Milli Eğitim Bakanlığı, okullardaki dijital güvenliği en üst düzeye çıkarmak için 10 maddelik bir kural setini duyurdu. Bakanlık, Bilgi İşlem Genel Müdürlüğü, merkez ve taşra teşkilatlarına gönderdiği resmi talimatla eğitim dünyasında veri gizliliğine yönelik çok sıkı bir dönem başlattı. Kişisel Verilerin Korunması Kanunu (KVKK) çerçevesinde hazırlanan yeni kurallar dizisi, dijital ortamlarda farkında olmadan veya iyi niyetle yapılan bilgi sızıntılarını tamamen engellemeyi hedefliyor.
Bakanlık tarafından yayımlanan genelgede, dijital güvenliğin ve kişisel verilerin korunmasının kırmızı çizgi olduğu vurgulandı. Eğitim kurumlarında dijital dönüşüm hız kazanırken, bu süreçte siber güvenlik açıklarının oluşmaması ve kurumsal bilgilerin sızdırılmaması için tüm teşkilata net uyarılarda bulunuldu.
"İyi Niyetli" Paylaşımlara da Geçit Yok
Yeni talimatname ile birlikte, okul yönetimleri, öğretmenler ve personelin internet ortamında yaptığı paylaşımlara sıkı denetimler geliyor. Özellikle sosyal medya platformları ve anlık mesajlaşma grupları üzerinden öğrenci, veli veya kurumsal süreçlere ait bilgilerin "bilgilendirme" veya "iyi niyet" gerekçesiyle bile olsa paylaşılması kesin olarak yasaklandı.
İdari ve Hukuki Yaptırımlar Devreye Giriyor
Bakanlık, kurallara uymayan ve dijital bilgi sızıntısına yol açan personel hakkında KVKK hükümleri uyarınca idari ve hukuki süreçlerin tavizsiz bir şekilde işletileceğini bildirdi. 81 il müdürlüğüne gönderilen acil yazıyla, tüm okul yöneticilerinin personeli bu konuda ivedilikle bilgilendirmesi ve gerekli tedbirleri alması istendi.
İşte okullara gönderilen 10 maddelik kural seti;
“Milli Eğitim Bakanlığı merkez ve taşra teşkilatı ile eğitim kuramlarında yürütülen iş ve işlemler sırasında öğrenci, veli, öğretmen, personel ve diğer ilgililere ait kişisel veriler işlenmektedir. Söz konusu verilerin 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili mevzuata uygun şekilde korunması büyük önem taşımaktadır.
Kişisel veriler yalnızca görev ve hizmet gerekleri doğrultusunda, belirli ve meşru amaçlarla işlenmelidir. İşlenen veriler yapılan işle ilgili sınırlı olmalı, gereğinden fazla veri alınmamalı, verilerin güncelliği korunmalı ve yetkisiz kişilerin erişimine karşı gerekli tedbirler uygulanmalıdır. Kişisel veriler, mevzuatta öngörülen veya işleme amacı için gerekli olan süreden daha uzun süre saklanmamalıdır.
Bu kapsamda aşağıdaki hususlarda gerekli tedbirlerin alınması, tüm personel ve ilgililere duyuru yapılması gerekmektedir.
Bu kapsamda aşağıdaki hususlarda gerekli tedbirlerin alınması, tüm personel ve ilgililere duyuru yapılması gerekmektedir.
1) Milli Eğitim Bakanlığı okullarında ve kuramlarında görev yapan yönetici, öğretmen ve ilgili personelin, kişisel verilerin korunması ve bilgi güvenliği farkındalığının artırılması amacıyla Öğretmen Bilişim Ağı üzerinde yer alan 'Eğitim Kuramlarında Kişisel Verilerin Korunması Eğitimi Kursu' ile 'Bilgi Güvenliği Farkındalık Eğitimi Kursu'na katılım sağlamaları konusunda gerekli bilgilendirme ve yönlendirme yapılmalıdır.
2) Milli Eğitim Bakanlığı sistemlerine erişim sağlayan okul ve kurum yöneticileri, öğretmenler, memurlar, motorlu taşıt sürücü kursları, özel öğretim kurumları, özel
öğretim kursları, özel eğitim ve rehabilitasyon merkezleri ile Bakanlık sistemlerine görev veya yetki kapsamında erişim sağlayan tüm kullanıcılar; kendilerine tahsis edilen kullanıcı adı, parola, doğrulama kodu ve benzeri erişim bilgilerini üçüncü taraflarla paylaşmamalıdır.
