Çocuk verisiyle çalışırken: sorumlu veri kullanımının temel ilkeleri

Eğitim teknolojisinde sorumlu veri kullanımı, öğrenci verisinin belirli ve açık bir amaç için, o amaç için gerekli olduğu kadar ve gerekli olduğu süre boyunca işlenmesi, kimin neyi gördüğünün de baştan belli olması demektir. Türkiye'de bu çerçevenin temeli, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 4. maddesindeki genel ilkelerdir. Bu yazı o maddeyi resmî metinden okuyor, her ilkenin okul çağındaki çocukların kullandığı bir ürün için ne anlama geldiğini anlatıyor ve bir sağlayıcıyla görüşürken sorulabilecek soruları sıralıyor.

Bu yazı hukuki görüş değildir. Kurumunuzun somut bir uygulaması için hukuk danışmanınıza veya kişisel veri koruma uzmanına başvurun.

Kanunun 4. maddesi ne söylüyor?

6698 sayılı Kanun'un 4. maddesinin ikinci fıkrası, kişisel verilerin işlenmesinde uyulması zorunlu beş ilke sayar. Resmî metin (mevzuat.gov.tr) şöyle:

• Hukuka ve dürüstlük kurallarına uygun olma.
• Doğru ve gerektiğinde güncel olma.
• Belirli, açık ve meşru amaçlar için işlenme.
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.
• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

Madde 4 "veri minimizasyonu", "şeffaflık" ya da "rol bazlı erişim" sözcüklerini kullanmaz. Veri minimizasyonu, uygulamada dördüncü ilkenin (sınırlı ve ölçülü olma) gündelik adıdır. Şeffaflık ve erişim kontrolü ise başka maddelerden, 10. maddedeki aydınlatma yükümlülüğünden ve 12. maddedeki veri güvenliği yükümlülüğünden gelir. Aşağıda her başlığın hangi maddeye yaslandığını belirtiyorum.

Birinci ve ikinci ilke (hukuka ve dürüstlük kurallarına uygunluk, doğruluk ve güncellik) eğitim teknolojisinde gözden kaçabilir. Dürüstlük kuralı, uygulamada ürünün gerçekte ne yaptığının çocuğa ve ailesine açık anlatılması beklentisiyle birlikte okunur; vaat edilen ile yapılan arasındaki fark bu ilkeyi tartışmalı hâle getirir. Doğruluk ise yanlış ya da eski veriden üretilmiş bir raporun bir öğrenci hakkında yanlış izlenim bırakabileceği anlamına gelir. Kanun'un 11. maddesi, ilgili kişiye eksik veya yanlış işlenmiş verilerin düzeltilmesini isteme hakkı da tanır. Bir sağlayıcının düzeltme talebini nasıl karşıladığı, bu yüzden sorulması gereken sorulardan biridir.

Amaçla sınırlılık: veri neden toplanıyor?

Üçüncü ilke, verinin belirli, açık ve meşru bir amaçla işlenmesini ister. Eğitim teknolojisinde bu, "ileride işe yarar" gerekçesiyle veri toplamamak demektir. Bir oyun içi görevden toplanan davranış kaydı, rehberlik görüşmesini desteklemek için toplandıysa başka bir amaçla, örneğin sınıf sıralaması çıkarmak için kullanılamaz.

Kurum yöneticisi için pratik sınama basit: sağlayıcıdan her veri alanının yanına bir cümlelik bir amaç yazmasını isteyin. Amacı yazılamayan alan, toplanmaması gereken alan olabilir.

Ölçülülük, veri minimizasyonu ve saklama süresi

Dördüncü ilke verinin işlendiği amaçla bağlantılı, sınırlı ve ölçülü olmasını ister. Çocuklarla çalışırken bu ilke en çok iş yapan ilkedir, çünkü teknik olarak toplanabilen şey ile toplanması gereken şey arasındaki fark en burada açılır. Bir görev ekranında her dokunuşu, her bekleme süresini, her cihaz bilgisini kaydetmek mümkündür. Soru, rehber öğretmenin yorumu için bunların hangisinin gerçekten gerektiğidir.

Ölçülülüğü sınamak için şu soru işe yarar: bu alanı çıkarırsak amaçlanan iş yapılamaz mı? Yapılabiliyorsa alan fazlalıktır.

