Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez; kanunlarda açıkça öngörülmesi, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması ve hukuki yükümlülüğün yerine getirilmesi gibi sayılı hâllerde açık rıza aranmaz (KVKK m. 5). Okulun çocuğunuzun fotoğrafını web sitesinde paylaşması, kanunda sayılan istisnalardan biri yoksa açık rıza gerektirir; sağlık verisi ise özel nitelikli olup işlenmesi kural olarak yasaktır (m. 6).
Bu yazı, okul, üniversite, kurs ve spor kulübü gibi eğitim kurumlarının öğrenci ve veli verilerini hangi şartlarla işleyebileceğini, sağlık bilgisi, fotoğraf ve kamera kayıtlarının hukuki durumunu, aydınlatma yükümlülüğünü, verilerin silinmesini, veri sorumlusuna başvuruyu, veri sızıntısını ve verilerin sponsora aktarılmasını anlatır.
Bu yazıda
- Okul öğrenci ve veli verilerini hangi şartla işler?
- Gereğinden fazla veri istenebilir mi?
- Sağlık bilgisi ve özel nitelikli veriler
- Fotoğraf, video ve tanıtım paylaşımı
- Kamera kayıtları ve sınav gözetimi
- Kayıtta size hangi bilgiler verilmeli? (aydınlatma)
- Silme, düzeltme ve bilgi talebi
- Başvuruya kaç günde cevap verilir?
- Veri sızıntısı
- Sponsor ve üçüncü kişilere aktarım
- Okul personelinin ve öğrenci temsilcisinin sınırları
- Şikâyet dilekçesi hazırlarken veri
- Sık yapılan hatalar
- Kaynaklar
Okul öğrenci ve veli verilerini hangi şartla işler?
Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez. Kanunlarda açıkça öngörülmesi, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması ve hukuki yükümlülüğün yerine getirilmesi gibi sayılı hâllerde açık rıza aranmaz (m. 5). Okul kaydı, öğrenci belgesi, devamsızlık ve not kaydı gibi işlemler genellikle bu istisnaların kapsamına girer. Ancak rıza metinlerinde amaç ve kapsamı dikkatle okuyun: "tüm paylaşımlara onay" şeklindeki geniş bir rıza, her kullanımı meşrulaştırmaz.
Gereğinden fazla veri istenebilir mi?
Kişisel veriler işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmalı, belirli, açık ve meşru amaçlar için işlenmeli ve gerekli süre kadar saklanmalıdır (m. 4). Başvuru formunda amaçla ilgisi olmayan bilgi isteniyorsa gerekçesini yazılı sorabilirsiniz. Üniversite başvurusunda sizden gereksiz aile verisi isteniyorsa verinin hangi işlem için ve hangi hukuki dayanakla istendiğini sorun; başvuru amacıyla bağlantısız veri toplamaya ilişkin talebinizi kayıtlı iletin. Kooperatif veya okul yönetimine yazdığınız bir taleplerde de gereksiz sağlık veya aile verisi eklemeden, talebi, dönemi ve belgeyi açıkça tanımlayın.
Sağlık bilgisi ve özel nitelikli veriler
Sağlık verisi özel nitelikli kişisel veridir ve işlenmesi kural olarak yasaktır. Açık rıza, kanunda öngörülmesi veya sır saklama yükümlülüğü altındaki kişilerce sağlık hizmeti amacıyla gerekli olması gibi sayılı hâllerde işlenebilir (m. 6). Dolayısıyla okulun çocuğunuzun sağlık raporunu kimlerle paylaşabileceği sınırlıdır. Sınıf WhatsApp grubunda çocuğunuzun sağlık bilgisi paylaşıldıysa paylaşılan veriyi, kişileri ve amacı belirleyin; gereksiz yayılımı artırmadan kuruma bildirim ve veri haklarına ilişkin başvuru yollarını değerlendirin. Spor kulübünde sporcunun sağlık raporuna erişim de görev, amaç ve hukuki şartlarla sınırlanmalıdır; kimlerin hangi nedenle eriştiğini ilgili veri sorumlusuna sorabilirsiniz.
Fotoğraf, video ve tanıtım paylaşımı
Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez; fotoğraf da kişisel veridir (m. 5). Okulun açık rıza almadan çocuğunuzun fotoğrafını web sitesinde veya sosyal medyada paylaşması, kanunda sayılan istisnalardan biri yoksa hukuka aykırı olabilir. Verdiğiniz iznin amacı, kapsamı ve süresi önemlidir: eğitim kaydı için verilen izin, reklam ve tanıtım kullanımını kendiliğinden kapsamaz. Öğrenci fotoğrafının tanıtımda kullanılmasına verilen izin sınırsız değildir; izni geri almak istiyorsanız talebinizi yazılı olarak kuruma iletin.
Kamera kayıtları ve sınav gözetimi
Okul kamerası kaydını sosyal medyada paylaşmak yerine, kayıtların korunmasını ve yetkili incelemeyi okuldan talep edin; çünkü başka çocukların görüntülerini kamuya yaymak yeni mahremiyet sorunları doğurur. Sınavda kamera kaydı alınması hâlinde de amaç, gereklilik, bilgilendirme ve saklama süresi değerlendirilir: hangi verinin neden tutulduğunu veri sorumlusuna sorabilirsiniz (m. 4, 10, 11).
Kayıtta size hangi bilgiler verilmeli? (aydınlatma)
Veri sorumlusu, veri toplarken kendisinin ve varsa temsilcisinin kimliğini, verilerin işleneceği amacı, kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemi ile hukuki sebebini ve haklarınızı bildirmekle yükümlüdür (m. 10). Kayıt formunu imzalamadan önce bu bilgilerin metinde yer alıp almadığına bakın; aydınlatma metni yoksa isteyin.
