Milli Eğitim Bakanlığı, okullarda öğrenci, öğretmen, veli ve personelin kişisel verilerinin korunmasını güçlendirmek amacıyla 81 ilde uygulanacak yeni düzenlemeleri hayata geçirdi. Bilgi İşlem Genel Müdürlüğü tarafından hazırlanan 10 maddelik talimatla, okul internet siteleri ve sosyal medya hesaplarında kişisel veri paylaşımına yönelik yeni kurallar getirildi.
DİJİTAL GÜVENLİK İÇİN YENİ DÜZENLEME
Bakanlık tarafından merkez ve taşra teşkilatlarına gönderilen yazıyla, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında dijital güvenlik uygulamalarının artırılması istendi. Düzenlemeyle, internet ortamında kişisel verilerin izinsiz paylaşılmasının önüne geçilmesi hedefleniyor.
KİŞİSEL VERİLERİN PAYLAŞIMINA SINIRLAMA
Yeni kurallara göre okulların resmi internet siteleri ile sosyal medya hesaplarında öğrenci sınıf listeleri, okul ve T.C. kimlik numaraları, sınav sonuçları, devamsızlık bilgileri, başarı durumları, sağlık ve disiplin kayıtları yayımlanamayacak. Veli iletişim bilgileri ile öğrenci ve öğretmenlere ait fotoğraf ve videolar da kamuya açık şekilde paylaşılamayacak.
ESKİ PAYLAŞIMLAR DA GÖZDEN GEÇİRİLECEK
Milli Eğitim Bakanlığı, yalnızca yeni paylaşımlar için değil, geçmişte yayımlanan içerikler için de okul yönetimlerine sorumluluk yükledi. Okul müdürlükleri, internet siteleri ve kurumsal sosyal medya hesaplarında yer alan eski liste, belge, fotoğraf ve videoları inceleyerek kişisel veri içeren içerikleri erişime kapatacak.
Eğitim faaliyetleri kapsamında fotoğraf veya video çekilmesinin gerekli olduğu durumlarda ise ilgili mevzuata uygun şekilde velilerin açık rızasının alınması gerekecek.
SİSTEM GÜVENLİĞİNE SIKI TAKİP
Yeni düzenlemeyle Bakanlık bilgi sistemlerine erişim sağlayan yönetici, öğretmen, memur ve diğer kullanıcıların şifre, doğrulama kodu ve benzeri erişim bilgilerini üçüncü kişilerle paylaşmaları yasaklandı.
Ayrıca Bakanlık sistemlerinde bot, makro, otomasyon araçları, yetkisiz tarayıcı eklentileri ve veri çekmeye yönelik üçüncü taraf yazılımların kullanılmasına da izin verilmeyecek. Yetkisiz erişim ve veri işlemlerinin sistem kayıtları üzerinden takip edileceği, kurallara aykırı hareket edenler hakkında idari ve hukuki sürecin başlatılacağı belirtildi.
EĞİTİMLER ZORUNLU HALE GELDİ
Bakanlık, öğretmenler ve yöneticilerin Öğretmen Bilişim Ağı üzerinden sunulan "Kişisel Verilerin Korunması" ile "Bilgi Güvenliği Farkındalık" eğitimlerine katılmaları yönünde bilgilendirme yapılmasını istedi.
Veri ihlali, yanlış kişiye bilgi gönderimi, şüpheli yazılım kullanımı veya benzeri riskli durumların gecikmeden okul yönetimine ve ilgili birimlere bildirilmesi gerektiği kaydedildi.
YAZIDA 10 MADDELİK KURAL LİSTESİNE YER VERİLDİ
81 ildeki okul ve kurumlara gönderilen yazıda şu ifadelere yer verildi:
“Milli Eğitim Bakanlığı merkez ve taşra teşkilatı ile eğitim kuramlarında yürütülen iş ve işlemler sırasında öğrenci, veli, öğretmen, personel ve diğer ilgililere ait kişisel veriler işlenmektedir. Söz konusu verilerin 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili mevzuata uygun şekilde korunması büyük önem taşımaktadır.
Kişisel veriler yalnızca görev ve hizmet gerekleri doğrultusunda, belirli ve meşru amaçlarla işlenmelidir. İşlenen veriler yapılan işle ilgili sınırlı olmalı, gereğinden fazla veri alınmamalı, verilerin güncelliği korunmalı ve yetkisiz kişilerin erişimine karşı gerekli tedbirler uygulanmalıdır. Kişisel veriler, mevzuatta öngörülen veya işleme amacı için gerekli olan süreden daha uzun süre saklanmamalıdır.
Bu kapsamda aşağıdaki hususlarda gerekli tedbirlerin alınması, tüm personel ve ilgililere duyuru yapılması gerekmektedir.
Bu kapsamda aşağıdaki hususlarda gerekli tedbirlerin alınması, tüm personel ve ilgililere duyuru yapılması gerekmektedir.