Kayıt ayrıntısı da aynı soruya tabidir. Bir davranışı "görevi tamamladı mı" düzeyinde özetlemek ile saniye saniye hareket izini tutmak arasında büyük fark vardır; ikincisi çoğu zaman rehberlik yorumu için gerekmez, ama bir kişiyi çok daha belirlenebilir kılar.

Beşinci ilke, verinin mevzuatta öngörülen veya amaç için gerekli olan süre kadar tutulmasını ister. Kanun'un 7. maddesi bir adım ileri gider: işlemeyi gerektiren sebepler ortadan kalktığında kişisel veriler silinir, yok edilir veya anonim hâle getirilir. Anonim hâle getirme de Kanun'un 3. maddesinde tanımlıdır: veri, başka verilerle eşleştirilse bile hiçbir surette kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemez olmalıdır.

Okullar için bu, dönem sonu ya da sözleşme bitişi gibi somut bir tarihe bağlanabilir. Önemli olan bu tarihin yazılı olması ve silmenin gerçekten yapıldığının, örneğin bir tutanakla, kuruma bildirilmesidir. "Süresiz saklanır" cevabı, beşinci ilke açısından sağlayıcıya ek sorular sorulmasını gerektiren bir cevaptır.

Şeffaflık ve yaşa uygun bilgilendirme

Şeffaflığın hukuki karşılığı 10. maddedir. Veriler elde edilirken veri sorumlusu ilgili kişiye şunları bildirmekle yükümlüdür: kendi kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebep, ayrıca ilgili kişinin 11. maddedeki hakları.

Aydınlatmaya ilişkin 10. madde, çocuklar için ayrı bir anlatım biçimi tarif etmez. Bu yüzden "yaşa uygun bilgilendirme" burada bir hukuk sözcüğü olmaktan çok bir tasarım sorusudur: aydınlatma metni, kullanıcı çocuksa o çocuğun anlayabileceği bir dille de verilebiliyor mu? Çocuk ve veli ya da yasal temsilci için bilgilendirmenin nasıl kurulacağı hukuk danışmanıyla netleştirilmesi gereken bir konudur.

Bu başlıkta bir kavramı da ayırmak gerekir. Eğitim yazınında "stealth assessment" (örtük değerlendirme), oyun sırasındaki davranıştan öğrenme göstergeleri çıkarmayı anlatır. Kavramın kendisi sorunlu değildir, ama "örtük" sözcüğü çocuğun bilgisi dışında değerlendirilmesi anlamına gelemez. Oyun içi davranışın gösterge olarak kullanıldığı, kurum ve kullanıcı tarafından bilinmeli ve anlaşılır olmalıdır.

Rol bazlı erişim ve etiketlememe

Rol bazlı erişim, 12. maddedeki yükümlülüğün somut yollarından biridir. Madde, veri sorumlusunun hukuka aykırı erişimi önlemek ve verilerin muhafazasını sağlamak için gerekli her türlü teknik ve idari tedbiri almasını ister. Eğitim bağlamında bu, öğrencinin, öğretmenin, rehber öğretmenin, kurum yöneticisinin ve sağlayıcı personelinin aynı veriyi görmemesi demektir. Her rol yalnız kendi işi için gerekeni görmelidir. Sağlayıcı tarafında da aynı mantık geçerlidir: destek ekibinin, geliştiricilerin ve yöneticilerin öğrenci düzeyindeki veriye erişimi gerekçelendirilmiş, sınırlı ve kayıt altında olmalıdır. Kurum yöneticisinin elinde ise iyi bir erişim modelini sınamanın basit bir yolu vardır: farklı rollerle oturum açtırıp her rolün ekranında ne göründüğünü kendi gözünüzle izleyin.

Etiketlememe ise bir hukuk ilkesi değil, tasarım ve raporlama ilkesidir; ama 11. maddenin (g) bendiyle yan yana okunmayı hak eder: bu bent, işlenen verilerin münhasıran otomatik sistemlerle analiz edilmesi sonucunda kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz hakkını tanır. Bendin somut bir raporlama biçimine uygulanıp uygulanmayacağı hukuki bir sorudur. Yine de çocuğu "şu tipte" diye sabit bir kategoriye koyan ve yorumu bir uzmana bırakmayan bir rapor dili, bu bentle ilgili soruları gündeme getirebilir. Sorumlu bir raporun dili gelişimsel ve olasılıklıdır, yorum bir uzmanın elindedir ve çocuğa kalıcı bir etiket yapıştırmaz.

