Kamu kurumlarının kişisel veri işleme süreçlerinin ve güvenlik standartlarının araştırılarak kişisel verilerin korunması için yapılması gerekenlerin belirlenmesi amacıyla bir Meclis araştırması açılmasına ilişkin önergesi

Kişisel Verileri Koruma Kurumu'nun (KVKK) internet sitesinde yayımlanan veri ihlali bildirimleri, Türkiye'de veri güvenliği risklerinin somutlaştığını göstermektedir. KVKK'nın "Veri İhlali Bildirimleri" sayfasında, farklı sektörlerden kurum ve kuruluşlara ilişkin kamuoyu duyuruları yer almakta; ihlallerin türü, etkilenen kişi sayısı ve ihlalin kapsamına dair bilgiler paylaşılmaktadır. Bu duyurular, veri güvenliğinin yalnız özel sektörde değil, kamu hizmeti niteliği taşıyan alanlarda da ciddi risklerle karşı karşıya olduğunu ortaya koymaktadır. Ayrıca Kurulun 25/12/2025 tarihli kararıyla veri ihlali duyurularının internet sitesinde kalma süresinin 60 günle sınırlandırılacağına ilişkin değerlendirmeler kamuoyuna yansımıştır. Bu değişiklik, şeffaflık ve kamuoyunun bilgi edinme hakkı bakımından ayrıca tartışılmaya muhtaçtır; zira ihlallerin görünürlüğü hem kurumlar üzerinde caydırıcılık yaratır hem de vatandaşın risklerini yönetebilmesine katkı sağlar.

Veri ihlallerinin toplumsal ve ekonomik maliyeti yüksektir. Kimlik dolandırıcılığı, SIM kart kopyalama, banka hesaplarına erişim, sosyal mühendislik saldırıları, hedefli oltalama (phishing) ve vatandaşın dijital güvenliğinin zayıflaması; doğrudan maddi kayıplara yol açar. Kamu verilerinin sızması ise daha ağır sonuçlar doğurabilir: kritik altyapı riskleri, kamu görevlilerinin hedef alınması, adli süreçlerin manipülasyonu ve ulusal güvenlik boyutuna varan tehditler. Ayrıca veri minimizasyonu (gereğinden fazla veri toplamama), erişim yetkilerinin kademelendirilmesi, sızma testleri, tedarikçi güvenliği, bulut hizmetleri sözleşmeleri, log kayıtlarının yönetimi ve olay müdahale planları gibi modern güvenlik standartlarının kamu kurumlarında ne ölçüde uygulandığı belirsizdir.

Kamu kurumlarında veri güvenliği, çoğu zaman bütçe, insan kaynağı ve kurumsal kültür meselesidir. Siber güvenlik uzmanı istihdamı, sürekli eğitim, güvenlik altyapısı yatırımları ve uluslararası standartlara (ISO 27001 vb.) uyum gibi alanlarda eşitsizlikler bulunabilir. Ayrıca kurumlar arası veri paylaşımı ve entegrasyon süreçleri, güvenlik mimarisini daha da kritik hâle getirmektedir. Bir kurumun zayıf halkası, tüm ek altına sokabilir.

Bu nedenle Meclis araştırması; kamu kurumlarının veri işleme envanteri ve güvenlik standartlarını, son yıllardaki veri ihlallerinin tür ve nedenlerini, KVKK uyum düzeyini ve denetim mekanizmalarını, tedarikçi/outsourcing risklerini, vatandaşın uğradığı zararların telafisi ve bildirim süreçlerini, (vi) şeffaflık politikalarının kamu yararıyla uyumunu incelemelidir. Amaç; vatandaşın mahremiyetini ve dijital güvenliğini koruyan, kamu kurumlarını hesap verebilir kılan, veri güvenliği yatırımlarını ve insan kaynağını güçlendiren bir reform programını ortaya koymaktır.