MEB'den Okullara Yeni KVKK Talimatı: Kişisel Verilerin Paylaşımı Sıkı Denetime Tabi

Milli Eğitim Bakanlığı (MEB), ülke genelindeki tüm eğitim kurumlarında kişisel verilerin korunmasına yönelik yeni düzenlemeleri içeren 10 maddelik bir talimat yazısını 81 il müdürlüğüne gönderdi. Bu talimatla birlikte, okullarda öğrenci, veli, öğretmen ve personelin kişisel verilerinin Kişisel Verilerin Korunması Kanunu (KVKK) ve ilgili mevzuata uygun şekilde işlenmesi, saklanması ve korunması hedefleniyor.

Yeni kurallar kapsamında, okulların internet siteleri, sosyal medya hesapları ve diğer çevrim içi platformlarda öğrenci sınıf listeleri, öğrenci numaraları, T.C. kimlik numaraları, sınav bilgileri, başarı durumları, sağlık bilgileri, disiplin kayıtları, veli bilgileri, personel iletişim bilgileri ile öğrenci ve personele ait fotoğraf ve videolar gibi kişisel verilerin kamuya açık olarak paylaşılması yasaklandı. Daha önce bu tür bilgileri içeren paylaşımlar yapılmışsa, okul yönetimleri tarafından incelenerek kaldırılması talimatı verildi.

Okul Sitelerinde ve Sosyal Medyada Yeni Dönem

MEB tarafından gönderilen yazıda, eğitim kurumlarının iş ve işlemleri sırasında karşılaşılan öğrenci, veli, öğretmen, personel ve diğer paydaşlara ait kişisel verilerin KVKK çerçevesinde korunmasının büyük önem taşıdığı vurgulandı. Kişisel verilerin sadece görev ve hizmet gereklilikleri doğrultusunda, belirli ve meşru amaçlarla işlenmesi gerektiği belirtildi. Ayrıca, alınan verilerin yapılan işlemle sınırlı olması, gereğinden fazla veri toplanmaması, verilerin güncel tutulması ve yetkisiz erişime karşı gerekli tüm güvenlik tedbirlerinin alınması zorunlu hale getirildi.

Bu kapsamda alınan en dikkat çekici tedbirlerden biri, okul ve kurumların resmi internet siteleri, sosyal medya hesapları ve diğer çevrim içi platformlarda kişisel veri içeren içeriklerin kamuoyu ile paylaşılmasının yasaklanması oldu. Bu yasak, özellikle öğrenci sınıf listeleri, öğrenci numaraları, T.C. kimlik numaraları, sınav bilgileri, devamsızlık ve başarı durumları, sağlık bilgileri, disiplin bilgileri, veli iletişim bilgileri ve personel iletişim bilgileri gibi hassas verileri kapsıyor. Fotoğraf ve video gibi görsel içeriklerin paylaşımında da aynı titizlik gösterilecek.

Paylaşımlarda Hassasiyet ve Eğitim Süreçleri

Daha önce okul ve kurumların dijital platformlarında yayımlanmış olan ve kişisel veri içeren her türlü belge, liste, fotoğraf, video ve duyurunun okul müdürlüklerince titizlikle incelenmesi ve kişisel verileri barındıran içeriklerin kamuya açık erişimden derhal kaldırılması istendi. Eğitim ve öğretim faaliyetleri kapsamında fotoğraf veya video çekimi yapılması gereken durumlarda, çekim ve paylaşım amacının, paylaşılacak platformun, verilerin saklanma süresinin ve kimlerin erişebileceğinin önceden net bir şekilde belirlenmesi gerektiği ifade edildi.

Öğrencilere ait görüntülerin paylaşımında azami hassasiyet gösterilmesi, duyuru ve paylaşımlarda mümkün olduğunca kişisel veri içermeyen yöntemlerin tercih edilmesi gerektiği belirtildi. Kişisel veri işlemeyi zorunlu kılan durumlar için ise KVKK ve ilgili diğer mevzuat hükümlerine uyulması esası getirildi.

Bilgi Güvenliği ve Yetkisiz Erişimlere Karşı Önlemler

MEB, kişisel verilerin korunması ve bilgi güvenliği konusundaki farkındalığı artırmak amacıyla okul yöneticileri ve öğretmenleri, Öğretmen Bilişim Ağı (ÖBA) platformu üzerinden sunulan "Eğitim Kurumlarında Kişisel Verilerin Korunması Eğitimi Kursu" ile "Bilgi Güvenliği Farkındalık Eğitimi Kursu"na katılmaya teşvik edecek. Ayrıca, bakanlık sistemlerine erişim sağlayan kullanıcı adı, parola, doğrulama kodu gibi bilgilerin üçüncü kişilerle kesinlikle paylaşılmaması gerektiği hatırlatıldı. Yetkisiz üçüncü parti yazılımlar, botlar, makrolar, otomasyon araçları, tarayıcı eklentileri, izinsiz entegrasyonlar, veri çekme veya aktarma araçları gibi uygulamaların kullanılması da yasaklandı.

Bakanlık bilgi sistemlerine yetkisiz erişim, yetkisiz veri işleme, veri aktarımı, parola paylaşımı veya izinsiz yazılım kullanımı gibi durumların tespit edilmesi halinde, ilgili personel hakkında idari ve hukuki süreçlerin başlatılacağı kaydedildi. Herhangi bir kişisel veri ihlali, yetkisiz erişim, yanlış kişiye veri gönderimi, şüpheli yazılım kullanımı, parola paylaşımı veya web sitesinde kişisel veri yayımlanması gibi durumların derhal okul veya kurum yöneticisine ve bağlı birime bildirilmesi zorunluluğu getirildi.