Kurslar ve akademiler, doğası gereği yoğun kişisel veri işleyen kurumlardır: öğrenci kimliği, veli iletişim bilgisi, sağlık notları, ödeme geçmişi, hatta ders içi fotoğraflar. Bu verilerin çoğu çocuklara ait olduğu için mevzuat açısından hassasiyet düzeyi yüksektir. Bu rehber, pratikte ne yapılması gerektiğini sadeleştiriyor.
Not: Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş niteliği taşımaz. Kurumunuza özel süreçler için bir hukukçuya danışmanız gerekir.
1. Sıfatınızı netleştirin: veri sorumlususunuz
Öğrenci ve veli verileri bakımından veri sorumlusu kurumunuzdur. Kullandığınız yazılım sağlayıcısı ise veri işleyendir. Bu, aydınlatma yapma, rıza alma ve saklama sürelerini yönetme yükümlülüğünün size ait olduğu anlamına gelir.
2. Aydınlatma metnini kayıt anında verin
Aydınlatma, rızadan farklıdır ve her hâlükârda zorunludur. Kayıt formunun bir parçası olarak veliye şunları açıkça bildirmelisiniz: hangi verileri topladığınız, ne amaçla işlediğiniz, kimlerle paylaştığınız, ne kadar süre sakladığınız ve hangi haklara sahip oldukları.
3. Hangi veri hangi hukuki sebebe dayanır?
Sık yapılan hata, her şey için açık rıza almaya çalışmak. Oysa çoğu veri işleme, rıza dışındaki sebeplere dayanır ve rıza alınması gerekmez:
- Sözleşmenin ifası: Öğrenci kimliği, veli iletişim bilgisi, ders programı, yoklama, ödeme kayıtları
- Hukuki yükümlülük: Fatura ve mali kayıtlar
- Meşru menfaat: Bina güvenliği, giriş-çıkış kaydı
- Açık rıza (yalnızca bunlar için): Ders içi fotoğraf ve videonun tanıtım amacıyla kullanılması, ticari elektronik ileti gönderimi, zorunlu olmayan sağlık bilgisi paylaşımı
4. Fotoğraf ve video için ayrı rıza alın
Kursların en çok hata yaptığı alan burası. Bir çocuğun fotoğrafını sosyal medyada paylaşmak için ayrı, açık ve özgür iradeye dayalı bir rıza gerekir. Bu rıza kayıt sözleşmesinin içine gizlenmiş bir madde olamaz; ayrı bir kutucuk olarak sunulmalı ve reddedilmesi hâlinde hizmet kısıtlanmamalıdır.
Ayrıca rıza her zaman geri alınabilir. Geri alındığında ilgili görselleri yayından kaldıracak bir süreciniz olmalı.
5. Sağlık verisi özel nitelikli veridir
Alerji, kronik hastalık, kullanılan ilaç gibi bilgiler özel nitelikli kişisel veridir ve daha sıkı korumaya tabidir. Yalnızca gerçekten gerekliyse toplayın, erişimini sınırlı personelle kısıtlayın ve açık rıza alın.
6. Saklama sürelerini yazılı hâle getirin
“Ne olur ne olmaz” diyerek veriyi süresiz saklamak mevzuata aykırıdır. Bir saklama ve imha politikası oluşturun ve süreleri tanımlayın:
- Ayrılan öğrenci kayıtları: Sözleşme sona erdikten sonra genel zamanaşımı süresi boyunca
- Mali kayıtlar: 10 yıl
- Aday havuzu (kayıt olmayanlar): 1-2 yıl
- Kamera kayıtları: Genellikle 30-60 gün
7. Yazılım sağlayıcınızla veri işleyen sözleşmesi yapın
Kullandığınız kurs yönetim sistemi sizin adınıza veri işler. Bu ilişkinin yazılı bir sözleşmeye dayanması gerekir. Sözleşmede şunlar bulunmalı: verilerin nerede barındırıldığı, alınan güvenlik tedbirleri, alt işleyen kullanılıp kullanılmadığı, ihlal bildirimi süreci ve sözleşme bitiminde verilerin iadesi veya imhası.
8. Erişim yetkilerini rol bazında sınırlayın
Bir enstrüman öğretmeninin tüm öğrencilerin ödeme bilgisine erişmesi için hiçbir sebep yoktur. Veri minimizasyonu ilkesi, her personelin yalnızca işi için gereken veriye erişmesini gerektirir. Yazılımınız rol bazlı yetkilendirmeyi desteklemiyorsa bu ilkeyi uygulayamazsınız.
9. İhlal durumunda ne yapacağınızı önceden belirleyin
Veri ihlali tespit edildiğinde durumu öğrendiğiniz tarihten itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kurulu’na bildirmeniz gerekir. Bunu ihlal anında öğrenmek yerine, önceden yazılı bir müdahale planı hazırlayın.
Özet
KVKK uyumu, tek seferlik bir belge işi değil; kayıt formundan personel yetkisine kadar uzanan bir düzen meselesi. Aydınlatmayı doğru yapan, rızayı yalnızca gereken yerde alan ve saklama sürelerini tanımlayan kurumlar riskin büyük kısmını daha baştan ortadan kaldırıyor.