Eğitim Kurumu KVKK Uyum Paketi (Öğrenci & Çocuk Verisi)

Bu paket, faaliyetleri sırasında öğrenci ve çocuklara ait kişisel veri işleyen her eğitim kurumu için tasarlanmıştır. Türkiye'deki eğitim kurumlarının büyük çoğunluğu, öğrenci kaydı sırasında KVKK'nın özel nitelikli veri kapsamına giren bilgileri —sağlık durumu, biyometrik görüntü, psikolojik gelişim raporu— toplamakta; ancak bu verileri nasıl işlemeleri gerektiği konusunda sistematik bir yol haritasına sahip bulunmamaktadır.

• Anaokulu ve kreşler: Kayıt sırasında toplanan doğum belgesi, sağlık raporu, alerjiler, acil iletişim bilgileri ve günlük fotoğraflar KVKK'nın özel nitelikli veri kapsamına girer. Ebeveynin imzaladığı kâğıt form tek başına yasal uyumu sağlamaz; kanun, aydınlatma metninin açık ve anlaşılır biçimde sunulmasını zorunlu kılar.
• İlk ve orta öğretim kurumları: Öğrenci karnesi, psikolojik danışmanlık notları, sağlık muayene sonuçları ve devamsızlık kayıtları işlenen en riskli veri türleridir. Bu verilerin üçüncü kişilerle paylaşılması —örneğin aile mahkemesine veya sosyal hizmetlere bilgi verilmesi— ayrı bir hukuki dayanak gerektirir.
• Özel dershane ve etüt merkezleri: Deneme sınav sonuçları, öğrenci koçluk görüşme notları ve veliye gönderilen SMS ile e-posta bildirimleri kişisel veri kapsamındadır. Toplu SMS gönderiminde açık rıza alınmaması sıkça karşılaşılan ihlal gerekçelerinden birini oluşturmaktadır.
• Müzik, spor ve sanat kursları: Kayıt formundaki fotoğraf, yaş ve sağlık bilgisi ile sosyal medyada paylaşılan etkinlik görselleri ayrı ayrı rıza gerektirir. Görselin paylaşıldığı her platform —Instagram, WhatsApp grubu, kurumun web sitesi— için rızanın ayrıca alınmış olması beklenir.
• Çok şubeli zincir kuruluşlar: Her şubenin ayrı veri envanteri tutması ve merkezi silme ile imha mekanizmasıyla koordineli çalışması zorunludur. Merkez ofis ile şubeler arasındaki veri aktarımı da yasal dayanağa kavuşturulmalıdır.

Kurumunuzun büyüklüğü veya öğrenci sayısından bağımsız olarak, tek bir öğrencinin verisini bile dijital ortamda saklıyorsanız KVKK yükümlülüğü doğmuş demektir. Kişisel Verileri Koruma Kurumu'na yapılan şikâyet başvuruları giderek artmakta; velilerin farkındalığı her geçen dönem yükselmektedir. Bu paketi uyguladıktan sonra kurumunuz olası bir denetim veya şikâyet sürecine karşı kapsamlı ve sağlam bir savunma dosyasına sahip olur.

Eğitim sektöründe KVKK ihlalleri diğer sektörlerden daha sık karşılaşılan üç temel nedenden kaynaklanır. Bu nedenlerin her biri, kuruma hem idari para cezası hem de veli güveni kaybı riski doğurmaktadır:

1. Aydınlatma metni eksikliği veya geçersizliği: Web sitesindeki kayıt formu altında "kişisel verileriniz güvende" yazmak aydınlatma yükümlülüğünü karşılamaz. Kanun madde 10, hangi verinin, hangi amaçla, hangi hukuki dayanak ile işlendiğini açıkça belirtmeyi zorunlu kılar. Genel ifadeli, sektöre özgü olmayan metinler Kurul tarafından yeterli kabul edilmemektedir.
2. Çocuklar için veliden alınmayan açık rıza: 18 yaşın altındaki bireylerin özel nitelikli verileri —sağlık bilgisi, fotoğraf, biyometrik tanımlama— için ebeveyn veya yasal vasiden ayrıca açık rıza alınması şarttır; öğrencinin kendi imzası hukuken geçersizdir. Velinin başka bir belgeyi imzalarken “fotoğraf kullanımına izin veriyorum” gibi satır arası bir ibarenin altına attığı imza da tek başına geçerli sayılmaz.
3. Veri envanteri ve saklama politikasının yokluğu: Kurumlar hangi verinin nerede saklandığını, ne kadar süre tutulacağını ve nasıl imha edileceğini bilmemektedir. VERBİS'e kayıt yükümlülüğü olan kurumların veri envanteri zorunluluğu bulunmakla birlikte bu envanterin güncel tutulmaması da ayrı bir ihlal gerekçesi oluşturur.

