Okul servisi firmaları için KVKK: neyi, ne kadar saklamalısınız

Servis firması hangi kişisel veriyi işliyor?

Bir okul ya da personel servisi firması, günlük operasyonu yürütebilmek için aslında oldukça geniş bir kişisel veri kümesiyle çalışır: öğrencinin adı, okulu ve sınıfı; velinin adı, telefon numarası ve ev adresi; servisi kullanan personelin iletişim bilgileri; sürücünün kimlik ve ehliyet bilgileri. Bunların hiçbiri "sıradan" veri değildir - özellikle çocuğa ait veri ve ev adresi, Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında dikkatli işlenmesi gereken kategorilerdir. Firmanın büyüklüğü fark etmeksizin, bu veriyi topladığı andan itibaren firma bir "veri sorumlusu" hâline gelir.

Aydınlatma yükümlülüğü nedir, kimden başlar?

KVKK'nın 10. maddesi, veri sorumlusuna kaydın başında bir aydınlatma yükümlülüğü yükler: veri sorumlusunun kimliği, hangi verinin hangi amaçla toplandığı, kimlere aktarılabileceği ve verinin sahibinin hangi haklara sahip olduğu açıkça anlatılmalıdır. Bu bir onay değil, bir bilgilendirmedir - veli kayıt formunu doldurmaya başlamadan önce görmesi gereken metindir. Aydınlatma metni olmadan toplanan veri, teknik olarak doğru bir formdan gelse bile mevzuata uygun sayılmaz.

Açık rıza, aydınlatmadan farklı bir şeydir

Aydınlatma her durumda zorunludur ve reddedilebilir bir şey değildir - firma bunu vermek, veli bunu görmek zorundadır. Açık rıza ise farklı bir kapıdır: belirli bir işlem için, özgürce verilen, bilgiye dayanan bir onaydır. Örneğin bir öğrencinin servise kaydı için adres ve iletişim verisinin işlenmesi sözleşmenin ifası için zaten gereklidir ve ayrı bir rıza istemez; ama şoförün konumunun canlı izlenmesi gibi ek bir özellik söz konusu olduğunda, bu ayrı ve açık bir rıza gerektirir.

Açık rıza, hizmetin şartı yapılamaz

Burada sık yapılan bir hata var: "Kayıt tamamlanmadan önce rıza kutusunu işaretleyin, yoksa kayıt olmuyor" demek. Kişisel Verileri Koruma Kurulu'nun konum verisiyle ilgili yakın tarihli bir kararında da vurgulandığı gibi, hizmetin şartı olarak dayatılan bir rıza özgür irade taşımaz ve hukuken geçersiz sayılır. Doğru yaklaşım, temel hizmetin (servise kayıt) rıza kutusundan bağımsız tamamlanabilmesi; rızaya bağlı olması gereken şey yalnızca isteğe bağlı, ek özelliklerdir.

Ne kadar saklanmalı?

KVKK'nın bir diğer temel ilkesi ölçülülük ve amaçla sınırlılıktır: veri, işlenme amacı ortadan kalktığında saklanmaya devam edemez. Bir öğrencinin servis kaydı sona erdiğinde (mezuniyet, okul değişikliği, sözleşme feshi gibi), o veri sonsuza kadar sistemde durmamalı; firmanın kendi saklama ve imha politikasında belirlediği süre kadar tutulup sonra silinmeli ya da anonimleştirilmelidir. Bu politikayı yazılı hâle getirmek ve uygulamak firmanın sorumluluğundadır.

Şoförün görmesi gerekmeyen veri

Servis operasyonunda herkesin her veriyi görmesine gerek yoktur - ve KVKK'nın ölçülülük ilkesi burada da geçerlidir. Şoförün elindeki günlük yolcu listesinde çocuğun adı, durağı ve varsa acil durum telefonu bulunması yeterlidir; velinin ödeme durumu, geçmiş faturaları ya da borcu şoförün işiyle hiçbir ilgisi olmayan bir bilgidir ve o kâğıtta yer almamalıdır. Aynı mantık ofis içindeki farklı roller için de geçerli: bir bilginin sistemde var olması, onu herkese göstermeyi gerektirmez.

Veri kimlerle paylaşılabilir?

Bir servis firması, topladığı veriyi zaman zaman üçüncü taraflarla paylaşmak zorunda kalabilir: kısa mesaj gönderimi için bir mesajlaşma sağlayıcısı, faturalandırma için bir muhasebe programı, yedekleme için bir depolama hizmeti gibi. KVKK'nın ilgili maddeleri, bu paylaşımların da bir hukuki dayanağa - sözleşmenin ifası, kanuni yükümlülük ya da açık rıza - bağlı olmasını, aydınlatma metninde bu alıcı kategorilerinin belirtilmesini ister. Aydınlatma metninde "kimlere aktarılabilir" sorusunun cevapsız bırakılması, sonradan bir denetimde ya da bir şikayet incelemesinde firmanın en çok zorlanacağı noktalardan biridir.

Veli haklarının kullanılabilir olması

KVKK, veri sahibine kendisiyle ilgili verinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, yanlışsa düzeltilmesini isteme ve şartları oluştuğunda silinmesini talep etme hakkı tanır. Bir servis firması için bunun pratik anlamı şudur: veli, kayıtlı adresinin ya da telefon numarasının yanlış olduğunu fark ettiğinde bunu düzeltebilmeli, çocuğu servisi bıraktığında verisinin ne kadar süreyle tutulacağını sorabilmelidir. Bu taleplerin nereye, nasıl iletileceğinin açıkça belirtilmesi hem veliye hem firmaya zaman kazandırır.

Yazılımdan beklenmesi gereken

Bir servis yazılımı, KVKK uyumunu tek başına garanti edemez - o firmanın süreç ve politika kararıdır. Ama yazılım bu kararları uygulanabilir kılmalıdır: aydınlatma metninin kayıttan önce gösterilmesi, rızanın hizmetin şartı olmaması, hangi ekranın hangi veriyi gösterdiğinin ayrıştırılması ve onaylanan metnin hangi sürümünün kabul edildiğinin kayıt altına alınması. Sahada bunu uygulayan bir sistemde veli, açık rıza kutusunu işaretlemeden de kaydını tamamlayabiliyor; onay verildiğinde ise hangi metnin hangi sürümünün kabul edildiği ayrıca arşivleniyor - ileride metin değişse bile o günkü onayın ne söylediği geriye dönük olarak görülebiliyor.