KVKK ve Öğrenci Verisi: Kurumların Sorumluluğu Nerede Başlar?
Sınav sonuçları ve karneler kişisel veridir. Okulların ve kursların veri sorumlusu olarak yükümlülükleri, yazılım seçerken bakılması gereken maddeler.
Bir öğrencinin sınav sonucu, sıralaması ve kazanım eksikleri kişisel veridir; üstelik büyük kısmı çocuklara ait olduğu için özel bir hassasiyet gerektirir. Bu veriyi işleyen kurum, KVKK kapsamında veri sorumlusudur. Kullandığınız yazılım ise veri işleyendir. Sorumluluk yazılıma devredilemez; ancak doğru yazılım, sorumluluğu yerine getirmenizi kolaylaştırır.
Kurumun temel yükümlülükleri
- Veli ve öğrencileri, verinin hangi amaçla işlendiği konusunda aydınlatmak.
- Veriyi yalnızca belirtilen amaçla ve gerektiği kadar süre tutmak.
- Erişimi yetkiyle sınırlamak: her öğretmen her öğrencinin verisini görmemeli.
- Veri işleyenle (yazılım sağlayıcı) yazılı bir veri işleme sözleşmesi yapmak.
- İhlal durumunda Kurul'a ve ilgili kişilere bildirimde bulunmak.
Yazılım seçerken sorulacak sorular
- Veriler nerede barındırılıyor? Yurt dışına aktarım var mı?
- Rol bazlı yetkilendirme, şube ve sınıf düzeyine kadar iniyor mu?
- Kritik işlemler (sonuç değiştirme, silme, dışa aktarma) denetim kaydına yazılıyor mu?
- Sözleşme sona erdiğinde veri dışa aktarımı ve kalıcı silme nasıl işliyor?
- Veli paylaşım bağlantıları tahmin edilemez ve süreli mi?
WhatsApp gruplarında dolaşan karne fotoğrafları, çoğu kurumun farkında olmadığı en yaygın veri ihlalidir.
Pratik iyileştirmeler
Sıralama listelerini ad-soyad yerine öğrenci numarasıyla asın. Karneleri gruplara değil, kişiye özel bağlantılarla iletin. Öğretmen yetkilerini kendi sınıflarıyla sınırlayın. Personel değişikliklerinde hesapları kapatmayı işten ayrılış kontrol listesine ekleyin. Bu dört adım, çoğu kurumun risk yüzeyini belirgin şekilde küçültür.