Eğitim danışmanlığında KVKK: öğrenci verisini hukuka uygun işlemenin ve korumanın yolu

Bir eğitim danışmanlığı, ortalama bir küçük işletmeden çok daha hassas veri işler: pasaport ve kimlik kopyaları, diploma ve transkriptler, banka hesap dökümleri, vize için sağlık raporları ve çoğu zaman 18 yaş altı öğrencilerle velilerinin bilgileri. Üstelik bu veriler işin doğası gereği yurt dışındaki kurumlara aktarılır. 6698 sayılı Kişisel Verilerin Korunması Kanunu bu tabloyu doğrudan ilgilendirir: eğitim danışmanlığında KVKK uyumu, öğrenci verisinin toplandığı ilk formdan silindiği güne kadar her adımı kapsar.

Bu yazı hukuki tavsiye değildir; yükümlülüklerinizi bir avukat ya da KVKK danışmanıyla doğrulayın. Amacımız, bir danışmanlık ofisinin gündelik işinde nerelere dikkat etmesi gerektiğini somut olarak göstermek.

Önce envanter: hangi verileri işliyorsunuz?

Uyumun ilk adımı ne işlediğinizi bilmektir. Tipik bir ofis şu kategorileri işler:

• Kimlik ve iletişim. Ad, TC kimlik numarası, pasaport, doğum tarihi, adres, telefon, e-posta.
• Eğitim. Diploma, transkript, sınav sonuçları, referans mektupları.
• Mali. Hesap dökümleri, sponsor mektupları, ödeme bilgileri.
• Veli ve aile. Reşit olmayan öğrencilerde velinin kimlik ve iletişim bilgileri.
• Özel nitelikli veriler. Vize ve sigorta için sağlık raporları, bazı ülkeler için adli sicil kaydı. Kanun’un 6. maddesi bu verilere daha sıkı şartlar getirir.

Her kategori için şu soruların cevabı yazılı olmalı: neden işleniyor, hangi hukuki sebeple, kim erişiyor, nereye aktarılıyor, ne kadar saklanıyor. Bu tabloya kişisel veri işleme envanteri denir; VERBİS kaydı gerekmese bile hazırlanması gerekir.

Aydınlatma ve açık rıza

Kanun’un 10. maddesi, veri toplarken ilgili kişiyi bilgilendirmeyi zorunlu kılar: kim topluyor, hangi amaçla, kime aktarılacak, hangi hukuki sebeple ve ilgili kişinin hakları neler. Bu aydınlatma metnidir; imza gerektirmez ama sunulduğu ispatlanabilmelidir. Web formu, ilk görüşme ve hizmet sözleşmesi bu metni sunmanın doğal yerleridir.

Açık rıza ayrı bir şeydir. Sözleşmenin kurulması ya da ifası için zorunlu olan verilerin işlenmesi (5. madde) rıza gerektirmez; başvuru için diploma işlemek buna örnektir. Ancak sağlık verisi gibi özel nitelikli veriler için kural olarak açık rıza gerekir ve bu rıza belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olmalıdır. Rızayı hizmetin şartı hâline getirmek rızayı geçersiz kılar.

Reşit olmayan öğrencilerde bilgilendirme ve rıza, velinin de dâhil olduğu bir süreçle alınmalıdır.

Yurt dışına veri aktarımı: işin doğasında var

Danışmanlığın işi öğrencinin belgelerini yurt dışındaki kuruma iletmektir; bu bir yurt dışına aktarımdır ve Kanun’un 9. maddesindeki şartlara tabidir. Uygulamada üç şey yapılmalı:

• Aydınlatma metninde aktarımın yapılacağını, hangi ülkelere ve ne amaçla yapılacağını açıkça belirtin.
• Aktarımın hukuki dayanağını mevzuatın güncel hâline göre belirleyin ve belgeleyin.
• Kullandığınız yazılım ve depolama hizmetlerinin sunucularının nerede olduğunu bilin; verinin bir bulut hizmetinde yurt dışında barınması da aktarımdır.

VERBİS kaydı gerekiyor mu?

Veri Sorumluları Sicili’ne (VERBİS) kayıt yükümlülüğü çalışan sayısı, mali büyüklük ve ana faaliyetin özel nitelikli veri işleme olup olmaması gibi ölçütlere bağlıdır; eşikler Kurul kararlarıyla belirlenir ve değişebilir. Güncel eşikleri Kişisel Verileri Koruma Kurumu’nun resmî sitesinden kontrol edin. Kayıt zorunluluğu olmasa da envanter, saklama politikası ve aydınlatma yükümlülükleri devam eder.

Saklama ve imha

Kişisel veri, amaç için gerekli süreden uzun tutulamaz. Bunun için bir saklama ve imha politikası gerekir: hangi veri ne kadar tutulur, süre dolunca nasıl silinir ya da anonim hâle getirilir. Sık yapılan hata, “belki gelecek yıl tekrar başvurur” diye her şeyi süresiz tutmaktır. Ret alan bir öğrencinin pasaport kopyasını yıllarca saklamanın savunulabilir bir gerekçesi yoktur.

Silme talebi geldiğinde yerine getirebilmeniz için verinin nerede olduğunu bilmeniz gerekir: e-posta kutuları, mesajlaşma uygulamaları ve kişisel bilgisayarlar bu listede en çok unutulan yerlerdir.

Teknik ve idari tedbirler

Kanun, veri güvenliği için gerekli her türlü teknik ve idari tedbirin alınmasını ister. Bir danışmanlık ofisi için bunun karşılığı:

İhlal olursa

Bir veri ihlali (yanlış kişiye gönderilen belge, çalınan bilgisayar, ele geçirilen hesap) yaşandığında Kurul kararı gereği ihlalin öğrenilmesinden itibaren 72 saat içinde Kişisel Verileri Koruma Kurulu’na bildirim yapılması, ilgili kişilerin de makul sürede bilgilendirilmesi gerekir. Ne yapacağınızı ihlal anında değil önceden yazın: kim değerlendirir, kim bildirir, hangi kayıtlara bakılır.

Yazılım seçerken sorulacak KVKK soruları

1. Veri hangi ülkede barınıyor ve alt işleyenler kimler?
2. Kurumlar arası ayrım yalnızca uygulama kodunda mı, veritabanında da mı?
3. Roller ve yetkiler sunucu tarafında mı uygulanıyor?
4. Belgeler herkese açık bağlantıyla açılabiliyor mu?
5. Denetim kaydı var mı ve kurum yöneticisi görebiliyor mu?
6. Bir öğrencinin verisini tamamen silebiliyor muyum; verimi dışa aktarabiliyor muyum?
7. Öğrenci portalı yalnızca öğrencinin kendi verisini mi gösteriyor?

Eğitim danışmanlığında KVKK uyumu bir seferlik belge işi değil, süreç tasarımıdır: belge toplama, paylaşım ve silme adımlarının nasıl kurulduğuyla ilgilidir. Bu adımları başvuru süreci yazısında, kayıt sisteminin bunu nasıl kolaylaştırdığını CRM yazısında bulabilirsiniz.