Eğitim Kurumları İçin KVKK: Öğrenci Verisi ve Veli İzni

Özel okul, kreş, kurs ve etüt merkezleri eğitim hizmeti sunarken öğrencilerin ve velilerin farklı türde kişisel verilerini işler. Bu rehberde kayıt formlarından fotoğraf paylaşımına, sağlık bilgilerinden servis uygulamalarına kadar günlük işleyişte karşılaşılan KVKK konularını ele alıyoruz.

Not: Genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir.

Eğitim kurumu hangi verileri işler, hangileri özel nitelikli?

Bir öğrencinin adı, soyadı, iletişim bilgileri, sınıfı, devam durumu ve eğitim sürecine ilişkin kayıtları kişisel veri olabilir. Velinin iletişim bilgileri, öğrenciyle yakınlık bilgisi, ödeme ve fatura kayıtları da kurumun faaliyetleri sırasında işlenebilir. “İşleme” yalnızca bir formu doldurmak anlamına gelmez; verinin alınması, kaydedilmesi, görüntülenmesi, paylaşılması, saklanması ve silinmesi de süreç içinde yer alabilir. 6698 sayılı Kanun’un m.3 hükmü kişisel veri ve işleme gibi tanımları düzenler; kurum, hangi verilerin hangi süreçte kullanıldığını bu çerçevede belirlemelidir.

Bazı bilgiler, sıradan iletişim veya eğitim kayıtlarından daha hassas niteliktedir. Sağlık durumu, alerji, engellilik bilgisi, kullanılan ilaçlar ya da sağlık raporları özel nitelikli kişisel veri kapsamında değerlendirilebilir. 6698 sayılı Kanun’un m.6 hükmü özel nitelikli kişisel verilerin işlenme şartlarını düzenler; bu nedenle sağlık bilgisini genel öğrenci dosyalarına gelişigüzel eklemek veya herkesin görebileceği bir çizelgede tutmak uygun bir yaklaşım değildir. Her kaydın gerçekten gerekli olup olmadığı ve kimlerin erişmesi gerektiği ayrıca düşünülmelidir.

Somut bir örnek düşünelim: Kreş, çocuğun acil durumda aranacak kişisini ve bilinen ciddi alerjisini öğrenmek isteyebilir. Bu bilgi bakım ve acil müdahale sürecinde işe yarayabilir; buna karşılık alerji bilgisinin sınıftaki tüm velilere gönderilmesi aynı amaca hizmet etmez. Benzer şekilde kursun sınav sonuçlarını eğitmenlerin görmesi gerekebilirken, öğrenci listelerinin tüm çalışanlara açık olması gerekmeyebilir.

Sık yapılan hata, kayıt formunda istenen her bilgiyi “ileride lazım olabilir” düşüncesiyle toplamaktır. Pratikte önce süreçleri listeleyin: başvuru, eğitim, ödeme, iletişim, servis, sağlık ve tanıtım gibi. Her süreç için gerekli veri alanlarını belirleyin, gereksiz alanları kaldırın ve erişimi işin gereğiyle sınırlayın. Eğitim kurumları için hazırlanmış süreç örneklerini eğitim kurumları KVKK rehberinde inceleyebilir, kurumunuza uygun belge düzenini kurarken belge şablonlarından yararlanabilirsiniz.

Çocuğun verisi için kim rıza verir?

“Okul veli rızası almak zorunda mı?” sorusunun her işlem için geçerli tek bir cevabı yoktur. Kurum, önce veriyi hangi amaçla ve hangi hukuki işleme şartına dayanarak kullanacağını belirlemelidir. 6698 sayılı Kanun’un m.5 hükmü kişisel verilerin işlenme şartlarını düzenler; bu şartlardan biri uygulanabiliyorsa her işlemde açık rıza almak zorunlu olmayabilir. Buna karşılık rıza gereken bir işlemde, rızanın belirli bir amaçla, bilgilendirilmiş şekilde ve özgür iradeyle verilmesi önem taşır.

Çocuk adına işlem yaparken velinin veya yasal temsilcinin rolü gündeme gelir. Ancak velinin imzası, kurumun tüm veri kullanımlarını sınırsız biçimde meşrulaştıran genel bir izin değildir. Rızanın hangi veri, hangi amaç ve hangi paylaşım için alındığı anlaşılır olmalıdır. Örneğin eğitim hizmetinin yürütülmesi için gerekli kayıtlarla, öğrencinin fotoğrafının kurumun sosyal medya hesabında tanıtım amacıyla yayımlanması aynı işlem değildir. Bu amaçları tek bir geniş izin cümlesinde toplamak, seçme özgürlüğünü belirsizleştirebilir.

