Üniversiteler Yoklama İçin Parmak İzi Alabilir mi? Öğrenci Verisinde KVKK, Uzaktan Eğitimde Kamera ve Sınav Sonuçlarının İlanı

Kısa cevap: hayır. Kişisel Verileri Koruma Kurulu, 8 Şubat 2024 tarihli ve 2024/197 sayılı kararında bir üniversitenin dersliklere kurduğu parmak izi okuyucularıyla yoklama alması uygulamasını hukuka aykırı buldu. Kararın asıl dikkat çeken yanı şu: üniversite öğrencilerden açık rıza almıştı ve rıza vermek istemeyenler için ıslak imzalı yoklama seçeneğini de açık tutmuştu. Kurul bunu yeterli görmedi. Gerekçe tek cümleye sığıyor; açık rıza, aşırı miktarda veri toplanmasını meşrulaştırmaz. Parmak izi 6698 sayılı Kanun'un 6. maddesi anlamında biyometrik veridir, yani özel nitelikli kişisel veridir. Yoklama gibi çok daha basit yöntemlerle görülebilecek bir iş için biyometrik veri toplamak, Kanun'un 4. maddesindeki işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ilkesine aykırı bulundu. Karar, Kurumun yakın zamanda yayımladığı yeni karar özetleri arasında kamuoyuna açıldı.

Dosyanın hikâyesi bir öğrencinin şikâyetiyle başlıyor. Üniversitenin hukuk fakültesinde okuyan öğrenci, önce dersliklere parmak izi okuma cihazlarının kurulduğunu, ardından kendilerine bir rıza beyan formu imzalatıldığını anlatıyor. Formda birden çok işleme amacı sayılmış, ama hayata geçen tek uygulama ders yoklaması olmuş; parmak izinin başka hangi işlemlerde ve hangi yöntemle kullanılacağı konusunda bilgilendirme yapılmamış. Üstelik bazı derslerde parmak izi sistemiyle birlikte eski imza yöntemi de sürüyormuş. Üniversitenin savunması iki fakülteden ayrı ayrı geldi. Tıp fakültesi, eğitim öğretim yönetmeliği gereği derslere devam zorunluluğu bulunduğunu, bir ders kurulunda yüzde 30'dan fazla devamsızlık yapan öğrencinin o kurulun sınavına giremediğini, öğrencilerden sözlü rıza alındığını ve parmak izlerinin işlenmediğini, yalnızca veri tabanında tutulduğunu bildirdi. Bu son cümle kendi içinde çelişiyor, çünkü saklamak da Kanun anlamında bir işleme faaliyetidir. Hukuk fakültesi ise imza föyü yönteminin öğrencilerin birbirinin yerine imza atmasına ve evrakta sahtecilik tartışmasına açık olduğunu, rıza vermeyen öğrencilerin manuel listeyle takip edildiğini savundu.

Kurul, amacın meşruluğunu tartışmadı. Devam takibi yapmak elbette meşru bir amaç. Sorduğu soru şuydu: bu amaç için bu veri gerçekten gerekli mi? Cevap hayır olunca sonuçlar sıralandı. Kanun'un 15. maddesinin yedinci fıkrası uyarınca biyometrik veri işlenmesinin ivedilikle durdurulmasına, ders yoklamasının biyometrik veri işlemek dışındaki yollarla sağlanmasına ve mevcut sistemin kaldırılmasına karar verildi. Toplanmış parmak izi verilerinin 7. madde ile Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik hükümlerine uygun olarak imha edilmesi, veriler üçüncü kişilere aktarılmışsa imha işlemlerinin ivedilikle onlara da bildirilmesi ve tüm bunların kanıtlayıcı belgeleriyle en geç otuz gün içinde Kuruma iletilmesi istendi. Bir de usul hatırlatması var. Öğrencinin başvurusuna cevabın süresi içinde iletildiği tespit edilemediği için veri sorumlusuna, ilgili kişi başvurularını etkin, hukuka ve dürüstlük kuralına uygun biçimde, gerekçe belirterek ve süresinde sonuçlandırması hatırlatıldı.