Bir sağlayıcıya sorulacak sorular

Kanun'un 12. maddesinin ikinci fıkrasına göre, veri sorumlusu verilerin kendi adına başka bir kişi tarafından işlenmesi hâlinde güvenlik tedbirlerinin alınması konusunda o kişiyle müştereken sorumludur. Kurumunuzun ve sağlayıcının hangi rolde olduğu somut duruma bağlıdır ve hukuk danışmanıyla belirlenir. Rol ne olursa olsun, aşağıdaki sorular kurumunuzun sağlayıcıya yöneltebileceği sorulardır.

Amaç ve kapsam 1. Hangi veri alanları toplanıyor ve her birinin amacı nedir? 2. Bir alanı çıkarırsak ürün çalışmaya devam eder mi? 3. Toplanan veri, toplandığı amacın dışında bir iş için (ürün geliştirme, model eğitimi, pazarlama) kullanılıyor mu?

Saklama ve silme 4. Her veri türü ne kadar süreyle saklanıyor ve süre sonunda ne oluyor? 5. Sözleşme bittiğinde veriye ne olur, silme veya anonim hâle getirme nasıl belgeleniyor?

Şeffaflık 6. Aydınlatma metni kime, ne zaman ve hangi dille veriliyor? Çocuk için ayrı, sade bir anlatım var mı? 7. Oyun veya uygulama içi davranıştan gösterge çıkarılıyorsa bu, kullanıcıya ve kuruma açıkça söyleniyor mu?

Erişim ve güvenlik 8. Hangi rol hangi veriyi görüyor? Sağlayıcı personeli öğrenci düzeyindeki veriye erişebiliyor mu? 9. Veri hangi ülkelerde ve hangi alt hizmet sağlayıcılar üzerinden işleniyor? 10. Kişisel verilerin yetkisiz kişilerce ele geçirilmesi hâlinde kuruma ne kadar sürede haber veriliyor?

Raporlama ve haklar 11. Raporlar öğrenciyi sabit bir kategoriye mi yerleştiriyor, yoksa gelişimsel ve olasılıklı bir dil mi kullanıyor? 12. İlgili kişi (öğrenci, veli) kendi verisi hakkında bilgi isterse süreç nasıl işliyor?

Sağlayıcının cevaplarının yazılı alınması ve sözleşme ekine girmesi iyi bir uygulamadır; sözleşme metni için hukuk danışmanına başvurulmalıdır.

Sık sorulan sorular

Sorumlu veri kullanımı ile veri güvenliği aynı şey mi?

Hayır. Güvenlik (12. madde), verinin yetkisiz erişimden korunmasıdır. Sorumlu veri kullanımı bunun öncesindeki sorulara da bakar: bu veri toplanmalı mı, ne kadarı, ne kadar süre, kimin için?

Hangi hukuki dayanağın uygulanacağını bu yazı söylüyor mu?

Hayır. Kanun'un 5. maddesi kişisel verilerin işlenme şartlarını sayar. Kurumunuzun hangi şarta dayanacağı, verinin niteliğine ve kullanım biçimine bağlıdır. Bu, hukuk danışmanıyla belirlenecek bir konudur.

Sağlayıcı kullanıyorsak sorumluluk sağlayıcıya mı geçiyor?

Kanun'un 12. maddesinin ikinci fıkrasına göre veri sorumlusu, verilerin kendi adına başka bir kişi tarafından işlenmesi hâlinde tedbirlerin alınmasında o kişiyle müştereken sorumludur. Yani işleme faaliyetini sağlayıcıya yaptırmak, bu konudaki sorumluluğu tek başına ortadan kaldırmaz. Kurumunuzun veri sorumlusu olup olmadığı ise somut duruma bağlıdır.

Oyun içi davranış verisi kişisel veri sayılır mı?

Kanun, kişisel veriyi kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlar. Bir davranış kaydı bir öğrenciyle ilişkilendirilebiliyorsa bu tanımın içine girme ihtimali yüksektir. Somut bir sistemin değerlendirmesi ise uzman görüşü gerektirir.

Anonim hâle getirilmiş veri ile takma adlı veri aynı mı?

Aynı değil. Kanun'daki tanıma göre anonim veri, başka verilerle eşleştirilse bile kimlikle ilişkilendirilemeyecek hâle getirilmiş veridir. Öğrenci numarası yerine rastgele bir kod koymak, eşleştirme tablosu başka bir yerde duruyorsa bu tanımı büyük olasılıkla karşılamaz; somut değerlendirme uzman görüşü gerektirir.