Öğrencinin yaşı ve olgunluğu da iletişim biçimini etkiler. Kurum, özellikle daha büyük öğrencilerin verilerinin nasıl kullanılacağını onların anlayabileceği bir dille açıklayabilir; ancak temsil ve rıza konularında somut duruma göre hukuki değerlendirme gerekebilir. Veliye bilgi verilmesi, çocuğun mahremiyetini gözetme sorumluluğunu ortadan kaldırmaz. Çocukların fotoğraf, sağlık veya davranış bilgilerini paylaşırken “veli izin verdi” demek yerine paylaşımın gerekliliğini ve kapsamını da sorgulamak gerekir.

Sık yapılan hata, kayıt sözleşmesinin sonuna “kurumun her türlü veri kullanımına izin veriyorum” gibi kapsamı belirsiz bir ifade koymaktır. Bunun yerine eğitim hizmetinin yürütülmesi, zorunlu iletişim, tanıtım amaçlı görsel kullanımı ve üçüncü taraf uygulamalar gibi farklı süreçleri ayrı ayrı değerlendirin. Gerekli olmayan bir izni hizmetin koşulu hâline getirmeyin. Açık rızanın hangi durumlarda gündeme gelebileceğini açık rıza rehberinde ve terimin kapsamını açık rıza sözlüğünde okuyabilirsiniz.

Kayıt formunda aydınlatma nasıl yapılır?

Kayıt formu öğrencinin ve velinin bilgilerini toplarken, kurumun veri kullanımını açıklaması için de önemli bir temas noktasıdır. Aydınlatma metni, verilerin hangi amaçlarla ve hangi yöntemlerle işlendiğini, kimlere hangi amaçla aktarılabileceğini ve ilgili kişinin haklarını anlaşılır biçimde açıklamalıdır. 6698 sayılı Kanun’un m.10 hükmü veri sorumlusunun aydınlatma yükümlülüğünü düzenler. Aydınlatma, rıza istemekle aynı şey değildir; kişi verisinin nasıl kullanılacağını öğrenirken ayrıca rıza vermesi gereken bir işlem olup olmadığını da anlayabilmelidir.

Örneğin okul, öğrencinin kayıt ve devam bilgilerini eğitim hizmetinin yürütülmesi için alıyor, veliye duyuruları e-posta veya kısa mesajla iletiyor ve ödemeleri takip ediyorsa bu süreçler açıkça tarif edilmelidir. Kurum ayrıca kullanılan çevrim içi kayıt sistemi, servis uygulaması veya üçüncü taraf hizmetleri aracılığıyla verilerin kimlere aktarılabileceğini değerlendirmelidir. “İş ortaklarımızla paylaşabiliriz” gibi genel ifadeler, ilgili kişiye verinin hangi tür alıcıya ve hangi amaçla gideceğini anlatmayabilir.

Aydınlatma metninin formun içinde bulunması tek başına yeterli sayılmaz; metin kolay bulunmalı, okunabilir olmalı ve formun akışında kaybolmamalıdır. Kayıt görevlisi belgeyi teslim ettiğini belirtirken, velinin metne erişebildiğinden emin olmalı; dijital başvuruda ise metnin bağlantısı başvuru tamamlanmadan görülebilmelidir. Aydınlatma metni ile açık rıza kutusunu aynı onay seçeneğine dönüştürmek de sık karşılaşılan bir hatadır. Aydınlatma, bilgi verme; rıza ise gerekli olduğu durumlarda belirli bir işleme izin verme işlevi görür.

Pratik bir kontrol için her veri alanının yanına “neden alınıyor, kim kullanıyor, hangi alıcıya gidiyor, ne zaman gözden geçirilecek?” sorularını yazın. Sonra metindeki amaçların gerçek iş akışıyla uyuşup uyuşmadığını kontrol edin. Kurumun kayıt formu yenilenirken eski metni olduğu gibi taşımak yerine uygulamaları ve veri akışını güncelleyin. Aydınlatma metni hazırlama rehberi bu çalışmaya başlangıç sağlayabilir; kurumun hangi süreçlerinin belge gerektirdiğini gözden geçirmek için ücretsiz belge sihirbazını kullanabilirsiniz. Araçlar ücretsizdir; kayıt ve kart bilgisi istemez.