Veri sorumlusu kamu tüzel kişiliğini haiz bir üniversite olduğu için idari para cezası yerine 18. maddenin üçüncü fıkrası işletildi; teknik ve idari tedbirleri almaktan sorumlu kişiler hakkında disiplin hükümleri çerçevesinde işlem yapılması ve sonucun Kurula bildirilmesi istendi. Vakıf üniversiteleri, özel okullar, kurslar ve etüt merkezleri için tablo farklı. Aynı aykırılık orada 18. maddenin birinci fıkrasının (b) bendine giriyor ve 2026 yılında 256.357 TL ile 17.092.242 TL arasında bir idari para cezası anlamına geliyor. Aydınlatma da eksikse 85.437 TL ile 1.709.200 TL arasında ikinci bir kalem ekleniyor. Personel tarafında da aynı çizgi var. Kurul'un 29 Nisan 2026 tarihli ve 2026/921 sayılı ilke kararı 2 Haziran 2026 tarihli Resmî Gazete'de yayımlandı; yalnızca mesai takibi amacıyla biyometrik veri işlenmesini 6. maddedeki şartlara dayanmayan bir uygulama saydı ve açık rıza bulunsa dahi ölçülülük ölçütünün karşılanmayacağını, işveren ile çalışan arasındaki yapısal güç dengesizliği nedeniyle rızanın özgür iradeye dayandığından şüphe edilmesi gerektiğini belirtti. Öğrenci ile üniversite arasındaki ilişkide de benzer bir dengesizlik var. Sınava girebilmek için verilen rıza, tam anlamıyla serbest bir tercih sayılmıyor.

İkinci tartışma başlığı uzaktan eğitim. Kurum, 7 Nisan 2020 tarihli kamuoyu duyurusunda uzaktan eğitim platformlarında ad ve soyad gibi kişisel verilerin yanında ses ve görüntü gibi biyometrik veri kapsamında değerlendirilebilecek verilerin de işlendiğine dikkat çekmiş, işlemenin Kanun'un 5. ve 6. maddelerindeki şartlara uygun olması gerektiğini, veri merkezleri yurt dışında olan platformların kullanılması hâlinde 9. maddeye uygun olmayan aktarımların Kanun ihlali anlamına gelebileceğini hatırlatmıştı. Burada bir nüans var ve sık atlanıyor. Bir yüz görüntüsünün ekranda görünmesi ya da kaydedilmesi tek başına biyometrik veri işleme sayılmaz; biyometrik veriden söz edebilmek için görüntüden kimlik doğrulamaya elverişli bir şablon çıkarılması ve eşleştirme yapılması gerekir. Canlı derste öğrencinin yüzünü görmek ile yüz tanıma yazılımıyla kimliğini doğrulamak hukuken aynı kapıya çıkmıyor. İkincisi doğrudan 6. maddeye giriyor ve 2024/197 kararındaki ölçülülük testiyle karşılaşıyor. Kurul'un çevrimiçi sınav gözetim yazılımlarına ilişkin yayımlanmış bir karar özeti bulunmuyor, dolayısıyla ölçüt komşu kararlardan ve Kurumun rehberlerinden çıkarılıyor.

Kamera açma zorunluluğunun kendisi de sanıldığı kadar serbest bir alan değil. YÖK'ün Yükseköğretim Kurumlarında Uzaktan Öğretime İlişkin Usul ve Esaslar'ının 12. maddesi, 14 Eylül 2022 tarihli değişiklikten sonra ara sınavların, dönem sonu sınavlarının ve bütünleme sınavlarının yüz yüze gözetimli olarak yapılmasını esas alıyor. Yani tamamen çevrimiçi ve kameralı bir gözetim, kuralın kendisi değil. Bir yükseköğretim kurumu yine de çevrimiçi gözetimli bir ölçme yapacaksa cevaplaması gereken sorular sıralı: görüntü kaydediliyor mu yoksa yalnızca anlık olarak izleniyor mu, öğrenciden sınav öncesinde odasını kamerayla taratması isteniyor mu, ekran ve klavye hareketleri kaydediliyor mu, kayıt ne kadar saklanıyor, yüz eşleştirmesi yapılıyor mu. Saklama süresinde makul sınır, sınav sonucuna itiraz süresinin dolmasıdır; onun ötesine geçen her gün ayrıca savunulmak zorunda. Bir de gözden kaçan bir taraf var. Kadraja giren yalnızca öğrenci değil; evi, odası ve o sırada aynı evde bulunan kişiler de görüntüye giriyor. Anayasa'nın 13. maddesindeki ölçülülük ilkesi bu noktada teorik bir tartışma değil, doğrudan uygulanacak bir ölçüt.

