KVKK ve Öğrenci Verileri: Okullar İçin Uygulama Rehberi

Kısa cevap

Öğrenci verisini toplayan ve amacını belirleyen okul, KVKK anlamında veri sorumlusudur. Yazılım sağlayıcısı veri işleyen sıfatındadır. Bu ayrım önemlidir çünkü veri ihlalinde birinci muhatap okuldur; yazılım firmasıyla yapılan sözleşme sorumluluğu ortadan kaldırmaz, taraflar arasında paylaştırır.

Öğrenci verisi neden özel bir kategori sayılır?

Öğrencilerin büyük kısmı çocuktur ve rıza ehliyeti sınırlıdır; işleme dayanağı genellikle velinin açık rızası ya da kanunen öngörülen bir sebeptir. Sağlık raporu, devamsızlık gerekçesi ve davranış kaydı gibi veriler ise ayrıca hassastır.

Yazılım seçerken sorulacak sorular

• Veriler nerede barındırılıyor? Yurt dışına aktarım varsa dayanağı nedir?
• Okullar arası izolasyon nasıl sağlanıyor? Bir okulun kullanıcısı başka okulun kaydını sorgulayabilir mi?
• Veli yalnızca kendi çocuğunun verisini mi görüyor? Bu kural nerede uygulanıyor — arayüzde mi, veritabanında mı?
• Öğretmen hangi öğrencinin verisini görebiliyor? Kısıt kim tarafından tanımlanıyor?
• Kayıt silme talebinde veri gerçekten siliniyor mu, yoksa pasife mi alınıyor?
• Veri işleyen sözleşmesi (KVKK m.12) imzalanıyor mu?
• Sözleşme bittiğinde veriler ne oluyor? Dışa aktarım imkânı var mı?

Arayüz kısıtı yeterli değildir

Bir menüyü gizlemek veriyi korumaz. Kural veritabanı düzeyinde uygulanmalıdır; aksi hâlde doğrudan yapılan bir istek kısıtı aşar. Okulza’da erişim kuralları satır bazlı güvenlik politikalarıyla veritabanında uygulanır: veli yalnızca bağlı olduğu öğrencinin satırını okuyabilir, öğretmenin yazma yetkisi okulun seçtiği yetki kademesiyle sınırlanır.

Son güncelleme: 13 Ağustos 2026