Öğrenci fotoğrafı sosyal medyada paylaşılabilir mi?

Öğrencinin fotoğrafı kişisel veridir ve fotoğrafın sosyal medya hesabında yayımlanması ayrıca değerlendirilmesi gereken bir kullanımdır. Bir öğrencinin etkinlikte fotoğraflanması, görselin kurum içinde saklanması ve aynı görselin herkese açık hesapta tanıtım amacıyla yayımlanması farklı işlemlerdir. Fotoğraf çekimine izin verilmiş olması, her mecrada ve her amaçla paylaşım için otomatik izin anlamına gelmez. Kurum paylaşımın amacını, erişim kitlesini, süresini ve görselin hangi hesaplarda kullanılacağını belirlemelidir.

“Öğrenci fotoğrafı için yazılı izin gerekir mi?” sorusuna verilecek yanıt, işlemenin dayanağına ve koşullarına bağlıdır. Tanıtım amacıyla paylaşımda kurumun hangi işleme şartına dayanabileceği ayrıca değerlendirilmelidir; açık rıza gerekiyorsa kapsamı belirli olmalı ve eğitim hizmetinden bağımsız düşünülmelidir. 6698 sayılı Kanun’un m.5 hükmü kişisel verilerin işlenme şartlarını düzenler; fotoğrafın özel nitelikli veri olup olmadığıyla ilgili değil, işleme şartının ne olduğuyla ilgilidir. Paylaşımın hukuka uygunluğu konusunda tereddüt varsa avukatınıza veya hukukçunuza danışın.

Somut bir örnekte, okul gösterisinin kayıt altına alınması etkinlik arşivi için gerekli olabilir; fakat seçilen görüntülerin kurumun tanıtım hesabında yayımlanması ayrı amaç taşır. Fotoğrafta başka çocukların da görünmesi, paylaşım öncesinde göz önünde bulundurulmalıdır. Yüzü tanınabilen öğrencilerin bulunduğu toplu fotoğrafları “herkes zaten oradaydı” gerekçesiyle yayımlamak mahremiyet riskini ortadan kaldırmaz. Çocuğun adı, sınıfı veya konumu da görselle birlikte açıklanmamalıdır; paylaşımın kapsamını gereksiz ayrıntılarla genişletmekten kaçının.

Kurum için uygulanabilir bir düzen, fotoğraf çekimi ve yayımlama amaçlarını ayırmak, izin tercihlerini ayrı kaydetmek ve paylaşım yapılacak kanalları açıklamaktır. İzin vermeyen öğrencilerin etkinlikten dışlanmaması, görsellerin kimler tarafından seçilip yayımlanacağının belirlenmesi ve kaldırma taleplerinin nasıl ele alınacağının bilinmesi gerekir. Eski tanıtım görsellerini de aralıklarla gözden geçirin; kullanım amacı sona ermiş veya izni belirsiz içerikleri çevrim içi ortamlarda bırakmayın. Öğrencinin hakları konusunda genel bilgi için ilgili kişi sözlüğüne bakabilirsiniz.

Sağlık ve alerji bilgisi nasıl saklanır?

Sağlık raporu, alerji kaydı, ilaç kullanımı ve benzeri bilgiler hassas nitelik taşıyabilir. Kurumun bu bilgileri istemeden önce hangi eğitim veya bakım ihtiyacı için gerekli olduğunu belirlemesi gerekir. 6698 sayılı Kanun’un m.6 hükmü özel nitelikli kişisel verilerin işlenme şartlarını düzenler; sağlık bilgisinin işlenmesi için sıradan öğrenci bilgileriyle aynı değerlendirmeyi yapmak yeterli değildir. Bilginin toplanma amacı, erişimi ve korunması birlikte ele alınmalıdır.

Bir kreşte ciddi alerji bilgisinin öğretmen veya ilgili bakım personelince bilinmesi acil durumda önem taşıyabilir. Buna rağmen bütün personelin sağlık raporunun tamamına erişmesi gerekmeyebilir. Kurum, gerekli bilginin kısa ve işlevsel bir kaydını yetkili kişilerin erişimine açabilir; ayrıntılı raporları ayrı ve daha sınırlı bir yerde tutabilir. Kimin erişeceği, görev tanımına göre belirlenmeli; personele bilgiyi sınıf gruplarında veya kişisel mesajlaşmalarda paylaşmaması gerektiği anlatılmalıdır.

