KVKK deyince kurs sahiplerinin aklına ya büyük cezalar gelir ya da "Bizim gibi küçük bir yeri kim ne yapsın" düşüncesi. İkisi de pek doğru değil. Kanun küçük kurumlar için de geçerli, ama yapılması gerekenlerin çoğu, sandığınızdan daha sade.
Hemen söyleyelim, bu yazı hukuki danışmanlık değil. Kurumunuza özel bir durum varsa bir avukata danışın. Burada anlatmak istediğimiz şey, işe nereden başlanacağı.
Önce neyiniz var, ona bakın
Bir kâğıt alın ve kurumunuzda hangi kişisel verilerin olduğunu yazın. Çocuğun adı, velinin telefonu, T.C. kimlik numarası, adres, doğum tarihi, ödeme bilgisi, fotoğraflar, sağlık notları. Sonra her birinin yanına iki şey yazın: nerede duruyor ve kim görebiliyor?
Bu basit liste çoğu kurumu şaşırtıyor. Velilerin kimlik fotokopileri açık bir dolapta, öğrenci listesi sekreterin kişisel telefonunda, geçen yıl ayrılan öğretmenin WhatsApp'ında hâlâ kırk velinin numarası. Hiçbirini kötü niyetle yapmadınız. Ama önce görmeniz lazım.
Bir de şunu sorun: bu bilgiye gerçekten ihtiyacımız var mı? Kimlik fotokopisi gerçekten gerekli mi, yoksa yıllardır alışkanlıkla mı alınıyor? Toplamadığınız veriyi korumak zorunda kalmazsınız. KVKK'nın da ruhu aslında bu.
Kayıt formu
Kayıt sırasında velinin önüne iki ayrı şey koymanız gerekiyor ve çoğu kurum bunları birbirine karıştırıyor.
Birincisi aydınlatma metni. Burada veliye hangi veriyi neden topladığınızı, kimlerle paylaştığınızı, ne kadar sakladığınızı ve hangi hakları olduğunu anlatırsınız. Bu bir bilgilendirmedir, imza atılması onay anlamına gelmez, veliye sadece bilgi verilmiş olur.
İkincisi açık rıza. Bu ise zorunlu olmayan şeyler için istenir, en bilinen örneği çocuğun fotoğrafını sosyal medyada paylaşmak. Burada önemli olan şu: veli hayır diyebilmeli ve hayır dediğinde çocuğun kaydı etkilenmemeli. "Kayıt formunu imzalayan bütün veliler Instagram paylaşımını kabul etmiş sayılır" gibi tek bir cümleyle alınan rıza pek bir şeye yaramaz. Ayrı bir onay kutusu, ayrı bir imza olsun.
Fotoğraf ve video
En sık hata burada yapılıyor. Yıl sonu gösterisinden fotoğraflar Instagram'a yükleniyor, izin vermemiş bir velinin çocuğu da arka planda görünüyor. Veli rahatsız olup size yazdığında, ilk yapmanız gereken hızla o fotoğrafı kaldırmak.
Bunu önlemek için izin vermeyen velilerin listesini fotoğraf çeken ve paylaşan kişiye verin. Küçük bir not kâğıdında bile olsa. Çocukların soyadını hiçbir paylaşımda yazmamak da iyi bir alışkanlık. "Elif A." yeterli, ödül kazandıysa bile.
Veli sonradan izni geri alabilir. O durumda da paylaşımı kaldırmak için makul bir çaba göstermek gerekiyor. Üç yıl önceki bir fotoğrafı bulmak zor olabilir, bu yüzden paylaşımlarınızı çok dağıtmamak hayatınızı kolaylaştırır.
Sekreterin telefonu
Kurumlardaki en büyük açık çoğu zaman teknik bir mesele değildir, sekreterin kişisel telefonudur. Veli numaraları rehberinde, öğrenci listesi galerisinde, ödeme dekontları WhatsApp'ında. İşten ayrıldığında bunların hepsi onunla gidiyor. Kimse kötü niyetli olmak zorunda değil, telefonunu çaldırması bile yeter.