Milli Eğitim Bakanlığı okullarında ve kuramlarında görev yapan yönetici, öğretmen ve ilgili personelin, kişisel verilerin korunması ve bilgi güvenliği farkındalığının artırılması amacıyla Öğretmen Bilişim Ağı üzerinde yer alan 'Eğitim Kuramlarında Kişisel Verilerin Korunması Eğitimi Kursu' ile 'Bilgi Güvenliği Farkındalık Eğitimi Kursu'na katılım sağlamaları konusunda gerekli bilgilendirme ve yönlendirme yapılmalıdır.
Milli Eğitim Bakanlığı sistemlerine erişim sağlayan okul ve kurum yöneticileri, öğretmenler, memurlar, motorlu taşıt sürücü kursları, özel öğretim kurumları, özel öğretim kursları, özel eğitim ve rehabilitasyon merkezleri ile Bakanlık sistemlerine görev veya yetki kapsamında erişim sağlayan tüm kullanıcılar; kendilerine tahsis edilen kullanıcı adı, parola, doğrulama kodu ve benzeri erişim bilgilerini üçüncü taraflarla paylaşmamalıdır.
Milli Eğitim Bakanlığı sistemlerinde işlem yapmak amacıyla yetkisiz üçüncü parti yazılım, bot, makro, otomasyon aracı, tarayıcı eklentisi, yetkisiz entegrasyon, veri çekme veya veri aktarma aracı ve benzeri uygulamalar kullanılmamalıdır. Kullanıcı adı, parola ve doğrulama bilgileri bu tür yazılımlara girilmemeli; Bakanlık sistemleri üzerinden yetkisiz şekilde toplu veri alma, veri aktarma veya işlem yapma girişiminde bulunulmamalıdır.
Milli Eğitim Bakanlığı bilgi sistemlerinde yapılan erişim, sorgulama, veri alma, veri aktarma ve benzeri işlemler sistem kayıtları üzerinden izlenebilmekte ve log kayıtları tutulmaktadır. Yetkisiz erişim, yetkisiz veri işleme, veri aktarımı, parola paylaşımı veya yetkisiz üçüncü parti yazılım kullanımı tespit edilmesi halinde mevzuat çerçevesinde gerekli idari ve hukuki süreçler yürütülecektir.
Okul, kurum ve birimlere ait internet siteleri, sosyal medya hesapları ve çevrim içi platformlarda kişisel veri içeren içeriklerin kamuya açık şekilde yayımlanmaması esastır. Bu kapsamda özellikle öğrenci sınıf listeleri, öğrenci numaraları, T.C. kimlik numaraları, sınav listeleri, devamsızlık ve başarı bilgileri, sağlık bilgileri, disiplin bilgileri, veli bilgileri, personel iletişim bilgileri ile öğrenci ve personele ait fotoğraf, video ve benzeri içerikler yayımlanmamalıdır.
Duyuru ve paylaşımlarda kişisel veri içermeyen yöntemler kullanılmalı; kişisel veri işlenmesini gerektiren istisnai durumlarda kişisel veri işlenmesini gerektiren istisnai durumlar ise 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili mevzuat çerçevesinde değerlendirilmelidir.
Daha önce okul ve kurum internet siteleri, sosyal medya hesapları veya çevrim içi platformlarda yayımlanmış olan kişisel veri içeren liste, belge, fotoğraf, video, duyuru ve dosyalar okul/kurum müdürlüklerince gözden geçirilmeli; kişisel veri içeren içerikler kamuya açık erişimden kaldırılmalıdır.
Eğitim öğretim faaliyetleri kapsamında fotoğraf ve video çekimi veya paylaşımı yapılması gereken hallerde; çekim ve paylaşım amacı, paylaşım yapılacak ortam, saklama süresi ve kimlerin erişebileceği önceden belirlenmelidir. Bu süreçlerde ilgili mevzuat, aydınlatma yükümlülüğü ve gerekli hallerde açık rıza süreçleri dikkate alınmalıdır. Özellikle öğrencilere ait görüntülerin paylaşımında ilave hassasiyet gösterilmelidir.
Kişisel veri ihlali, yetkisiz erişim, yanlış kişiye veri gönderimi, şüpheli yazılım kullanımı, parola paylaşımı, web sitesinde kişisel veri yayımlanması veya benzeri bir durumun fark edilmesi halinde konu gecikmeksizin okul/kurum yöneticisine ve bağlı bulunulan ilgili birime bildirilmelidir.
Okul ve kurum yöneticileri; bu yazıda belirtilen hususların personele duyurulmasından, gerekli kontrollerin yapılmasından, web sayfaları ile sosyal medya hesaplarının gözden geçirilmesinden ve tespit edilen uygunsuzlukların giderilmesinden sorumludur.
Bu çerçevede kişisel verilerin korunması konusunda gerekli farkındalığın oluşturulması, ÖBA eğitimlerine ilişkin duyuruların yapılması, parola ve erişim güvenliği tedbirlerinin uygulanması, yetkisiz üçüncü parti yazılım ve bot kullanımının engellenmesi, web sayfaları ile çevrim içi platformlarda kişisel veri içeren içeriklerin gözden geçirilerek gerekli düzenlemelerin yapılması gerekmektedir.”
