Kamu kurumlarında kişisel veriler: 6698 sayılı KVKK'nın görevde yükselme sınavında sorulan hükümleri

Kamu kurumları vatandaşın kimlik, adres, sağlık ve mali bilgilerini en yoğun işleyen yapılardır; personel birimleri de kendi çalışanlarının özlük ve sağlık verilerini tutar. Bu nedenle KVKK birçok kurumun görevde yükselme ve unvan değişikliği sınavında yer alır. Çalışma ve Sosyal Güvenlik Bakanlığının 2026 kılavuzunda örneğin şube müdürü ve şef sınavlarında 6698 sayılı Kanundan ikişer, unvan değişikliği ortak konularında bir soru öngörülmüştür. Bu yazıda kanunu bir kamu görevlisinin bakış açısıyla, madde numaralarıyla anlatıyoruz.

1. Amaç, kapsam ve kavramlar

Kanunun amacı, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve verileri işleyen gerçek ve tüzel kişilerin yükümlülüklerini düzenlemektir (md. 1). Kanun, verileri tamamen veya kısmen otomatik yollarla ya da bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişilere uygulanır (md. 2). Kâğıt dosyalardaki düzenli özlük kayıtları da bu nedenle kapsamdadır.

"Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi" ifade eder. (6698 sayılı Kanun, md. 3/1-d)

Tanımdaki "gerçek kişi" vurgusu önemlidir: bir şirketin ticaret unvanı veya vergi numarası tek başına KVKK anlamında kişisel veri değildir.

2. Genel ilkeler (md. 4)

Kişisel veriler ancak kanunlarda öngörülen usul ve esaslara uygun olarak işlenebilir ve şu ilkelere uyulması zorunludur:

1. Hukuka ve dürüstlük kurallarına uygun olma,
2. Doğru ve gerektiğinde güncel olma,
3. Belirli, açık ve meşru amaçlar için işlenme,
4. İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma,
5. İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

3. İşleme şartları: açık rıza ve istisnaları (md. 5)

Kural olarak kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez. Ancak aşağıdaki şartlardan birinin varlığında açık rıza aranmaz (md. 5/2):

• Kanunlarda açıkça öngörülmesi,
• Fiili imkânsızlık nedeniyle rızasını açıklayamayan kişinin veya başkasının hayatı ya da beden bütünlüğünün korunması için zorunlu olması,
• Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması,
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
• İlgili kişinin kendisi tarafından alenileştirilmiş olması,
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için zorunlu olması.

Kamu kurumlarının işlemlerinin büyük kısmı ilk ve dördüncü şarta dayanır: bir kurumun personel maaşını bordroya işlemesi veya vatandaşın başvurusunu kanundaki görevi gereği kaydetmesi için açık rıza alması gerekmez. Rızanın asıl gerektiği alan, kanuni dayanağı olmayan ek işlemlerdir.

4. Özel nitelikli kişisel veriler (md. 6)

Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik veriler özel nitelikli kişisel veridir. Sayılan veri türü kanunda sınırlı olarak belirlenmiştir.

Kamu personel birimi açısından en önemli bent (f) bendidir: istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması. Personelin sağlık raporlarının izin işlemlerinde kullanılması bu kapsama girer.

5. Silme, aktarma ve yurt dışına aktarma

İşlenmesini gerektiren sebepler ortadan kalkan veriler resen veya ilgili kişinin talebiyle silinir, yok edilir veya anonim hâle getirilir (md. 7). Yurt içinde aktarım da md. 5 ve md. 6'daki şartlara bağlıdır (md. 8). Yurt dışına aktarım 2024'te baştan yazıldı: kural olarak Kurulun yeterlilik kararı gerekir; karar yoksa standart sözleşme, bağlayıcı şirket kuralları veya Kurul izinli taahhütname gibi uygun güvenceler aranır. Standart sözleşme imzalandıktan sonra beş iş günü içinde Kuruma bildirilir (md. 9). Arızi aktarımdaki açık rıza ve sözleşme hâlleri, kamu kurumlarının kamu hukukuna tabi faaliyetlerine uygulanmaz (md. 9/7).

6. Veri sorumlusunun yükümlülükleri

Aydınlatma (md. 10)

Veri elde edilirken ilgili kişiye veri sorumlusunun kimliği, işleme amacı, verinin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile md. 11'deki hakları bildirilir. Kurumların internet sitelerinde ve başvuru formlarında gördüğünüz "aydınlatma metni" bu yükümlülüğün sonucudur.