Sık yapılan hatalardan biri, öğrenci sağlık bilgilerini ortak klasörlerde ya da tüm çalışanların gördüğü basılı listelerde tutmaktır. Bir diğeri, eski sağlık raporlarını ne amaçla saklandığına bakmadan öğrenci dosyasından hiç çıkarmamaktır. Saklama süresi her kurum ve kayıt türü için aynı olmayabilir; ilgili kayıt türüne uygulanabilen yükümlülükleri ve kurumun amacı sona erdiğinde verinin ne yapılacağını belirleyin. 6698 sayılı Kanun’un m.7 hükmü kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesini düzenler.

Pratik olarak sağlık bilgisini toplayan formu sadeleştirin, yalnızca gerekli soruları sorun ve güncel olmayan kayıtları düzenli olarak gözden geçirin. Acil durumda gerekli bilginin erişilebilir olmasıyla, tüm sağlık dosyasının yaygın biçimde görüntülenmesi aynı şey değildir. Personel değiştiğinde eski erişimleri kapatın; kâğıt belgeleri kilitli yerde saklayın ve dijital dosyalara yetki tanımlayın. Sağlık verisinin kapsamını netleştirmek için özel nitelikli kişisel veri sözlüğünü inceleyin; özel bir olayda avukatınıza veya hukukçunuza danışın.

Servis takip ve okul uygulamaları: veri kimde?

Servis takip sistemi veya okul uygulaması kullanıldığında, öğrenci verileri yalnızca okulun bilgisayarlarında kalmayabilir. Uygulamayı sağlayan şirket, servis firması, barındırma hizmeti sunan taraf veya başka bir hizmet sağlayıcı veriye erişebilir. Öncelikle hangi verinin uygulamaya yüklendiğini, bu veriyi kimin hangi amaçla kullandığını ve kurumun hizmet sağlayıcıyla nasıl bir ilişki kurduğunu anlamak gerekir. Hizmet sağlayıcının teknik bir araç sunması, veri akışının incelenmesi gereğini ortadan kaldırmaz.

Örneğin servis uygulaması öğrencinin bindiği aracı, durak bilgisini ve veliye gönderilen bildirimleri işleyebilir. Kurum, velilere duyuru yapmanın ötesinde konum veya hareket verisi toplanıp toplanmadığını, bu bilginin ne kadar süre tutulduğunu ve hangi çalışanların görebildiğini öğrenmelidir. Uygulama öğrencinin veya velinin telefonuna yükleniyorsa, aydınlatma bilgisi de başvuru ve kullanım aşamalarında erişilebilir olmalıdır. Kurum, yazılım sağlayıcıdan veri silme, güvenlik, destek erişimi ve alt hizmet sağlayıcılar hakkında bilgi isteyebilir.

Sık yapılan hata, uygulama kullanım şartlarını kabul etmeyi tek başına kurumun tüm sorumluluklarını karşılayan bir adım saymaktır. Oysa okul hangi verinin aktarılacağını, uygulamanın eğitim veya servis hizmeti için gerekli olup olmadığını ve alternatif iletişim yolunun bulunup bulunmadığını değerlendirmelidir. 6698 sayılı Kanun’un m.8 hükmü kişisel verilerin aktarılmasını düzenler; hizmet sağlayıcıya veri iletilirken aktarımın amacı ve hukuki dayanağı da göz önünde bulundurulmalıdır. Yurt dışındaki sistemler veya hizmetler söz konusuysa, 6698 sayılı Kanun’un m.9 hükmü kişisel verilerin yurt dışına aktarılmasını düzenler ve bu aktarım ayrıca değerlendirilmelidir.

Uygulama seçmeden önce veri envanteri çıkarın: hangi alanlar zorunlu, hangileri isteğe bağlı, kim erişiyor ve hizmet bittiğinde kayıtlar nasıl ele alınıyor? Velilere uygulama kullanımının amacı ile bildirim tercihlerini anlatın. Kurumun kendi hesabını ve yetkilerini düzenli kontrol edin; ayrılan personelin erişimini kapatın. Kayıt zorunluluğu hakkında değerlendirme yaparken sektörün niteliği ve ilgili kayıt ölçütleri önemlidir; KVKK ve VERBİS rehberi kurumun incelemesine yardımcı olabilir.

Veli WhatsApp grupları ve sınıf listeleri nasıl yönetilmeli?

