KVKK ve Anaokulları: Öğrenci Verilerini Korumanın Temel Kuralları

Anaokulları; çocukların kimlik, iletişim, fotoğraf, gelişim ve sağlık bilgileri gibi yüksek dikkat gerektiren verileri işler. KVKK uyumu yalnızca kayıt formuna bir onay kutusu eklemek değildir. Hangi verinin neden alındığını, kimlerin erişebildiğini, ne kadar saklandığını ve gerektiğinde nasıl silindiğini kapsayan sürekli bir süreçtir.

Bu yazı operasyonel bir kontrol çerçevesi sunar; kurumunuza özgü hukuki yükümlülükler için güncel mevzuatı ve uzman görüşünü esas alın.

Önce veri envanterini çıkarın

Öğrenci, veli, çalışan ve adaylardan hangi bilgileri topladığınızı listeleyin. Her veri için işleme amacı, hukuki sebep, erişen roller, aktarım yapılan hizmet sağlayıcılar ve saklama süresi belirlenmelidir. “İleride lazım olabilir” yaklaşımıyla gereksiz veri toplamaktan kaçının.

Aydınlatma ile açık rızayı ayırın

Aydınlatma metni, kişiye verisinin kim tarafından, hangi amaç ve hukuki sebeple işlendiğini ve kimlere aktarılabileceğini anlatır. Açık rıza ise yalnızca işlemenin gerçekten rızaya dayandığı durumlarda ayrı ve özgür iradeyle alınmalıdır. Kişisel Verileri Koruma Kurumu da aydınlatma ile açık rıza süreçlerinin ayrı yürütülmesi gerektiğini belirtir.

Metinleri erişilebilir, güncel ve somut tutun. Genel nitelikte “tüm işlemleri kabul ediyorum” ifadeleri yerine gerçek veri akışını anlatın.

Sağlık ve alerji bilgilerine özel dikkat gösterin

Sağlık bilgileri özel nitelikli kişisel veri kapsamındadır. Alerji, ilaç veya tıbbi durum bilgisi toplanacaksa uygun hukuki dayanak ve güvenlik tedbirleri belirlenmelidir. Gerekli dayanak yoksa okul personeli alanı boş bırakmalı ve velinin uygun süreç üzerinden bilgi vermesini istemelidir.

Rol bazlı ve en az yetkiyle erişim verin

Öğretmen yalnızca görevli olduğu sınıf ve öğrenciler için gereken bilgiye ulaşmalı; finans personeli sağlık notlarını, öğretmen ise gereksiz mali ayrıntıları görmemelidir. İşten ayrılan personelin erişimi gecikmeden kapatılmalıdır.

• Kullanıcıya özel hesap ve güçlü kimlik doğrulama
• Rol, sınıf, şube ve tenant bazlı erişim sınırı
• Önemli işlemler için denetlenebilir kayıt
• Güncel yedekleme ve olay müdahale planı

Saklama ve imha sürelerini tanımlayın

Aktif öğrencinin eğitim geçmişi kurumun meşru ve yasal ihtiyaçları kapsamında korunabilir; ancak silinen veya artık gerekli olmayan kayıtlar süresiz tutulmamalıdır. Veri türüne göre saklama süresi, soft delete dönemi ve güvenli imha yöntemi belirleyin. Yasal ispat değeri taşıyan kabul ve sözleşme kayıtlarını operasyonel verilerden ayrı değerlendirin.

Hizmet sağlayıcıları ve veri aktarımını belgeleyin

Hosting, e-posta, push bildirimi ve ödeme sağlayıcıları gibi veri işleyen hizmetleri envantere ekleyin. Hangi verinin hangi amaçla aktarıldığını aydınlatma metninde açıklayın ve sağlayıcı sözleşmelerini inceleyin.

Başvuru ve ihlal süreçlerini önceden kurun

İlgili kişinin erişim, düzeltme veya silme talebinin kim tarafından değerlendirileceği belli olmalıdır. Olası veri ihlalinde teknik inceleme, erişim kesme, kayıt toplama ve gerekli bildirim adımları olay yaşanmadan planlanmalıdır.

Güncel yönlendirmeler için KVKK aydınlatma yükümlülüğü ve veri güvenliği yükümlülükleri sayfalarını inceleyebilirsiniz.

Arkeron Pre School; tenant, şube, rol ve veri kapsamı temelli yetkilendirme, yasal kabul kayıtları ve kontrollü silme akışlarıyla kurumun veri yönetimi süreçlerini düzenli yürütmesine yardımcı olur.