KVKK ve Sınav Verileri: Öğrenci Verilerini Doğru Yönetmek

Bir optik form okunduğunda elinize öğrencinin adı, T.C. kimlik numarası, okul bilgisi, şubesi ve sınav performansı geçer. Bunların tamamı 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında kişisel veridir; sınav sonuçları ise çocuklara ait olduğu için ayrıca hassas biçimde ele alınmayı gerektirir. Bu yazı, ölçme-değerlendirme birimlerinin pratikte uygulayabileceği temel ilkeleri toparlıyor.

1. Veri minimizasyonu: gerçekten gerekli mi?

KVKK'nın temel ilkelerinden biri, işlenen verinin amaçla sınırlı ve ölçülü olmasıdır. Optik formlarda en çok sorgulanması gereken alan T.C. kimlik numarasıdır.

T.C. kimlik numarası yalnızca e-Okul ya da resmî bir sistemle eşleştirme yapacaksanız gereklidir. Kurum içi bir deneme sınavında öğrenci numarası ve şube bilgisi eşleştirme için yeterlidir. Bu durumda T.C. kimlik alanı olmayan bir form/şablon tercih etmek, hem daha az risk hem de öğrenci için daha az kodlama işi anlamına gelir.

Arşivimizdeki şablon detay sayfalarında hangi kodlama alanlarının tanımlı olduğunu listeliyoruz; ihtiyacınıza uygun formu buradan seçebilirsiniz.

2. Saklama süresi

Veriler süresiz saklanamaz. Pratik bir yaklaşım:

• Ham okuma çıktıları (kimlik bilgisi içeren CSV/TXT dosyaları): analiz ve itiraz süresi bittiğinde silinir.
• Fiziksel optik formlar: kurumun belirlediği itiraz süresi kadar saklanır, ardından güvenli biçimde imha edilir (kâğıt öğütücü).
• Uzun dönemli analizler: kimlik bilgileri ayıklanmış (anonimleştirilmiş) hâlde saklanır. Öğrenci gelişimi izlemek için ad-soyad gerekmez; bir takip kodu yeterlidir.

Saklama sürelerini yazılı bir politikaya bağlamak, hem KVKK uyumu hem de kurum içi düzen için değerlidir.

3. Erişim kontrolü

Sınav verilerine kimlerin erişebileceği net olmalı:

• Okuma yapılan bilgisayar şifreli olmalı ve paylaşımlı kullanılmamalı.
• Okuma çıktıları masaüstünde ya da ortak ağ klasöründe bırakılmamalı.
• Öğretmenler kendi şubelerinin sonuçlarını görmeli; tüm okulun kimlik bilgili ham verisini görmeleri gerekmez.
• USB bellekle veri taşınıyorsa bellek şifreli olmalı; kaybolan şifresiz bellek doğrudan veri ihlalidir.

4. Paylaşım ve aktarım

Sonuçların velilerle ve öğrencilerle paylaşımı en dikkat gerektiren adımdır:

• Karneler bireysel olmalı. Tüm sınıfın ad-soyad ve puanını içeren liste, panoya asılmamalı ya da grup mesajı olarak gönderilmemeli.
• Sıralama yayınlanacaksa öğrenci numarası ya da takip kodu kullanılmalı; ad-soyad değil.
• WhatsApp/e-posta gibi kanallarla PDF gönderirken yanlış alıcı riskini azaltmak için tek tek gönderim yapılmalı.
• Üçüncü taraf bir analiz hizmeti kullanıyorsanız aradaki veri aktarımının sözleşmeyle düzenlenmiş olması gerekir.

5. Aydınlatma yükümlülüğü

Veri sahiplerinin (öğrenci ve veli) hangi verinin neden toplandığını, ne kadar saklanacağını ve kimlerle paylaşılacağını bilmesi gerekir. Okulların çoğu kayıt sırasında genel bir aydınlatma metni imzalatır; sınav verileri de bu metinde kapsanmalıdır. Metin yoksa ya da sınav süreçlerini kapsamıyorsa güncellenmesi gerekir.

6. İhlal durumunda

Veri ihlali (kaybolan bellek, yanlış alıcıya gönderilen liste, yetkisiz erişim) yaşandığında:

1. Olayı ve kapsamını kayıt altına alın: hangi veri, kaç kişi, ne zaman.
2. Yayılmayı durdurmak için hemen aksiyon alın (erişimi kesin, gönderiyi geri çekin).
3. Kurum yönetimini ve varsa veri sorumlusu irtibat kişisini bilgilendirin.
4. Mevzuatta öngörülen bildirim yükümlülüklerini gözden geçirin; KVKK ihlallerin ilgili kuruma bildirilmesini öngörür.

Pratik kontrol listesi

• T.C. kimlik numarası gerçekten gerekli mi? Değilse toplamayın.
• Okuma bilgisayarı şifreli mi?
• Ham çıktılar için silme takvimi var mı?
• Uzun dönemli analizler anonim mi?
• Karne paylaşımı bireysel mi?
• Fiziksel formlar kilitli dolapta mı, imha usulü belirli mi?
• Aydınlatma metni sınav süreçlerini kapsıyor mu?