KVKK: eğitim kurumları ve klinikler için veri saklama rehberi
Öğrenci, veli ve hasta sahibi verisi tutan işletmeler için KVKK'nın pratik karşılığı: hangi veri ne kadar saklanır, kim erişir, yazılım seçerken ne sorulur.
Kişisel Verilerin Korunması Kanunu (KVKK) küçük işletmeler için çoğu zaman "aydınlatma metni imzalatmak" olarak anlaşılır. Metin gerekli, ama yeterli değil. Kanunun asıl beklentisi, verinin ne kadar süre, nerede ve kimin erişimiyle tutulduğunun bilinmesidir. Bu yazı, öğrenci ve hasta sahibi verisi tutan işletmeler için pratik bir çerçeve sunar. Hukuki görüş değildir; kurumunuza özel değerlendirme için danışmanınıza başvurun.
Hangi veriler kişisel veri sayılır?
Günlük işleyişte tuttuğunuz neredeyse her şey:
- Ad, telefon, e-posta, adres
- Öğrencinin doğum tarihi, okulu, not ve devam bilgisi
- Velinin TC kimlik numarası ve ödeme bilgileri
- Hayvan sahibinin iletişim bilgileri, faturalar
Sağlık merkezlerinde danışan tanı ve tedavi bilgisi özel nitelikli kişisel veridir; daha sıkı kurallara tabidir.
Ne kadar saklanır?
Kanun tek bir süre vermez; "amaç için gerekli süre" der. Pratikte kullanılan referanslar:
| Veri | Tipik saklama | Dayanak |
|---|---|---|
| Fatura ve ödeme kayıtları | 10 yıl | Vergi ve ticaret mevzuatı |
| Sözleşme ve kayıt formu | Sözleşme bitiminden sonra 10 yıl | Zamanaşımı |
| Demo ve iletişim talepleri | 1 ila 2 yıl | Ticari ilişki kurulmazsa silinir |
| Randevu ve yoklama kayıtları | Hizmet süresi + makul süre | Amaçla sınırlı |
Kurumunuzun kendi saklama ve imha politikası olmalı ve yazılım bu süreleri uygulayabilmeli.
Kim erişir?
En sık ihlal, herkesin her şeyi görmesidir. Yazılımda beklenmesi gereken:
- Rol bazlı yetki. Sekreter ödeme bilgisini görür ama ders notunu düzenleyemez; öğretmen kendi sınıfını görür.
- Kiracı izolasyonu. Çok şubeli yapıda bir şube diğerinin verisine ulaşamaz.
- Denetim kaydı. Hangi kullanıcı, hangi kaydı, ne zaman değiştirdi; sorulduğunda gösterilebilmeli.
Veri nerede tutulur?
Yurt dışına aktarım KVKK'da ayrı bir başlıktır ve ek yükümlülük getirir. Sunucusu Türkiye'de olan bir yazılım bu başlığı büyük ölçüde ortadan kaldırır. Yazılım sağlayıcısına sorulacak iki soru: "Veri merkezi hangi ülkede?" ve "Yedekler nerede tutuluyor?"
Aydınlatma ve açık rıza ne zaman gerekir?
- Aydınlatma her zaman gerekir: kayıt formunda, web formunda, portal girişinde.
- Açık rıza yalnızca sözleşme ya da kanuni yükümlülükle açıklanamayan işlemler için gerekir. Örnek: pazarlama mesajı göndermek, fotoğraf paylaşmak.
Kayıt için zorunlu olan veriyi almak için açık rıza istemek yanlış uygulamadır; rıza geri çekildiğinde kayıt geçersiz kalır.
Yazılım seçerken kontrol listesi
- Saklama süresi sonunda veriyi silme ya da anonimleştirme özelliği var mı?
- Veri sahibinin talebiyle tek kaydı dışa aktarıp silebiliyor musunuz?
- Rol ve yetki tanımları kurumunuza göre değiştirilebiliyor mu?
- Denetim kaydı raporu alınabiliyor mu?
- Sağlayıcı ile veri işleyen sözleşmesi imzalanıyor mu?
Sonuç
KVKK uyumu bir belge değil, bir çalışma biçimidir: doğru veriyi, gereken süre, yetkili kişilerle, Türkiye'de tutmak. Yazılımınız bu dördünü destekliyorsa aydınlatma metni gerçekten bir anlam taşır. Virel platformları kiracı izolasyonu, rol bazlı yetki ve denetim kaydı ile bu çerçevede kurulmuştur; ayrıntı için KVKK sayfamıza bakabilirsiniz.