Bir öğrenme platformu kimlik, not, sınav cevabı, katılım ve ders kaydı gibi yoğun kişisel veri işler. KVKK uyumu sonradan eklenen bir ayar değil; platform seçiminde sorulması gereken bir mimari sorudur.
Öğrenme yönetim sistemleri, kurumların işlediği en yoğun kişisel veri kümelerinden birini taşır: kimlik ve iletişim bilgileri, ders kayıtları, sınav cevapları ve notlar, katılım bilgisi, canlı ders kayıtlarında görüntü ve ses. Üstelik bu verinin önemli bir kısmı öğrencilerin akademik geleceğini doğrudan etkiler.
Buna rağmen platform seçimlerinde KVKK genellikle sözleşmenin sonuna eklenen bir madde olarak ele alınır. Oysa verinin nerede durduğu, kimin hangi veriye ne zaman eriştiği ve verinin ne zaman silineceği, platformun mimarisiyle belirlenir; sonradan ayarla çözülemez.
Veri nerede duruyor?
İlk soru basittir: öğrenci verisi kurumun kendi sunucularında mı, yoksa bir hizmet sağlayıcının altyapısında mı? Kurum içi (on-premises) kurulum, verinin kurum sınırları içinde kalmasını ve yurt dışına aktarım gibi ek yükümlülüklerin hiç doğmamasını sağlar. Bulut tercih ediliyorsa verinin hangi ülkede tutulduğu ve alt işleyicilerin kim olduğu açıkça yazılı olmalıdır.
Kim neye erişti?
Bir eğitmenin not değiştirmesi, bir yöneticinin öğrenci kaydını görüntülemesi ya da dışa aktarması iz bırakmalıdır. İyi tasarlanmış bir platformda bu kayıtlar sonradan değiştirilemez biçimde tutulur; her kayıt bir öncekine bağlanarak zincir oluşturur, araya kayıt eklenmesi ya da silinmesi fark edilir. Kişisel veriye erişim ayrıca kendi kaydında izlenebilmelidir: hangi kullanıcı, hangi kişinin hangi verisine, hangi amaçla baktı?
Ne zaman silinecek?
Mezun olan öğrencinin sınav cevapları, eski dönemlerin ders kayıtları, sona ermiş kurs başvuruları… Her veri türü için saklama süresi tanımlanmalı ve süre dolduğunda veri imha ya da anonimleştirme sürecine girmelidir. Bu işin elle yapılması pratikte yapılmaması demektir; platformun saklama-imha kurallarını kendisinin uygulaması gerekir.
Platform seçerken sorulacaklar
- Platform kurum sunucularına kurulabiliyor mu? Kurulamıyorsa veri hangi ülkede, kimin altyapısında duruyor?
- Denetim kaydı değiştirilemez mi? Yöneticiler dahil kimse geçmiş kaydı silebiliyor mu?
- Kişisel veri erişimleri ayrıca kaydediliyor mu, raporlanabiliyor mu?
- Veri türü bazında saklama süresi tanımlanıp otomatik imha ya da anonimleştirme yapılabiliyor mu?
- Aydınlatma metinleri platform içinde yönetilip kullanıcıya sunulabiliyor mu?
- Hassas alanlar veritabanında şifreli mi tutuluyor? Yedekler nasıl alınıyor, ne kadar saklanıyor, geri yükleme denendi mi?
KVKK uyumu bir onay kutusu değil, verinin yolculuğunu baştan sona tasarlamaktır.
Uyum bir kez değil, her gün
Kurulum gününde uyumlu olan bir platform, yeni bir entegrasyon, yeni bir rapor ya da yeni bir dışa aktarma özelliğiyle uyumsuz hâle gelebilir. Bu yüzden denetim kaydı, erişim kaydı ve saklama kuralları platformun çekirdeğinde yer almalı; yeni eklenen her özellik bu kurallardan otomatik olarak geçmelidir.
Öğrenme platformunuzun veri akışını KVKK açısından birlikte değerlendirmek isterseniz bize ulaşın.
Bu dönüşümü birlikte planlayalım
Bu yazıda anlattıklarımızı kurumunuz için hayata geçirebiliriz. İhtiyacınızı dinleyelim, size özel bir yol haritası çıkaralım.