Veli iletişim grupları, duyuruları kolaylaştırsa da telefon numarası ve grup üyeliği gibi bilgileri diğer katılımcılara görünür kılabilir. Bir veli, kurumun duyurusunu almak için telefon numarasının sınıftaki tüm velilere açılmasını beklemeyebilir. Bu yüzden grubu kurmadan önce amacı, katılımcıları, mesaj gönderebilecek kişileri ve numaraların görünürlüğünü değerlendirin. Kurumun grubu yönetmesi, grup içindeki her paylaşımın kontrol edileceği anlamına gelmediğinden, iletişim kurallarını baştan açıklamak önemlidir.

Sınıf listeleri de öğrenci adı, sınıfı, veli adı, telefon numarası ve bazen alerji veya servis bilgisi içerebilir. Listeyi sınıftaki tüm velilere göndermek, iletişimi kolaylaştırsa bile listedeki her bilginin bu kişilerle paylaşılmasını gerekli kılmaz. Duyuru için kullanılan bir iletişim kanalıyla sağlık bilgisinin paylaşılması aynı amaç değildir. Kurum, listede hangi verinin bulunacağını sınırlandırmalı ve veli iletişim bilgilerini yalnızca gerekli kişilerle paylaşmalıdır.

Özellikle veli gruplarında çocukların fotoğrafları, devamsızlık bilgileri, davranışları veya sağlık durumları hakkında konuşulması risk yaratabilir. “Kapalı grup” ifadesi içeriğin yalnızca amaçlanan kişilerce görüleceğini veya sonradan paylaşılmayacağını garanti etmez. Grup yöneticileri, öğrenciye ilişkin hassas bilgilerin gruba yazılmaması ve diğer velilerin mesajlarının izinsiz biçimde başka ortamlara taşınmaması konusunda açık kurallar koyabilir. Kişisel bir konuyu görüşmek gerekiyorsa toplu grup yerine veliyle doğrudan ve güvenli bir iletişim kanalı kullanın.

Pratik adımlar arasında grup üyeliğinin isteğe bağlı olup olmadığını açıklamak, alternatif duyuru yolu sunmak ve gruba eklemeden önce veliyi bilgilendirmek bulunur. Öğrenci listelerini herkese açık mesaj zincirlerinde paylaşmayın; basılı listeleri ortak alanlarda bırakmayın. Bir veli gruptan ayrıldığında iletişim tercihlerini güncelleyin ve gruptaki eski katılımcıların erişimini kontrol edin. 6698 sayılı Kanun’un m.12 hükmü veri güvenliğine ilişkin yükümlülükleri düzenler; kurumun erişim, yetki ve güvenlik tedbirlerini bu sorumluluk çerçevesinde ele alması gerekir.

Veli rızası mı, kanuni yükümlülük mü, meşru menfaat mi?

Tek bir öğrenci kaydı içinde bile farklı amaçlar ve farklı veri işleme şartları bulunabilir. Bu nedenle “Kayıt formunu imzaladı, her şeye izin verdi” yaklaşımı yerine her işlem için ayrı değerlendirme yapmak gerekir. 6698 sayılı Kanun’un m.5 hükmü kişisel verilerin işlenme şartlarını düzenler; veli rızası, kanuni yükümlülük veya meşru menfaat gibi dayanakların uygulanabilirliği somut işleme göre belirlenmelidir. Özel nitelikli sağlık verilerinde ayrıca 6698 sayılı Kanun’un m.6 hükmü özel nitelikli kişisel verilerin işlenme şartlarını düzenler.

Aşağıdaki tablo genel bir karşılaştırma sunar; aynı işlem kurumun faaliyet biçimine, verinin niteliğine ve gerçek kullanım amacına göre farklı değerlendirme gerektirebilir.

Tabloyu kurumunuzdaki her süreç için karar ağacı gibi kullanın; otomatik cevap olarak değerlendirmeyin. Örneğin kayıt sırasında alınan veli telefon numarası eğitim duyuruları için kullanılabilirken aynı numaraya tanıtım mesajı gönderilmesi farklı amaç taşır. Bu amaçların birbirine karıştırılması, velinin hizmet için gerekli iletişime izin vermesinin reklam mesajlarını da kapsadığı varsayımına yol açabilir. Uygulamada amaçları ve tercihleri ayırmak daha anlaşılır olur.

