KVKK ve Öğrenci Verileri: Okullarda Veri Gizliliği

Her okulda öğrencilerin sağlık raporları, adres bilgileri, devamsızlık kayıtları, burs başvuruları ve veli iletişim bilgileri tutuluyor. Bu verilerin nereye kadar korunması gerektiğini 2016’da yürürlüğe giren KVKK belirliyor. Çoğu kurum bu konuyu hiç düşünmediği için sorun genellikle farkında olmadan başlıyor.

Kişisel veri nedir

KVKK’ya göre kimliği belirli veya belirlenebilir kişiye ilişkin her türlü bilgi kişisel veridir. Bir öğrencinin adı, okul numarası, sınıfı, fotoğrafı, sağlık durumu, devamsızlık bilgisi, velisinin telefon numarası ve hatta ders başarı notları bu kapsama giriyor. Okul öğrencinin adını bilmesi, veriyi hukuka uygun işlemesi anlamına gelmiyor.

Hangi veri ne kadar korunur

Veri koruma, verinin ne kadar “hassas” olduğuna göre değişiyor.

Kişisel veri: Ad, soyad, okul numarası, adres, telefon. Temel düzeyde koruma.

Özel nitelikli kişisel veri: Sağlık bilgileri, din bilgisi, etnik köken, cinsel yönelim, sendika üyeliği. Bu veriler açık rıza olmadan işlenemez.

Ceza mahkemesi kararları ve savcılık işlemleri: İfadeye bağlı olmayanlar için açık rıza şart.

Öğrenci dosyasındaki sağlık raporları ve psikolojik değerlendirmeler özel nitelikli veriye giriyor. Yani bir disiplin soruşturmasında öğrencinin “dikkat eksikliği raporu var” bilgisi, öğretmenler kurulunun tamamıyla paylaşılamaz; bu veriyi görme yetkisi olan kişiler sınırlıdır.

Veri minimizasyonu

En sık yapılan hata, gereğinden fazla bilgi toplamak. Bir etkinlik başvurusu için okul, sınıf, ad, soyad ve veli bilgisi gerekebilir; ama aynı formda sağlık durumu, kardeş sayısı veya aile gelir bilgisi istemek gereksiz veri toplamaktır. Bu bilgiler toplanmadıysa sonradan sızdığında da hasar sınırlı kalır.

Okulun yükümlülükleri

KVKK’ya göre veri sorumlusu olan okulun temel görevleri:

– Verileri yalnızca belirtilen amaçla işlemek. Toplanma amacı ortadan kalktıysa imha etmek.

– Yetkisiz erişimi engellemek. Öğrenci dosyasına kimlerin baktığının kaydı tutulmalı.

– Güvenli saklama. Dosyalar kilitli dolaplarda; dijital veriler şifreli ortamlarda.

– Kişisel veri güvenliğine ilişkin yükümlülüğü, yetkiliye yazılı olarak bildirmek.

– Veri sahibinin erişim, düzeltme ve silme taleplerini karşılamak.

– Veri ihlali yaşanırsa 72 saat içinde Bilişim ve Teknolojileri Kurumu’na bildirim yapmak.

Öğrenci ve veli hakları

Her öğrenci, verileri hakkında şu haklara sahip:

bilme: Verilerinin kimler tarafından işlendiğini öğrenme.

Düzeltilmesini isteme: Yanlış veya eksik verilerin düzeltilmesini talep etme.

Silinmesini isteme: Kanuni saklama süresi dolmuş verilerin imha edilmesini talep etme.

İşlemeye itiraz etme: Yasa aykırı bir işleme karşı itiraz edebilme.

Talep formu doldurma: Verilerinin kopyasını isteme.

Bu haklar yazılı bir taleple iletilir ve kural olarak 30 gün içinde sonuçlandırılması gerekir.

Veliler ne yapmalı

Velilerin en sık kullandığı hak okulun öğrenciyi gözlem ve sınav sonuçlarını aktarma yetkisidir. Bu talep normal ve yasal. Ancak okuldan aynı anda öğrencinin sağlık kayıtlarını, disiplin dosyasını veya psikolojik değerlendirmesini de talep etmek, özel nitelikli veriye erişim isteği anlamına gelir ve bu verilerin paylaşılması ancak açık rıza veya mahkeme kararıyla mümkündür.

İsteklerini yazılı yapmak, hem kayıt altına geçmesini hem de okulun yasal yükümlülüğünü takip etmenizi sağlar. Sözlü olarak yapılan talepler genellikle kayda geçmez.

Öğrenci bilgileri neden sızıyor

Veri ihlallerinin büyük bölümü siber saldırıdan değil, gündelik dikkatsizlikten kaynaklanıyor: sınıf listelerinin WhatsApp gruplarında paylaşılması, ödev panolarına TC kimlik numarası yazılması, sağlık raporlarının ebeveyn toplantısında okunması, okul Facebook sayfasında öğrencilerin fotoğraf sırasıyla listelenmesi.

Aslında hiçbir sınıf listesi için kimlik numarası gerekmez; hiçbir veli toplantısında öğrencinin sağlık durumu paylaşılmaz. Veri gizliliği çoğu zaman büyük yatırımlarla değil, bu tür küçük kararları gözden geçirmekle korunuyor.