Bu paket; teknik (yazılım, form altyapısı, şifreleme), idari (politika belgesi, çalışan eğitimi) ve hukuki (metin taslakları, imza akışları) katmanları aynı anda ele alır. Sadece belge üretmez; sistemin gerçek hayatta çalışmasını sağlar. Paket tesliminden sonra kurum; veli başvurularını karşılayan bir ilgili kişi başvuru formu, çalışanlar için uyum eğitimi materyali ve yıllık denetim kontrol listesiyle donanır. Veri ihlali yaşandığında 72 saat içinde Kurul'a bildirim zorunluluğu bulunduğundan, teslim edilen ihlal bildirim prosedürü bu kritik süreçte kurumu hazırlıklı kılar.

Eğitim kurumlarının karşılaştığı dördüncü bir sorun da üçüncü taraf paylaşımlarıdır. Fotoğrafçı ile yapılan çekim anlaşması, okul rehberlik servisiyle koordinasyon yapan psikolog, muhasebe yazılımı sağlayıcısı veya SMS gönderim hizmeti — bunların hepsi kişisel veri aktarımı kapsamına girer. Her aktarımın ayrı bir sözleşmeye ya da hukuki dayanağa kavuşturulması gerekir; aksi hâlde veriyi aktaran kurum sorumlu tutulur, alan taraf değil.

Bu paket yalnızca bugünkü uyumsuzluğu gidermekle kalmaz; kurumu ilerleyen dönemlerde de uyumlu kılacak bir yaşayan sistem inşa eder. Kurul mevzuatı değiştikçe, okulun yeni bir yazılım satın aldıkça veya farklı bir hizmet sağlayıcıyla çalışmaya başladıkça politika belgeleri ve envanterler güncellenir; bu güncelleme süreci de paket kapsamında rehberlenir.

1. Keşif ve veri haritalama (1. hafta): Kurumun tüm veri toplama noktaları —kayıt formu, WhatsApp grupları, muhasebe yazılımı, güvenlik kamerası, veli uygulaması— listelenir. Hangi verinin işlendiği, nerede saklandığı, kimlerin erişimi olduğu ve üçüncü taraflarla paylaşım durumu belirlenir. Bu aşamada kurumun VERBİS yükümlülüğü taşıyıp taşımadığı da değerlendirilir.
2. Hukuki analiz ve belge taslakları (2. hafta): Aydınlatma metni, açık rıza formu (veli için), veri saklama ve imha politikası ile kişisel veri envanteri taslakları hazırlanır. Çocuk verisi işleyen kurumlar için ek gereksinim olan çocuk veri işleme ek protokolü ayrıca kaleme alınır. Tüm metinler Türkçe, sade ve Kurul kılavuzlarına uygun biçimde yazılır.
3. Teknik uygulama (3–4. hafta): Web sitesi kayıt formlarına çift onay mekanizması, belge imzalama için dijital imza akışı ve otomatik saklama süresi takip paneli entegre edilir. Mevcut öğrenci yönetim yazılımınızla uyumlu köprü kurulur; çalışanlar için erişim günlüğü ve denetim izi kaydı devreye alınır.
4. Çalışan eğitimi ve politika onayı (5. hafta): İdari personel ve öğretmenler için yüz yüze veya çevrimiçi olarak verilen farkındalık eğitiminde; hangi verinin nasıl işleneceği, veli başvurularının nasıl yanıtlanacağı ve veri ihlalinde ne yapılacağı uygulamalı olarak aktarılır. Tüm politika belgelerinin kurum yönetimi tarafından onaylanması ve imzalanması sağlanır.
5. Denetim ve teslim (6. hafta): Tüm form akışları, imza zincirleri ve politika belgeleri çapraz denetimden geçirilir. Kurum, yıllık iç denetim için kullanabileceği kontrol listesi, güncelleme rehberi ve Kurul mevzuatındaki değişiklikleri takip etmesi için kaynak listesiyle teslim alır.