Bir başka sık hata, rıza alınabiliyorsa diğer işleme şartlarını incelememektir. Rıza, her durumda en kolay veya en uygun seçenek değildir; baskı altında verilmiş ya da kapsamı belirsiz bir izin, kurumun süreçlerini de kırılgan hâle getirebilir. İşlem için hangi dayanağın düşünüldüğünü, neden gerekli olduğunu ve kişinin haklarıyla nasıl dengelendiğini belgeleyin. Kararsız kaldığınız özel durumlarda avukatınıza veya hukukçunuza danışın; genel bilgi için belge şablonlarını süreçlerinize göre uyarlamadan önce kurumun gerçek veri akışını çıkarın.

Mezun verisi ne kadar saklanır?

Mezun olan öğrencinin verileri için her kuruma ve her kayıt türüne uygulanabilecek tek bir saklama süresi yoktur. Eğitim dosyası, ödeme kaydı, sınav sonucu, sağlık belgesi ve tanıtım fotoğrafı farklı amaçlara sahip olabilir. Kurum, her veri türünün neden hâlâ gerekli olduğunu, bu amaç için ne kadar süre tutulacağını ve ilgili saklama yükümlülüklerini ayrı ayrı değerlendirmelidir. Mezuniyet, bütün kayıtların aynı gün silinmesi gerektiği anlamına gelmediği gibi, dosyanın süresiz biçimde saklanabileceği anlamına da gelmez.

Örneğin mezun bir öğrencinin iletişim bilgisi, devam eden bir idari işlem veya mevzuattan kaynaklanan kayıt gereği nedeniyle bir süre tutulabilir. Buna karşılık eski bir tanıtım fotoğrafının kurumun sosyal medya hesabında kalması için aynı gerekçeler geçerli olmayabilir. Kurumun mezunlarla haberleşme veya etkinlik duyurusu yapma amacı varsa, bu amaç için kullanılan veriyi eğitim dosyasının tamamıyla karıştırmamak gerekir. Kişinin iletişim tercihleri ve paylaşımın dayanağı ayrıca incelenmelidir.

Sık yapılan hata, “arşiv” klasörünü silme veya erişim denetimi dışında bırakmaktır. Verinin arşivde bulunması, erişim yetkisi, güvenliği ve saklama gerekçesi konularını ortadan kaldırmaz. Eski öğrenci kayıtlarını yalnızca arşiv adıyla tutmak yerine, saklama ve imha planında hangi kayıtların kim tarafından gözden geçirileceğini belirleyin. 6698 sayılı Kanun’un m.7 hükmü kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesini düzenler; işleme amacı ve uygulanabilir saklama yükümlülüğü sona erdiğinde uygun yöntem değerlendirilmelidir.

Uygulanabilir bir çalışma için kayıt türlerini gruplandırın, her grup için saklama gerekçesini ve gözden geçirme sorumlusunu belirleyin. Süre dolduğunda verinin silinmesi, yok edilmesi veya anonim hâle getirilmesi seçeneklerini değerlendirin; yedeklerde kalan kopyaların nasıl ele alınacağını da planlayın. Saklama ve silme süreçlerini yalnızca bilişim personelinin işi gibi görmeyin; okul yönetimi, muhasebe ve eğitim birimleri hangi dosyaları neden kullandığını açıklayabilmelidir. Somut saklama süreleri, kayıt türüne ve uygulanabilir düzenlemelere bağlı olduğundan tereddütte avukatınıza veya hukukçunuza danışın.

Kurs VERBİS’e kayıt olmalı mı?

Bir kursun, özel okulun veya etüt merkezinin VERBİS’e kayıt yükümlülüğü olup olmadığı kurumun niteliğine ve geçerli kayıt ölçütlerine göre değerlendirilmelidir. Kurumun küçük olması tek başına kayıt zorunluluğu olmadığı anlamına gelmez; eğitim faaliyeti yürütmesi de her durumda otomatik olarak kayıt yükümlülüğü doğurmaz. 6698 sayılı Kanun’un m.16 hükmü Veri Sorumluları Sicili’ni düzenler. Kurum, kendi durumunu güncel ölçütlere göre incelemeli ve bu değerlendirmeyi belgelemelidir.

