Veri Güvenliği
Eğitim Kurumlarında Kişisel Veri: KVKK Açısından Temel İlkeler
Öğrenci, veli ve personel verisiyle çalışan her dijital sistem KVKK'nın kapsamındadır. Aydınlatma, açık rıza, veri minimizasyonu, güvenlik ve saklama süreleri hakkında uygulamaya dönük bir özet.
Bir okulun ya da üniversitenin kullandığı hemen her dijital sistem kişisel veri işler: yoklama sistemi öğrencinin hangi derse ne zaman katıldığını, sınav sistemi notlarını, mezun sistemi iletişim ve kariyer bilgilerini, etkinlik sistemi katılımcı listelerini tutar. Türkiye'de bu verilerin işlenmesi, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile düzenlenir. Kanunun eğitim kurumlarının günlük işleyişine en çok dokunan ilkeleri aşağıda özetlenmiştir.
Temel kavramlar
- Kişisel veri: Kimliği belirli ya da belirlenebilir bir gerçek kişiye ait her türlü bilgi. Ad, öğrenci numarası, e-posta, not, devamsızlık kaydı ve fotoğraf bu kapsamdadır.
- Özel nitelikli kişisel veri: Sağlık, biyometrik veri, din, mezhep gibi kanunda sayılan ve daha sıkı korunan veriler. Örneğin öğrencinin bir sağlık raporu ya da yüz tanıma verisi bu gruba girer.
- Veri sorumlusu: Verinin hangi amaçla ve nasıl işleneceğine karar veren taraf; genellikle kurumun kendisidir.
- Veri işleyen: Veri sorumlusu adına veriyi işleyen taraf; örneğin kurum adına hizmet veren bir yazılım ya da bulut sağlayıcısı.
Genel ilkeler
Kanun, kişisel verilerin işlenmesinde uyulması gereken genel ilkeleri sayar. Eğitim sistemleri açısından pratik karşılıkları şöyledir:
- Belirli, açık ve meşru amaç: Her veri alanının neden toplandığı söylenebilmelidir. Yoklama sistemi için öğrenci numarası gereklidir; öğrencinin doğum yeri çoğu zaman gerekli değildir.
- Amaçla bağlantılı, sınırlı ve ölçülü olma: “Belki ileride lazım olur” diye veri toplamak bu ilkeyle çelişir. Formlardaki her alan, bu gözle yeniden değerlendirilmelidir.
- Doğru ve gerektiğinde güncel olma: Kişinin kendi bilgisini görüp düzeltme talep edebilmesi bu ilkeyi destekler.
- Gerekli süre kadar muhafaza: Amacı sona eren veri silinmeli, yok edilmeli ya da anonim hale getirilmelidir.
Aydınlatma yükümlülüğü
Veri toplanırken kişiye; verinin hangi amaçla işleneceği, kimlere aktarılabileceği, toplama yöntemi ve hukuki sebebi ile kişinin kanundan doğan hakları anlatılmalıdır. Pratikte bu, kayıt ve form ekranlarında kısa ve anlaşılır bir aydınlatma metni bulunması demektir. Metnin hukuki dille uzun uzun yazılması değil, kişinin gerçekten okuyup anlayabileceği bir dille hazırlanması amaçlanmalıdır.
Açık rıza her zaman gerekli mi?
Hayır. Kanun, açık rıza dışında da veri işlemeye imkân veren hukuki sebepler sayar; örneğin kanunlarda açıkça öngörülmesi, bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması ya da veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olması. Bir öğrencinin ders kaydı ve not bilgilerinin işlenmesi çoğu durumda bu sebeplere dayanır. Buna karşılık zorunlu olmayan işlemler için, örneğin öğrenci fotoğrafının tanıtım materyalinde kullanılması ya da mezunun iletişim bilgisinin diğer mezunlarla paylaşılması gibi durumlarda, açık rızaya ihtiyaç duyulabilir.
Açık rıza; belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle verilmiş olmalıdır. Hizmetten yararlanmayı rızaya bağlamak ya da tek bir onay kutusuyla birçok farklı işleme toplu rıza almak bu şartlarla bağdaşmaz.
Veri güvenliği
Veri sorumlusu, verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için uygun teknik ve idari tedbirleri almakla yükümlüdür. Dijital sistemlerde bu tedbirlerin tipik örnekleri:
- Rol tabanlı erişim: Bir öğretmen yalnızca kendi derslerinin yoklama ve notlarını, bir depo görevlisi yalnızca envanter verisini görmelidir.
- Güçlü kimlik doğrulama: Yönetici hesaplarında güçlü parola ve mümkünse iki aşamalı doğrulama.
- Şifreli iletim: Tüm sayfaların HTTPS üzerinden sunulması.
- İşlem kaydı: Kimin hangi kayda ne zaman eriştiğinin ve neyi değiştirdiğinin kayıt altına alınması.
- Yedekleme ve erişim kontrolü: Yedeklerin de aynı güvenlik düzeyinde korunması.
- Personel farkındalığı: Öğrenci listelerinin kişisel e-postalara ya da mesajlaşma gruplarına gönderilmemesi gibi basit kuralların eğitimle yerleştirilmesi.
Bir veri ihlali durumunda, kanun ve Kurul kararları uyarınca Kurul'a ve ilgili kişilere bildirim yükümlülüğü doğabilir. Bu yüzden bir ihlal olduğunda kimin neyi yapacağını gösteren kısa bir müdahale planının önceden hazırlanması önerilir.
Saklama ve imha
Her veri türü için bir saklama süresi belirlenmeli ve bu süre dolduğunda veri silinmeli, yok edilmeli ya da anonim hale getirilmelidir. Örneğin bir etkinliğin katılımcı listesinin etkinlikten yıllar sonra hâlâ tutulması için genellikle geçerli bir sebep yoktur. Buna karşılık diploma ve not kayıtları gibi veriler, ilgili mevzuat gereği uzun süre saklanmak zorunda olabilir. Saklama sürelerinin bir tabloda toplanması, hem uygulamayı hem de denetimi kolaylaştırır.
Kişilerin hakları
Öğrenciler, veliler, mezunlar ve personel; verilerinin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltilmesini ya da silinmesini isteme gibi haklara sahiptir. Kurumun bu başvuruları nereden alacağını (örneğin bir e-posta adresi ya da başvuru formu) aydınlatma metninde belirtmesi ve başvuruları kanunda öngörülen süre içinde sonuçlandırması gerekir.
Yazılım seçerken sorulacak sorular
- Veriler nerede barındırılıyor ve yurt dışına aktarım söz konusu mu?
- Rol bazlı yetkilendirme ve işlem kaydı var mı?
- Veriler toplu olarak dışa aktarılabiliyor ve silinebiliyor mu?
- Hizmet sağlayıcıyla veri işleme koşullarını düzenleyen yazılı bir sözleşme yapılabiliyor mu?
KVKK uyumu, bir defaya mahsus bir belge hazırlığı değil, sistemlerin tasarımına yerleşen bir alışkanlıktır. En az veriyi toplamak, erişimi sınırlamak ve veriyi gereğinden uzun tutmamak, hem yasal riskleri hem de olası bir ihlalin etkisini en aza indirir.