Kamu kurumlarında anlık mesajlaşma ve veri güvenliği

Kişisel Verileri Koruma Kurumu, 29 Ocak 2026 tarihli kamuoyu duyurusunda, kamu personelinin idari iş ve işlemlerin yürütülmesinde WhatsApp uygulamasını kullanmaya ve çeşitli gruplara üye olmaya mecbur bırakıldığı, uygulama üzerinden emir ve talimat verildiği ve resmî belge paylaşıldığı yönünde ihbar ve şikâyetler aldığını açıklamıştır. Kurum aynı duyuruda, bu tür yurt dışı menşeli uygulamaların yurt içinde veri merkezlerinin bulunmadığını hatırlatmıştır.

Kurum açısından risk üç başlıkta toplanabilir. Birincisi, paylaşılan içeriğin hangi ülkede ve kimin denetiminde saklandığının kurum tarafından belirlenememesidir. İkincisi, yazışmaların personelin kişisel cihazında ve kişisel hesabında kalması nedeniyle görev değişikliği veya ayrılma durumunda kurumun bu bilgiye erişiminin ortadan kalkabilmesidir. Üçüncüsü, bu kanaldan verilen talimatların ve paylaşılan belgelerin kurumun resmî kayıt düzeninin dışında kalmasıdır.

Bilgi ve İletişim Güvenliği Tedbirleri konulu 2019/12 sayılı Cumhurbaşkanlığı Genelgesi, 6 Temmuz 2019 tarihli ve 30823 sayılı Resmî Gazete'de yayımlanmıştır. Genelgedeki 21 tedbirin birkaçı doğrudan kurum içi ve kurumlar arası haberleşmeyi ilgilendirmektedir.

• Dördüncü madde: Mevzuatta kodlu veya kriptolu haberleşmeye yetkilendirilmiş kurumlar tarafından geliştirilen yerli mobil uygulamalar hariç olmak üzere, mobil uygulamalar üzerinden gizlilik dereceli veri paylaşımı ve haberleşme yapılmayacaktır.
• Beşinci madde: Sosyal medya üzerinden gizlilik dereceli veri paylaşımı ve haberleşme yapılmayacaktır.
• Altıncı madde: Sosyal medya ve haberleşme uygulamalarına ait yerli uygulamaların kullanımı tercih edilecektir.
• On dokuzuncu madde: Kurumsal olmayan şahsi e-posta adreslerinden kurumsal iletişim yapılmayacak, kurumsal e-postalar şahsi amaçlarla kullanılmayacaktır.

Kişisel Verileri Koruma Kurumu, 29 Ocak 2026 tarihli duyurusunda dördüncü ve altıncı maddelere dayanarak, yurt dışı menşeli haberleşme uygulamaları üzerinden gizlilik dereceli veya kritik önemi hâiz olabilecek veri içeren resmî evrak paylaşılmaması gerektiğini özellikle vurgulamıştır. Şahsi e-posta hesaplarına ilişkin on dokuzuncu maddedeki yaklaşım, kurumsal iletişimin kurum denetimindeki kanallarda yürütülmesi gerektiğini mesajlaşma için de açıkça ortaya koymaktadır.

Rehber, Genelgenin uygulanmasına yönelik tedbirleri temel, orta ve ileri seviye olarak derecelendirir. Kritiklik derecesi 1 olan varlık gruplarına temel seviye, derece 2 olanlara ek olarak orta seviye, derece 3 olanlara ise bunlara ek olarak ileri seviye tedbirler uygulanır. Anlık mesajlaşma güvenliği Rehber'de 4.2 numaralı ana başlık altında düzenlenmiştir.

Rehber, veri yerelleştirmeyi mesajlaşma dışındaki başlıklarda da ele almaktadır. 3.2.7.2 numaralı tedbir, kurumların kendi özel sistemleri veya yurt içinde yerleşik kurum kontrolündeki hizmet sağlayıcılar dışında, kurumsal kritik verilerin bulut depolama hizmetlerinde saklanmamasını öngörür. 4.3.1.1 numaralı tedbir ise kritik verilerin yurt içinde depolandığının ve yurt dışında barındırılmayacağının garanti altına alınmasını ister. Mesajlaşma uygulamasıyla paylaşılan dosyalar da bu tedbirlerin kapsamına girebilecek veriler arasındadır.