VERBİS değerlendirmesi, kurumun KVKK kapsamındaki bütün çalışmalarının yerine geçmez. Kayıt yükümlülüğü bulunmayan bir kuruluş da kişisel verilerin işlenme şartlarını, aydınlatma yükümlülüğünü ve veri güvenliğini dikkate almalıdır. Aynı şekilde sicile kayıtlı olmak, öğrenci fotoğraflarını her amaçla yayımlamaya veya sağlık bilgilerini sınırsız erişime açmaya izin vermez. 6698 sayılı Kanun’un m.10 hükmü veri sorumlusunun aydınlatma yükümlülüğünü, m.12 hükmü ise veri güvenliğine ilişkin yükümlülükleri düzenler; bunlar VERBİS değerlendirmesinden ayrı konulardır.

Örneğin bir kurs, kayıt sırasında öğrenci ve veli bilgilerini alıyor, çevrim içi eğitim aracı kullanıyor ve tanıtım için etkinlik fotoğrafı yayımlıyor olabilir. Bu süreçlerin her biri veri haritasında görünmelidir; kurumun sicile kaydolup kaydolmaması bu gündelik işleyişi açıklama ihtiyacını ortadan kaldırmaz. Ayrıca işletmenin çalışan sayısı, bilanço bilgisi, faaliyet alanı veya özel koşullarının değerlendirmeye etkisi olabileceğinden tek bir genel internet yorumuyla sonuca varmayın.

Pratik adım olarak kurumun hukuki yapısını, veri işleme faaliyetlerini ve güncel kayıt ölçütlerini bir arada gözden geçirin. Kayıt yükümlülüğü konusunda karar verirken kaynak ve değerlendirme tarihini kaydedin; koşullar değiştiğinde yeniden kontrol edin. Kurumun hangi şirketler için kayıt zorunluluğu bulunduğunu anlamak için VERBİS kayıt ölçütleri rehberini inceleyebilirsiniz. MEB denetimi, eğitim faaliyetlerinin kendi kuralları bakımından yürütülür; bu denetimin yapılmış olması KVKK belge ve süreçlerinin incelendiği ya da yerine getirildiği anlamına gelmez. Özel durumlarda avukatınıza veya hukukçunuza danışın.

Örnek hesap: aydınlatmasız kayıt formu ve sosyal medya fotoğrafı

Bir kursun kayıt formunda öğrencinin ve velinin bilgileri toplanıyor; formda verilerin amaçları ve kimlere aktarılabileceği açıklanmıyor. Aynı kurs, etkinlikte çekilen öğrenci fotoğraflarını tanıtım hesabında yayımlıyor ancak fotoğraf kullanımı için hangi amaçla ve hangi kanallarda paylaşım yapılacağı ayrı biçimde belirtilmiyor. Bu senaryo, olası idari yaptırım tutarını kendiliğinden belirlemez; değerlendirmede ihlalin niteliği, ilgili mevzuat ve yetkili makamın incelemesi önem taşır.

Senaryo: Bir özel kurs kayıt formunda sağlık bilgisi topluyor, aydınlatma yapmıyor ve öğrencilerin fotoğraflarını rızasız sosyal medyada paylaşıyor. Bir veli Kurula başvuruyor.

Uygulanabilir kalemler ve kanundaki bantlar:

• Aydınlatma yükümlülüğünün yerine getirilmemesi: 85.437 TL – 1.709.200 TL
• Veri güvenliği yükümlülüklerinin yerine getirilmemesi: 256.357 TL – 17.092.242 TL

Kalemlerin alt sınırları toplandığında 341.794 TL, üst sınırları toplandığında 18.801.442 TL eder. Bu bir tahmin değil, Kanun'daki bandın toplamıdır: Kurul her kalemi ayrı değerlendirir, kusurun ağırlığına ve veri sorumlusunun ekonomik durumuna göre band içinde takdir kullanır. Kendi durumunuz için ceza riski hesaplayıcısı hangi kalemin size uygulanabileceğini gösterir.

Kanundaki bantlar

Tutarlar 6698 sayılı Kanun m. 18'deki kabahat kalemlerinin 2026 yılı için yeniden değerleme oranıyla (%25,49; 585 Sıra No'lu VUK Genel Tebliği, Resmî Gazete 27.11.2025, sayı 33090) güncellenmiş hâlidir. Kaynak: /blog/kvkk-cezalari-ne-kadar/.