Silme, düzeltme ve bilgi talebi
Verilerin işlenmesini gerektiren sebepler ortadan kalkmışsa veriler resen veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hâle getirilir (m. 7). İlgili kişi veri sorumlusuna başvurarak bu haklarını kullanabilir (m. 11); ancak diğer kanunlardaki saklama yükümlülükleri saklıdır. Örneğin mezuniyet kayıtlarını okul yasal sebeple saklamak zorunda kalabilir; buna karşılık sosyal medya paylaşımları veya tanıtım fotoğrafları için silme talebinde bulunabilirsiniz.
Başvuruya kaç günde cevap verilir?
Veri sorumlusu başvurudaki talepleri, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır (m. 13). Başvuruyu yazılı veya Kurulun belirlediği diğer yöntemlerle yapın ve bir nüshasını saklayın; ileride kanıt olur. Başvurunuzda talebinizi, kimliğinizi ve ilgili işlemi açıkça belirtin.
Veri sızıntısı
Kişisel veriler kanuni olmayan yollarla başkaları tarafından elde edilirse veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirmek zorundadır. Veri sorumlusu ayrıca uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirleri almakla yükümlüdür (m. 12). Okuldan öğrenci verisi sızdığını öğrenirseniz okuldan yazılı bilgi isteyin ve Kurula başvurma imkânınızı değerlendirin.
Sponsor ve üçüncü kişilere aktarım
Kişisel veriler, kural olarak ilgili kişinin açık rızası olmaksızın aktarılamaz (m. 8). Kanunda sayılan şartlardan biri bulunmadıkça okulun öğrenci verilerini reklam veya sponsor amacıyla üçüncü kişilere aktarması hukuka aykırı olur.
Okul personelinin ve öğrenci temsilcisinin sınırları
Veri sorumluları ve veri işleyenler, öğrendikleri kişisel verileri kanuna aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamaz; bu yükümlülük görevden ayrıldıktan sonra da devam eder (m. 12). Öğrenci temsilcisi de bütün öğrencilerin özel dosyalarına erişemez; temsil görevi sınırsız kişisel veri erişimi sağlamaz. Yetki, amaç ve gerekli veri kapsamı ayrı değerlendirilmelidir (m. 4, 5).
Şikâyet dilekçesi hazırlarken veri
Okul hakkında şikâyet hazırlarken diğer çocukların adlarını yazmak zorunda değilsiniz: olayın incelenmesi için gerekli bilgiyi yetkili makama sunun, ilgisiz kişilerin verilerini azaltın ve başvuru dosyasıyla kamuya açık paylaşımı birbirinden ayırın (m. 4).
Veri sorumlusuna başvuru dilekçesi nasıl hazırlanır?
Okula veya üniversiteye yapacağınız başvuru, açık ve belgeli olduğunda daha hızlı sonuç verir. Şu adımları izleyin:
- Muhatabı belirleyin. Okulun veya üniversitenin veri sorumlusu olarak başvuru yapılacak birimini (müdürlük, genel sekreterlik veya kurumun belirttiği başvuru adresi) öğrenin.
- Kimliğinizi ve ilişkinizi belirtin. Öğrenci veya veli olduğunuzu ve hangi çocuk adına başvurduğunuzu yazın; gereksiz kimlik ve sağlık ayrıntısı eklemeyin.
- Talebi somutlaştırın. "Fotoğrafın web sitesinden kaldırılmasını", "sağlık raporuma kimlerin eriştiğini öğrenmeyi" ya da "başvuru formundaki şu bilgilerin hangi hukuki dayanakla istendiğini" gibi açık cümleler kullanın.
- Yöntemi seçin. Başvurunuzu yazılı veya Kurulun belirlediği diğer yöntemlerle yapın; teslim aldığınızı gösteren bir kayıt (kaşeli nüsha, e-posta teslim bildirimi, kayıt numarası) edinin.
- Süreyi takip edin. Cevap için kanunun öngördüğü azami süreyi başvuru tarihinden başlatın ve cevabı, varsa ek belgelerle birlikte saklayın.
Cevap vermeyen veya yetersiz cevap veren veri sorumlusuna karşı izleyeceğiniz yolları, ilgili başvuru ve cevap tarihlerini göstererek değerlendirin. Başvuru ve cevap yazışmaları, ileride kuruma ya da başka bir mercie başvurmanız gerekirse temel delilinizdir.
Çocuğun verisi ve velinin rolü
Çocuğun kişisel verileri bakımından başvuruyu çoğunlukla veli veya yasal temsilci yapar. Bu nedenle okul, bir çocuğun verilerini üçüncü kişilere (diğer veliler, sponsorlar, kulüpler) açmadan önce kimin hangi amaçla eriştiğini kayıt altında tutmalıdır. Veli olarak, çocuğunuzun fotoğraf, video, sağlık ve başarı bilgileri hakkındaki izinleri ayrı ayrı vermeniz ve her izin için amaç ile süreyi sormanız yerindedir. Bir etkinlik için verilen fotoğraf izninin, okulun yıllık tanıtım broşürüne kendiliğinden uzanmadığını unutmayın.
Sık yapılan hatalar
- Her rıza metnini okumadan imzalamak.
- Okul grubunda çocuğun sağlık bilgisini paylaşmak.
- Kamera görüntüsünü sosyal medyada yaymak.
- Silme veya bilgi talebini sözlü yapmak ve nüsha saklamamak.
Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (m. 4, 5, 6, 7, 8, 10, 11, 12, 13)