediğini öğrenme, düzeltme, silme gibi) veri sorumlusuna, yani Kuruma iletir. Kurum, talebi en geç otuz gün içinde ve ücretsiz sonuçlandırır; talebi kabul eder veya gerekçesini açıklayarak reddeder ve cevabı yazılı ya da elektronik ortamda bildirir (m.13/2-3).
Bu yüzden böyle bir talep geldiğinde: kendi başınıza karar vermeyin, bekletmeyin; talebi tarih ve saatiyle kaydedin ve Kurumunuzun KVKK irtibat kişisine iletin. Talebi bekletmek, Kurumun yasal süreyi kaçırmasına yol açabilir.
Verinin yaşam döngüsü: Saklama ve imha
Verinin kullanım amacı bittiğinde ya da işlenmesini gerektiren sebepler ortadan kalktığında veri, Kurum tarafından resen veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hâle getirilir (m.7/1); bu, TCK m.138’in de hedefidir. Kâğıt ve dijital kopyaların yanı sıra kişisel cihazlarda, paylaşılan klasörlerde ya da e-postada kalan kopyalar da bu kapsamdadır. Hassas belgelerin etiketlenmesi, saklanması ve imhası için:
Bir şeyler ters giderse
Bir ihlalden ya da ihlal şüphesinden haberdar olursanız ilk adım, Kurum içinde hızlıca bildirimdir. Kurumun SOME ve USOM ile ilişkisi ve sizin rolünüz:
Kişisel veri ihlallerinin Kurula, siber olayların ulusal makamlara kim tarafından, nasıl bildirildiği ise ayrı bir rehberde toplanmıştır:
Günlük kontrol listesi
- Bu kaydı işim gereği mi görüyorum? Dayanağı hangi mevzuat?
- İhtiyacım olan alanla mı yetiniyorum, yoksa tüm dosyayı mı çekiyorum?
- Talep eden kişinin kim olduğunu ve yetkisini bağımsız kanaldan doğruladım mı?
- Veriyi yalnızca Kurumun onayladığı sistemlerden mi paylaşıyorum? (Kişisel e-posta, mesajlaşma uygulaması ya da bulut hesabı değil.)
- Gönderim öncesi alıcıyı ve eki kontrol ettim mi?
- Süresi dolmuş, artık gerekmeyen kopyalar var mı?
- Ekran açık, belge masada, çıktı yazıcıda kalmadı mı?
Sık yapılan beş hata
- “Sistem izin veriyor, sorun yok.” Teknik yetki hukuki dayanak değildir.
- “Sadece bir bakıp çıkacaktım.” Amaç dışı erişimde niyet, olayı hukuka uygun hâle getirmez.
- “Hızlı çözüm olsun diye ekran görüntüsünü mesajlaştım.” Kurum dışı kanallara aktarılan veri kontrolden çıkar.
- “Tanıdık, bir kolaylık yapayım.” Yakınlık, paylaşım için dayanak değildir.
- “Belki lazım olur, dosya dursun.” Süresi geçen veriyi tutmak, hukuki bir risktir (m.7, TCK m.138).
Kaynaklar ve son gözden geçirme
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (m.4, 5, 6, 7, 12, 13, 17, 18; 7499 sayılı Kanunla değişik hâliyle)
- 5237 sayılı Türk Ceza Kanunu (m.135–140)
Bilgi güvenliği↗ ve kişisel verilere ilişkin diğer kanun, yönetmelik ve standartlar için:
Son gözden geçirme: 21 Ekim 2026. Bu içerik bilgilendirme amaçlıdır; somut bir olayda bağlayıcı yorum için Kurumunuzun hukuk birimine ve yürürlükteki mevzuata başvurun.