3) Milli Eğitim Bakanlığı sistemlerinde işlem yapmak amacıyla yetkisiz üçüncü parti yazılım, bot, makro, otomasyon aracı, tarayıcı eklentisi, yetkisiz entegrasyon, veri çekme veya veri aktarma aracı ve benzeri uygulamalar kullanılmamalıdır. Kullanıcı adı, parola ve doğrulama bilgileri bu tür yazılımlara girilmemeli; Bakanlık sistemleri üzerinden yetkisiz şekilde toplu veri alma, veri aktarma veya işlem yapma girişiminde bulunulmamalıdır.
4) Milli Eğitim Bakanlığı bilgi sistemlerinde yapılan erişim, sorgulama, veri alma, veri aktarma ve benzeri işlemler sistem kayıtları üzerinden izlenebilmekte ve log kayıtları tutulmaktadır. Yetkisiz erişim, yetkisiz veri işleme, veri aktarımı, parola paylaşımı veya yetkisiz üçüncü parti yazılım kullanımı tespit edilmesi halinde mevzuat çerçevesinde gerekli idari ve hukuki süreçler yürütülecektir.
5) Okul, kurum ve birimlere ait internet siteleri, sosyal medya hesapları ve çevrim içi platformlarda kişisel veri içeren içeriklerin kamuya açık şekilde yayımlanmaması esastır. Bu kapsamda özellikle öğrenci sınıf listeleri, öğrenci numaraları, T.C. kimlik numaraları, sınav listeleri, devamsızlık ve başarı bilgileri, sağlık bilgileri, disiplin bilgileri, veli bilgileri, personel iletişim bilgileri ile öğrenci ve personele ait fotoğraf, video ve benzeri içerikler yayımlanmamalıdır.
6) Duyuru ve paylaşımlarda kişisel veri içermeyen yöntemler kullanılmalı; kişisel veri işlenmesini gerektiren istisnai durumlarda kişisel veri işlenmesini gerektiren istisnai durumlar ise 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili mevzuat çerçevesinde değerlendirilmelidir.
7) Daha önce okul ve kurum internet siteleri, sosyal medya hesapları veya çevrim içi platformlarda yayımlanmış olan kişisel veri içeren liste, belge, fotoğraf, video, duyuru ve dosyalar okul/kurum müdürlüklerince gözden geçirilmeli; kişisel veri içeren içerikler kamuya açık erişimden kaldırılmalıdır.
8) Eğitim öğretim faaliyetleri kapsamında fotoğraf ve video çekimi veya paylaşımı yapılması gereken hallerde; çekim ve paylaşım amacı, paylaşım yapılacak ortam, saklama süresi ve kimlerin erişebileceği önceden belirlenmelidir. Bu süreçlerde ilgili mevzuat, aydınlatma yükümlülüğü ve gerekli hallerde açık rıza süreçleri dikkate alınmalıdır. Özellikle öğrencilere ait görüntülerin paylaşımında ilave hassasiyet gösterilmelidir.
9) Kişisel veri ihlali, yetkisiz erişim, yanlış kişiye veri gönderimi, şüpheli yazılım kullanımı, parola paylaşımı, web sitesinde kişisel veri yayımlanması veya benzeri bir durumun fark edilmesi halinde konu gecikmeksizin okul/kurum yöneticisine ve bağlı bulunulan ilgili birime bildirilmelidir.
10) Okul ve kurum yöneticileri; bu yazıda belirtilen hususların personele duyurulmasından, gerekli kontrollerin yapılmasından, web sayfaları ile sosyal medya hesaplarının gözden geçirilmesinden ve tespit edilen uygunsuzlukların giderilmesinden sorumludur.
Bu çerçevede kişisel verilerin korunması konusunda gerekli farkındalığın oluşturulması, ÖBA eğitimlerine ilişkin duyuruların yapılması, parola ve erişim güvenliği tedbirlerinin uygulanması, yetkisiz üçüncü parti yazılım ve bot kullanımının engellenmesi, web sayfaları ile çevrim içi platformlarda kişisel veri içeren içeriklerin gözden geçirilerek gerekli düzenlemelerin yapılması gerekmektedir.”