Kurul kararlarında eğitim kurumları ve çocuk verisi

Kişisel Verileri Koruma Kurulunun eğitim kurumlarıyla ilgili kararları, öğrencinin ve velinin verisinin hangi amaçla kullanıldığına ve kurumun iletişim yöntemlerine dikkat edilmesi gerektiğini gösterir. Aşağıdaki kararlar yalnızca belirtilen konularıyla anılmaktadır; her olayın kendi koşulları ve Kurul değerlendirmesi bulunduğunu unutmamak gerekir.

Kaynak: kvkk.gov.tr karar özetleri; sitemizdeki Kurul kararları indeksi 313 kararı konu, yıl ve ceza tutarına göre süzer.

• Eğitim kurumu tarafından çocukların özel nitelikli kişisel verilerinin hukuka aykırı işlenmesine ilişkin 2020/255 sayılı karar, sağlık ve benzeri hassas kayıtların kapsamını ve erişimini ayrıca değerlendirme gereğini hatırlatır.
• Eğitim kurumu tarafından kamera vasıtasıyla görüntü ve ses kaydı alınmasına ilişkin 2023/1461 sayılı karar ile kamera kaydı, aydınlatma, çerezler ve hizmet ön koşulu olarak reklam rızası konularını içeren 2024/1361 sayılı karar, kayıt ve bilgilendirme süreçlerinin açık biçimde ele alınmasının önemini gösterir.
• Cep telefonu numarasının işleme şartı olmaksızın kullanılması ve reklam ya da bilgilendirme mesajı gönderilmesine ilişkin 2020/20 ve 2019/276 sayılı kararlar, eğitim amacıyla edinilen iletişim bilgilerinin farklı amaçlarla kullanılmasının ayrıca değerlendirilmesi gerektiğini ortaya koyar.

Bu örnekleri kendi kurumunuza doğrudan sonuç çıkaran bir karar listesi olarak değil, süreç kontrolü için başlangıç noktası olarak kullanın. Bir başvuru veya şikâyet sürecinde ilgili kişinin talebini kurum içinde kimin yanıtlayacağı, cevabın hangi kanaldan iletileceği ve hangi kayıtların tutulacağı önceden belirlenmelidir. 6698 sayılı Kanun’un m.13 hükmü veri sorumlusuna başvuruyu, m.14 hükmü Kurula şikâyeti düzenler; m.15 hükmü ise şikâyet üzerine veya resen incelemeyi düzenler. Bu başlıklar hakkında somut hukuki değerlendirme için avukatınıza veya hukukçunuza danışın.

Sık sorulan sorular

Okul her öğrenci verisi için veli rızası almak zorunda mı?

Hayır. Her veri işlemi için önce uygun işleme şartı belirlenmelidir; bazı işlemler için rıza gerekebilirken başka işlemler farklı bir şartla yürütülebilir. Rıza gerekiyorsa hangi amaç ve kullanım için verildiği anlaşılır olmalıdır.

Öğrenci fotoğrafı paylaşmak için yazılı izin gerekir mi?

Fotoğrafın çekilmesi ve tanıtım amacıyla yayımlanması ayrı işlemler olabilir. Yazılı iznin gerekip gerekmediği somut işleme ve hukuki dayanağa bağlıdır; paylaşım amacı, kanalı ve kapsamı açıkça değerlendirilmelidir.

Mezun verisi ne kadar saklanır?

Bütün mezun kayıtları için geçerli tek bir saklama süresi yoktur. Kayıt türü, amacı ve uygulanabilir saklama yükümlülükleri belirlenmeli; gereklilik sona erdiğinde verinin silinmesi, yok edilmesi veya anonim hâle getirilmesi değerlendirilmelidir.

Kurs VERBİS’e kayıt olmalı mı?

Bu, kurumun niteliğine ve güncel kayıt ölçütlerine göre değerlendirilir. VERBİS’e kayıt zorunluluğu bulunmasa bile kurumun aydınlatma, veri güvenliği ve diğer KVKK süreçlerine ilişkin sorumlulukları devam eder.

Öğrencinin sağlık raporunu kim görebilir?

Sağlık bilgisine yalnızca görevini yerine getirmek için gerçekten ihtiyaç duyan kişiler erişebilmelidir. Kurum erişimi sınırlandırmalı, bilgiyi toplu listelerde yaymamalı ve saklama gerekliliğini düzenli olarak gözden geçirmelidir.

Kaynaklar

• 6698 sayılı Kişisel Verilerin Korunması Kanunu (tam metin)
• Kişisel Verileri Koruma Kurumu
• Kurul ilke kararları
• VERBİS — Veri Sorumluları Sicil Bilgi Sistemi