Kişisel Verileri Koruma Kurumu, kamu kurumlarının yurt dışı menşeli uygulamalar üzerinden gerçek kişilere ait kişisel veri içeren bilgi veya belge paylaşmasının kişisel veri işleme faaliyeti olarak değerlendirilebileceğini belirtmiştir. Kanun'un 5 ve 6. maddelerindeki işleme şartlarını taşımayan faaliyetler, şikâyet üzerine veya re'sen incelenebilir. Kanun'un 18. maddesinin dördüncü fıkrası, kamu kurumlarında işlenen ihlallerde Kurulun bildirimi üzerine ilgili görevliler hakkında disiplin hükümlerine göre işlem yapılmasını öngörür. Kurum ayrıca personelin cep telefonu numaralarının da kişisel veri olduğunu ve bu numaralarla yürütülen işlemlerin 5. maddeye uygun olması gerektiğini hatırlatmıştır.

Sunucuları yurt dışında bulunan bir uygulamanın kullanılması, ayrıca yurt dışına aktarım sorusunu gündeme getirir. 6698 sayılı Kanun'un 9. maddesi, 7499 sayılı Kanun'la 2 Mart 2024 tarihinde değiştirilmiş ve değişiklik 1 Haziran 2024'te yürürlüğe girmiştir. Yeni düzenlemede aktarım; işleme şartlarından birinin varlığı ve yeterlilik kararı bulunması, yeterlilik kararı yoksa standart sözleşme, bağlayıcı şirket kuralları veya Kurul izniyle kullanılan taahhütname gibi uygun güvencelerden birinin sağlanması hâlinde mümkündür. Bunların hiçbiri yoksa arızi aktarım hâlleri devreye girer; ancak bu hâllerden açık rıza ve sözleşmeye dayalı üç bent, kamu kurumlarının kamu hukukuna tâbi faaliyetlerine uygulanmaz. Bu nedenle kamu kurumu, personelin bireysel olarak kabul ettiği kullanım koşullarını kendi işleri için geçerli bir aktarım dayanağı olarak göremez.

Resmî Yazışmalarda Uygulanacak Usul ve Esaslar Hakkında Yönetmelik, kamu kurumlarının resmî yazışmalarını güvenli elektronik imzalı belgelerle elektronik ortamda yapmasını ve bu belgeleri elektronik ortamda saklamasını öngörür. Hizmete Özel gizlilik dereceli belgelerin hazırlanması, gönderilmesi ve saklanması da elektronik ortamda, Özel ve üstü dereceli belgelerin işlemleri ise ilgili mevzuata uygun olarak fiziksel ortamda yürütülür. Bir mesajlaşma grubunda paylaşılan belge görüntüsü bu düzenin parçası değildir ve resmî yazışmanın yerine geçmez.

Devlet Arşiv Hizmetleri Hakkında Yönetmelik ise belgeyi, üretim biçimi ve donanım ortamı ne olursa olsun bir bilgiyi içeren yazılmış, görüntülü, sesli veya elektronik kayıt olarak tanımlar. Aynı Yönetmelik, elektronik ortamdaki belgeler için siber saldırı ve diğer tehditlere karşı güvenlik önlemi alınmasını ve felaket kurtarma planı yapılmasını kurumların sorumluluğuna bırakır. Bir işin yürütülmesinde belirleyici olan yazışmaların kişisel cihazlarda kalması, kurumun bu sorumluluğu yerine getirmesini güçleştirir.

Yukarıdaki mevzuat birlikte değerlendirildiğinde, kurumun yazılı bir mesajlaşma politikası oluşturması ve bunu Rehber'deki varlık envanteri ve kritiklik çalışmalarıyla ilişkilendirmesi uygun olacaktır. Politikada asgari olarak şu konuların düzenlenmesi önerilir:

• Kurumsal haberleşmede kullanılacak uygulamanın adı, sunucularının yeri ve hangi birimin yönetiminde olduğu.
• Gizlilik dereceli bilgi ve belgelerin hangi kanallardan hiçbir koşulda paylaşılmayacağı.
• Vatandaş başvurularına veya personele ait kişisel verilerin mesajlaşma ortamında hangi amaçla ve hangi sınırlar içinde paylaşılabileceği.
• Talimat niteliğindeki yazışmaların ve paylaşılan belgelerin ilgili iş kaydıyla nasıl ilişkilendirileceği ve ne kadar süre saklanacağı.
• Personelin görevden ayrılması veya cihaz kaybı durumunda hesabın nasıl kapatılacağı ve yazışmalara kurumun nasıl erişeceği.
• Kişisel cep telefonu numaralarının kurumsal gruplarda kullanılmasına ilişkin KVKK değerlendirmesi.

Hızlı haberleşme ihtiyacı meşrudur ve ortadan kalkmayacaktır. Bu ihtiyacın kurumun denetimindeki, kayıt düzenine bağlı ve yurt içinde barındırılan bir ortamda karşılanması, Genelge, Rehber ve KVKK'nın birlikte gösterdiği yöndür.