Sınav sonuçlarının ilanı eski ama hâlâ taze bir başlık. Kurul'un 1 Temmuz 2019 tarihli ve 2019/188 sayılı kararına konu olayda bir üniversite, öğrencilerin sınav sonuçlarını arama motorlarından kolayca bulunabilecek biçimde açık olarak yayımlamıştı; sonuçlara mezuniyetten sonra da herhangi bir erişim kısıtı olmadan ulaşılabiliyordu. Kurul, sonuç duyuru sisteminin yeniden tasarlanmasını ve kimlik numarası ile doğrulama kodu üzerinden yalnızca ilgili kişinin kendi sonucunu görebileceği bir yapı kurulmasını istedi, bilgi talebine süresinde cevap vermeyen görevliler hakkında da disiplin işlemi başlatılmasına karar verdi. Bu çizgi 2026'da ilke kararına dönüştü. 1 Temmuz 2026 tarihli ve 2026/1301 sayılı ilke kararı 28 Temmuz 2026 tarihli Resmî Gazete'de yayımlandı; kamu tüzel kişiliğini haiz veri sorumlularının internet ortamında paylaştığı belgeleri hedef aldı ve sonuç duyurularında e-Devlet ya da iki faktörlü doğrulama gibi güvenli kimlik doğrulama yöntemlerinin kullanılmasını istedi. Aynı hassasiyetin çevrimdışı karşılığı da var. Kurul'un 2 Aralık 2021 tarihli ve 2021/1214 sayılı kararında, katılımcıların adı, soyadı ve T.C. kimlik numarasını içeren yoklama listesinin sınıfta elden ele dolaştırılarak imzalatılması uygun bulunmamış, kimlik numaralarının maskelenmesi yönünde talimat verilmişti.

Öğrenci verisinin en kırılgan kısmı özel nitelikli olanı. Kurul'un 2 Nisan 2020 tarihli ve 2020/255 sayılı kararına konu olayda bir eğitim kurumu, velilerin açık rızasını almadan öğrencilere bilişsel değerlendirme testi uygulamış, test sonucunda dikkat eksikliği ve kaygı gibi ruh sağlığına ilişkin veriler işlenmişti. Kurul rehberlik hizmetinin meşruluğunu tartışmadı, dayanağı tartıştı. Sağlık verisi bakımından geçerli bir işleme şartı yoktu, aydınlatma da tam yapılmamıştı. Sonuç 50.000 TL idari para cezası ve hukuka aykırı işlenen verilerin imhası oldu. Okullarda bu kategori sanılandan geniş bir alanı kaplıyor: rehberlik servisi kayıtları, ilaç ve alerji bilgileri, engel durumu, özel eğitim raporları, sağlık raporları, hatta velinin sağlık nedeni yazarak verdiği bir mazeret dilekçesi. Her biri ayrı bir dayanak ister ve hepsine aynı kişilerin erişmesi gerekmez. Sınıf öğretmeninin görmesi gereken bilgi ile okul yönetiminin görmesi gereken bilgi çoğu zaman aynı değil.

Canlı ders kayıtları ayrı bir başlık ve çoğu kurumda hiç tartışılmadan açılıyor. Kurul'un 24 Ağustos 2023 tarihli ve 2023/1461 sayılı kararı doğrudan derslikle ilgili değil, bir eğitim kurumunun kurucu odasında alınan görüntü ve ses kaydına ilişkin. Ama getirdiği ayrım derse birebir uyuyor. Kurul, güvenlik gerekçesiyle görüntü kaydı alınmasını meşru sayarken ses kaydı için geçerli bir dayanak görmedi ve toplam 230.000 TL idari para cezası uyguladı; bunun 200.000 TL'si ses kaydına, 30.000 TL'si aydınlatma yükümlülüğüne ilişkindi. Çıkan kural basit. Her ek veri katmanı kendi gerekçesini taşımak zorunda. Ders kaydı için sorular da buradan üretiliyor: kayıt kime açık, ne kadar süreyle saklanıyor, indirilebiliyor mu, öğrencinin sorduğu soru ve sesi kayda giriyor mu, öğretim elemanının görüntüsü sonraki dönemlerde yeniden kullanılacaksa bu kendisiyle konuşulmuş mu. Kaydı almak bir karar; onu iki yıl boyunca bir bulut klasöründe tutmak ayrı bir karar.