Her adımın sonunda kuruma kısa durum raporu sunulur; hangi belgelerin tamamlandığı, hangi teknik entegrasyonların devreye alındığı ve bir sonraki adımda neler yapılacağı özetlenir. Bu şeffaflık hem proje yönetimini kolaylaştırır hem kurumun iç paydaşlarını bilgilendirmesine olanak tanır.

VERBİS kaydı gerektiren kurumlar için kayıt başvurusu hazırlığı da süreç içinde ele alınır. Veri envanteri oluşturulduktan sonra VERBİS için gerekli kategoriler ve işleme faaliyetleri doğrudan envanter belgesinden beslenir; ayrı bir hazırlık süreci gerekmez.

Teknik uygulama aşamasında kurumun mevcut web altyapısı —WordPress, özel geliştirme veya hazır okul yönetim yazılımı— dikkate alınarak entegrasyon planlanır. Mevcut sistemi değiştirmek yerine üzerine katman eklemek tercih edilir; bu yaklaşım hem maliyet hem de geçiş riski açısından kuruma avantaj sağlar.

Bu paketin bizzat kendisi bir güvenlik ve uyum ürünüdür; dolayısıyla kendi sürecinde de en yüksek standartları uygularız. Çocuk verisi işlenmesi gereken her aşamada ek önlemler devrededir:

• Veri minimizasyonu ilkesi: Keşif aşamasında kurumunuza ait öğrenci verilerine erişmeyiz; yalnızca sistem mimarisini ve veri akışlarını analiz ederiz. İhtiyaç duyulmayan verinin hiç toplanmaması ve kapsam dışı veri alanlarının formlardan kaldırılması da danışmanlık kapsamındadır.
• Gizlilik sözleşmesi: Proje başlangıcında karşılıklı imzalanan NDA ile keşif sürecinde öğrenilen tüm kurumsal bilgiler —personel yapısı, yazılım altyapısı, mevcut uyum açıkları— gizli tutulur. Bu sözleşme Türk hukuku çerçevesinde hazırlanır ve cezai şart içerir.
• Türk hukuku uyumu: Hazırlanan tüm belgeler 6698 sayılı KVKK ve Kişisel Verileri Koruma Kurulu'nun güncel kılavuz kararlarına dayanır. Çocuk verisi işleyen kurumlar için uluslararası en iyi uygulama standartları da rehber olarak benimsenir.
• Şifrelenmiş depolama: Dijital imza ile alınan onay formları AES-256 şifreli ortamda saklanır; yalnızca yetkili kurum yöneticisinin erişimine açıktır. Erişim günlüğü otomatik tutulur ve silinmesi engellenir.
• Veri ihlali hazırlığı: Teslimatta bir veri ihlali müdahale planı sunulur. Bu plan; ihlali kim bildirir, 72 saatlik Kurul bildirim süreci nasıl yönetilir ve etkilenen velilere nasıl ulaşılır sorularını adım adım yanıtlar.

Paket tesliminden sonra tüm uyum belgeleri ve imza kayıtları kurumun kendi sunucusuna veya tercih ettiği bulut ortamına aktarılır; yazilim.pro bu verilerin uzun vadeli saklayıcısı değildir.

Kapsam içindeki tüm çalışmalar sırasında kurumun öğrenci verilerine gerçek anlamda dokunulmaz; analiz yalnızca veri akışı yapısını ve sistem mimarisini inceler. Bu prensip hem KVKK hem de kurumun velilerine karşı dürüstlük yükümlülüğüyle uyumludur.

Paket tesliminde hazırlanan belgeler kuruma tam devredilir; telif hakkı kuruma aittir. Aydınlatma metni ve rıza formları kurumun logosunu ve iletişim bilgilerini içerecek şekilde kişiselleştirilir; jenerik bir şablon değil, kuruma özel, yayınlanmaya hazır bir belge paketidir. Herhangi bir güncelleme ihtiyacında belgeler kolayca revize edilebilir; bağımlılık yaratmayan bir teslim anlayışıyla çalışılır.