Mümkünse kurum işleri için ayrı bir hat ve ortak bir sistem kullanın. Birisi işten ayrıldığında erişimini kapatabildiğiniz her şey sizin için iyidir. Kişisel telefonda dosya tutmamayı ise bir kural yapın ve bunu sadece kâğıda yazmayın, gerçekten konuşun.
Ayrılan personelin erişimini kaldırmayı da bir kontrol listesine yazın. Ortak e-posta şifresi, sosyal medya hesabı, dosya paylaşım klasörü. Bu şifreleri son ne zaman değiştirdiniz?
Saklama ve silme
Dört yıl önce kursu bırakmış bir öğrencinin kimlik fotokopisi neden hâlâ dolapta duruyor? Bazı kayıtları yasal olarak belli bir süre saklamanız gerekir, özellikle muhasebe belgeleri. Bunun süresini mali müşavirinize sorun. Ama saklama zorunluluğu olmayan şeyleri süresiz tutmayın. Yılda bir kez, örneğin ağustosta, eski dosyaları gözden geçirip gereksizleri yok edin.
Kâğıtları çöpe atmayın, parçalayın. Velinin kimlik fotokopisinin kâğıt deposundan çıkması, kimsenin yaşamak istemeyeceği bir haber olur.
Bir şey olursa
Sekreterin telefonu çalındı. Bir e-posta yanlış kişiye gitti ve ekinde öğrenci listesi vardı. Hesabınız ele geçirildi. Böyle bir şey yaşadığınızda ilk tepki genelde susmak oluyor. "Kimse fark etmez." Bu en yanlış tepkidir.
Kanuna göre kişisel veri ihlalini öğrendiğinizde Kurul'a bildirmeniz ve gerekirse ilgili kişileri bilgilendirmeniz gerekiyor. Bunun için öngörülen süre kısa, bildiğimiz kadarıyla 72 saat. Bu yüzden böyle bir olay olduğunda ilk işiniz avukatınızı ya da danışmanınızı aramak olsun. Bugünden birinin telefonunu bilmek, o sabah çok işinize yarar.
Beklerken yapabileceğiniz şeyler de var. Çalınan telefondaki hesapları uzaktan kapatın, şifreleri değiştirin. Ne oldu, ne zaman oldu, hangi bilgiler etkilendi, kaç kişi, bunları bir kâğıda yazın. Bu notlar sonraki her konuşmada gerekecek. Veliye açıklama yapılması gerekiyorsa da bunu saklamadan, sade bir dille yapın. "Bu oldu, şu bilgiler etkilenmiş olabilir, şunları yaptık, şunu yapmanızı öneririz." Velilerin çoğu dürüst bir açıklamayı anlayışla karşılar, sonradan başka birinden duymayı ise kolay kolay affetmez.
Böyle bir durumu hiç yaşamamak en iyisi elbette. Ama telefonda kilit olması, ayrılan personelin erişiminin kapatılması, ortak şifrelerin değiştirilmesi gibi basit önlemlerin hepsi, olası bir olayın küçük kalmasını sağlıyor. Bir sonraki adım da bunları yaptığınızı yazılı bir not olarak tutmak.
VERBİS
Her kurumun bu sisteme kayıt olması gerekmiyor, muafiyetler var ve bu kriterler zaman içinde değişebiliyor. Kendi durumunuzu Kişisel Verileri Koruma Kurumu'nun güncel duyurularından ya da danışmanınızdan kontrol edin. Birinin "Herkes kayıt olmak zorunda" demesine de, "Bizim gibi küçüklere gerekmiyor" demesine de güvenmeyin. Bir kere kontrol etmek on dakikanızı alır.
Şimdi bu listenin hepsini yarın yapmanız gerekmiyor. Bu hafta sadece iki iş yapın: kayıt formunuza bakın, bir de izin vermeyen velilerin listesini fotoğraf çeken kişiye verin. Sonraki iş kendiliğinden gelir. Veliler de size çocuklarını emanet ederken bunları düşündüğünüzü görmekten hoşnut olur.