Platform seçimi de hukuki bir karar. Öğrenme yönetim sistemi, video konferans aracı, ödev ve benzerlik kontrol servisi, çevrimiçi sınav yazılımı çoğu zaman bulut üzerinden alınıyor ve veri merkezi yurt dışında oluyor. O noktada 9. madde devreye giriyor: yeterlilik kararı bulunan bir ülkeye aktarım, yeterlilik kararı yoksa standart sözleşme, bağlayıcı şirket kuralları, taahhütname ya da kamu kurum ve kuruluşları arasındaki anlaşma gibi uygun güvencelerden biri, bunlar da yoksa dar yorumlanması gereken arızi hâller. Standart sözleşme kullanılıyorsa imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi gerekiyor ve bildirmemenin 2026 karşılığı 90.308 TL ile 1.806.377 TL arasında bir idari para cezası. Sözleşmede netleştirilmesi gereken ikinci konu rol dağılımı. Sağlayıcı yalnızca sizin talimatınızla mı işliyor, yoksa kendi ürününü geliştirmek için öğrenci verisini kullanıyor mu? İkincisi doğruysa karşınızdaki şirket kendi başına veri sorumlusudur ve bunu bir ihlalden sonra öğrenmek pahalıya patlıyor. Kampüs ve yurt ağlarında ise 5651 sayılı Kanun tarafındaki toplu kullanım sağlayıcı yükümlülükleri işliyor; o başlık KVKK uyumundan bağımsız olarak ayrıca yürütülmeli.

Bu arada öğrenci bilgi sistemleri fiilen hedef durumda. Trabzon Üniversitesi Rektörlüğü'nün Kuruma yaptığı veri ihlali bildirimine göre personel ve öğrencilere ait bazı bilgiler siber saldırganlar tarafından internetteki yasa dışı platformlarda satışa sunuldu; ihlalin 1 Ocak 2025'te başladığı, 6 Ocak 2025'te tespit edildiği ve etkilenen kayıt sayısının 25.237 olduğu bildirildi. Etkilenen veriler arasında ad soyad, T.C. kimlik numarası, doğum tarihi, anne ve baba adı ve doğum yeri gibi kimlik verileri, e-posta ve telefon gibi iletişim verileri, kurumsal sicil numarası ve ders programı dosyaları gibi özlük verileri ile lokasyon verileri yer aldı. Kurul, 16 Ocak 2025 tarihli ve 2025/171 sayılı kararıyla bildirimin Kurumun internet sitesinde ilan edilmesine karar verdi. Benzer bildirimler farklı üniversitelerden düzenli olarak geliyor ve çoğunun ortak noktası aynı: bir personel hesabının ele geçirilmesi ya da yetkilendirmenin görev tanımından geniş kalması. İhlal öğrenildiğinde en geç yetmiş iki saat içinde Kurula bildirilmesi gerekiyor. Öğrenci ya da veli tarafında yol ise belli. Önce 11. maddedeki haklar kapsamında veri sorumlusuna yazılı başvuru, otuz gün içinde cevap gelmezse ya da cevap yetersizse Kurula şikâyet.

Üniversite, özel okul, kurs ya da çevrimiçi eğitim platformu olarak bu zincirin bir yerinde duruyorsanız ilk bakılacak yer, hangi öğrenci verisinin hangi işleme şartına dayandığı ve o verinin gerçekten gerekli olup olmadığı. KVKK Danışman'ın ücretsiz ön değerlendirmesinde yoklama ve kimlik doğrulama yöntemlerinizi, ders kaydı ve sınav gözetimi uygulamalarınızı, sonuç duyuru sistemlerinizi ve platform sözleşmelerinizi birlikte gözden geçiriyoruz.

Randevu Al