Veri güvenliği (md. 12)

Veri sorumlusu hukuka aykırı işlemeyi ve erişimi önlemek ve verilerin muhafazasını sağlamak için gerekli teknik ve idari tedbirleri alır. Veri işleyenle birlikte müştereken sorumludur. Veri sorumluları ve veri işleyenler öğrendikleri kişisel verileri başkasına açıklayamaz; bu yükümlülük görevden ayrıldıktan sonra da devam eder. Veriler kanuni olmayan yollarla başkalarınca elde edilirse durum en kısa sürede ilgilisine ve Kurula bildirilir (md. 12/5).

Veri Sorumluları Sicili (md. 16)

Kişisel veri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce kamuya açık Veri Sorumluları Siciline kaydolur; Kurul objektif kriterlerle istisna getirebilir.

7. İlgili kişinin hakları ve başvuru yolu

Herkes veri sorumlusuna başvurarak verisinin işlenip işlenmediğini öğrenme, bilgi talep etme, işleme amacını öğrenme, aktarıldığı üçüncü kişileri bilme, düzeltme, silme veya yok etme isteme, bunların üçüncü kişilere bildirilmesini isteme, münhasıran otomatik analizle aleyhine çıkan sonuca itiraz etme ve hukuka aykırı işleme nedeniyle zararın giderilmesini talep etme haklarına sahiptir (md. 11).

Veri sorumlusuna başvuru yolu tüketilmeden Kurula şikâyet yapılamaz (md. 14/2).

8. Yaptırımlar ve kamu görevlisinin sorumluluğu

Kişisel verilere ilişkin suçlarda Türk Ceza Kanununun 135-140. maddeleri uygulanır; md. 7'ye aykırı olarak verileri silmeyen veya anonim hâle getirmeyenler TCK md. 138'e göre cezalandırılır (md. 17). Aydınlatma, veri güvenliği, Kurul kararlarına uyma, sicile kayıt ve standart sözleşme bildirimi yükümlülüklerine aykırılık için idari para cezaları öngörülür (md. 18). Bu ihlaller kamu kurum ve kuruluşları bünyesinde işlenirse, Kurulun bildirimi üzerine ilgili memurlar ve diğer kamu görevlileri hakkında disiplin hükümlerine göre işlem yapılır ve sonuç Kurula bildirilir (md. 18/4).

9. Kişisel Verileri Koruma Kurumu ve Kurulu

Kurum idari ve mali özerkliğe sahip, kamu tüzel kişiliğini haiz bir kuruluştur ve Cumhurbaşkanının görevlendireceği bakanla ilişkilidir; merkezi Ankara'dır. Kurum, Kurul ve Başkanlıktan oluşur; karar organı Kuruldur (md. 19). Kurul dokuz üyedir: beş üyesini TBMM, dört üyesini Cumhurbaşkanı seçer. Üyelerin görev süresi dört yıldır ve süresi biten üye yeniden seçilebilir (md. 21). Kurul görevlerini bağımsız olarak yerine getirir; hiçbir organ Kurula emir ve talimat veremez.

Sınav öncesi kontrol listesi

• Kişisel veri yalnızca gerçek kişiye aittir.
• Beş genel ilke ve açık rızanın yedi istisnası.
• Sendika üyeliği ve kılık-kıyafet de özel nitelikli veridir.
• Başvuru 30 gün; şikâyet 30/60 gün; Kurul cevabı 60 gün.
• Kurul 9 üye (5 TBMM + 4 Cumhurbaşkanı), görev süresi 4 yıl.
• Kamu kurumunda ihlal: görevli hakkında disiplin işlemi.

Bilgi edinme ve dilekçe hakkıyla birlikte çalışıldığında karışan konular için sınav konuları rehberimize; çalışma hayatı mevzuatının diğer başlıkları için 4688 sayılı Kanun özeti yazımıza bakabilirsiniz.

Kaynaklar

• 6698 sayılı Kişisel Verilerin Korunması Kanunu (mevzuat.gov.tr, 7499 sayılı Kanun değişiklikleri işlenmiş güncel metin)
• Çalışma ve Sosyal Güvenlik Bakanlığı 2026 GYS ve UDS Başvuru Kılavuzu
• Kişisel Verileri Koruma Kurumu