Risk haritası; öğrenci adı, sınıfı ve rehberlik ihtiyacına ilişkin hassas bağlamlar içerebilir. Bu nedenle güvenlik yalnızca güçlü parola kullanmak değildir. Hangi verinin neden toplandığı, kimin görebildiği, nasıl paylaşıldığı ve ne zaman silindiği birlikte yönetilmelidir.
Bu rehberden ne öğreneceksiniz?
- İhtiyaç duyulmayan veri sisteme alınmamalı; özellikle T.C. kimlik numarası varsayılan alan hâline getirilmemelidir.
- Öğretmen, rehberlik servisi ve yönetici için erişim sınırları görevle uyumlu olmalıdır.
- Öğrenci isimli raporlar mesajlaşma grupları veya herkese açık bağlantılarla paylaşılmamalıdır.
- Saklama süresi ve dönem sonu arşiv/silme kararı okulun veri yönetimi sürecinde açıkça belirlenmelidir.
Veri minimizasyonu: gerekli olanı, gerekli süre boyunca tutun
Bir alanın teknik olarak eklenebilir olması, işlenmesi gerektiği anlamına gelmez. Risk haritası için öğrenci adı, okul numarası ve sınıf bilgisi yeterliyse daha yüksek risk taşıyan kimlik numarası, adres veya ayrıntılı sağlık bilgisi ayrıca toplanmamalıdır. Her veri alanı için amaç ve gereklilik sorusu sorulmalıdır.
PDF aktarımında kaynak dosyanın gereksiz kişisel alanlar içerip içermediği kontrol edilmelidir. Uygulama T.C. kimlik bilgisini aktarmasa bile kaynak PDF’nin kendisi güvenli klasörde tutulmalı veya iş tamamlandıktan sonra okulun saklama politikasına göre kaldırılmalıdır.
- Bu veri risk haritası için gerçekten gerekli mi?
- Aynı amaç daha az veriyle sağlanabilir mi?
- Kaynak dosya işlem sonrasında nerede saklanacak?
- Saklama süresi ve silme sorumlusu belli mi?
Rol bazlı erişim ve hesap güvenliği
Sınıf rehber öğretmeni yalnızca kendi sınıfının değerlendirme alanına; rehberlik servisi okul çapındaki gerekli raporlara; sistem yöneticisi ise teknik görevleri için gereken en dar yetkiye sahip olmalıdır. Ortak kullanıcı hesabı kullanmak, kimin hangi işlemi yaptığını izlemeyi zorlaştırır.
Giriş bağlantıları ve kodlar öğrenci verisi içermese bile erişim anahtarı niteliğindedir. Grup mesajına gönderilmemeli, yanlış alıcıya gittiğinde iptal edilmeli ve personelin görev değişikliğinde açık oturumlar kapatılmalıdır.
- Her personel kendi hesabını mı kullanıyor?
- Pasif kullanıcı ve eski atamalar düzenli kontrol ediliyor mu?
- Başarısız giriş ve açık oturumlar izlenebiliyor mu?
- Parola veya bağlantı ekran görüntüsüyle yaygın gruplarda paylaşılmıyor mu?
Rapor paylaşımında isimli ve toplulaştırılmış çıktı ayrımı
Bireysel takip için isimli kayıt gerekebilir; ancak kurul, planlama veya genel değerlendirme toplantılarında çoğu zaman sınıf ya da okul düzeyinde toplulaştırılmış sonuç yeterlidir. Amaç toplu planlama ise öğrenci isimlerini içeren ayrıntılı rapor yerine toplamlar kullanılmalıdır.
E-posta ile rapor gönderilecekse alıcı, ek dosya ve adres tekrar kontrol edilmelidir. Şifreli kurum depolaması veya yetkilendirilmiş paylaşım alanı, herkese açık bağlantı ve kişisel mesajlaşma uygulamalarından daha güvenli bir tercih olabilir.
Örnek: Öğretmenler kurulunda ‘7. sınıflarda okul aidiyeti çalışmasına ihtiyaç var’ şeklinde toplulaştırılmış bulgu paylaşılabilir. Hangi öğrencinin hangi maddede işaretlendiği yalnızca görev gereği bilmesi gereken personelle ele alınır.
İhlal şüphesi olduğunda ilk adımlar
Yanlış kişiye rapor gönderilmesi, hesabın ele geçirildiğinden şüphelenilmesi veya yetkisiz erişim görülmesi hâlinde olay gizlenmemelidir. Önce erişim kesilir; bağlantı, kod veya oturum iptal edilir; hangi verinin kimlere açılmış olabileceği kayıt altına alınır ve okulun yetkili yönetimine bildirilir.
Bildirim ve sonraki hukuki adımlar olayın niteliğine göre değişebilir. Bu rehber hukuki görüş yerine geçmez; kurumun veri sorumlusu süreçleri ve güncel KVKK Kurulu rehberleri esas alınmalıdır.
Sık sorulan sorular
Risk haritasında T.C. kimlik numarası gerekli mi?
Çoğu sınıf ve okul risk haritası iş akışında ad, okul numarası ve sınıf bilgisi yeterlidir. Kimlik numarası ancak açık bir gereklilik ve hukuki dayanak varsa değerlendirilmelidir.
PDF raporu WhatsApp grubuna göndermek uygun mu?
Öğrenci isimleri veya hassas rehberlik bilgileri içeren raporların geniş mesajlaşma gruplarında paylaşılması güvenli değildir. Yetkili ve kontrollü kurum kanalları tercih edilmelidir.
Okul mu, yazılım sağlayıcısı mı veri sorumlusudur?
Rol tespiti somut veri işleme amaçlarına ve karar yetkisine göre yapılır. Bu konu hukuki değerlendirme gerektirebilir; okul yönetimi kendi yükümlülüklerini ilgili mevzuat ve uzman görüşüyle belirlemelidir.
Başvurulan resmî kaynaklar
İçerik hazırlanırken aşağıdaki birincil kaynaklar esas alınmıştır.
- Veri Güvenliğine İlişkin YükümlülüklerKişisel Verileri Koruma Kurumu
- T.C. Kimlik Numaralarının İşlenmesi Hakkında RehberKişisel Verileri Koruma Kurumu
- Rehberlik ve Psikolojik Danışma Hizmetleri YönetmeliğiT.C. Millî Eğitim Bakanlığı