Sürücü kursları, işleri gereği çok sayıda kişisel veriyle çalışır. Kayıt sırasında kursiyerin kimlik bilgileri, iletişim bilgileri ve fotoğrafı alınır; eğitim boyunca sınav sonuçları, direksiyon dersleri ve ödeme kayıtları birikir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), bu verileri işleyen her kurum gibi sürücü kurslarına da yükümlülükler getirir. Bu yazıda sürücü kursu KVKK uyumunun temel adımlarını, kursların en sık yaptığı hataları ve kullandığınız yazılımda hangi teknik tedbirlerin aranması gerektiğini anlatıyoruz.
Not: Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık yerine geçmez. Kurumunuza özgü yükümlülükler için bir hukuk danışmanından görüş alın.
Sürücü kursu KVKK açısından neden önemli?
KVKK'ya göre kişisel verileri işleme amaçlarını ve araçlarını belirleyen kişi ya da kurum "veri sorumlusu"dur. Bir sürücü kursu, kursiyerlerinin ve çalışanlarının verilerini kendi amaçları için işlediğinden veri sorumlusu sayılır. Bu da kursun verileri hukuka uygun işlemesi, kişileri bilgilendirmesi ve verileri güvende tutması gerektiği anlamına gelir. Sürücü kursu KVKK yükümlülüklerini yalnız bir metin yayımlamak olarak görmek yaygın bir hatadır; asıl önemli olan günlük işleyişin bu kurallara uygun olmasıdır.
Sürücü kursu hangi kişisel verileri işler?
Sürücü kursu KVKK çalışmasına, kursun hangi verileri neden işlediğini çıkararak başlamak gerekir. Tipik bir kursta işlenen veriler şu gruplara ayrılır:
- Kimlik verileri: Ad soyad, T.C. kimlik numarası, doğum tarihi ve yeri.
- İletişim verileri: Telefon, e-posta ve adres.
- Görsel veriler: Kayıt ve belge işlemlerinde kullanılan vesikalık fotoğraf.
- Finansal veriler: Sözleşme tutarı, taksitler, ödeme kayıtları.
- Eğitim verileri: Deneme sınavı sonuçları, direksiyon ders kayıtları.
Mevzuat gereği istenen sağlık raporu gibi belgeler özel nitelikli kişisel veri içerebilir ve daha sıkı korunmalıdır. Her veri grubu için şu soruyu sorun: Bu veriyi hangi amaçla, hangi hukuki sebebe dayanarak ve ne kadar süreyle tutuyoruz? Amaç için gerekli olmayan veriyi hiç toplamamak, sürücü kursu KVKK uyumunun en kolay ve en etkili adımıdır.
Uyumun temel adımları
- Veri envanteri: İşlenen verileri, amaçlarını, saklama sürelerini ve kimlerle paylaşıldığını bir tabloda toplayın.
- Aydınlatma metni: Kursiyere verilerinin hangi amaçla işlendiğini, kimlere aktarılabileceğini ve haklarını anlatan metni kayıt sırasında sunun ve sitenizde yayımlayın.
- Açık rıza: Kanunda sayılan diğer işleme şartlarının bulunmadığı durumlarda (örneğin pazarlama amaçlı ileti) ayrı ve açık rıza alın.
- Saklama ve imha: Her veri türü için saklama süresi belirleyin; süresi dolan verileri düzenli olarak silin ya da anonim hâle getirin.
- Başvuru süreci: Kursiyerin verileriyle ilgili bilgi, düzeltme ya da silme taleplerini nasıl karşılayacağınızı yazılı hâle getirin.
- VERBİS: Veri Sorumluları Siciline kayıt yükümlülüğü kurumun çalışan sayısı ve mali büyüklüğüne göre değişir; muafiyet kapsamında olup olmadığınızı kontrol edin.
Yazılımda aranacak teknik tedbirler
Sürücü kursu KVKK uyumunun teknik tarafı büyük ölçüde kullanılan yazılıma bağlıdır. Kursiyer verilerini işleyen bir programda şu tedbirler bulunmalıdır:
- Rol bazlı yetki: Kursiyer yalnız kendi kaydını, direksiyon eğitmeni yalnız kendi ders programını görmeli; yönetim yetkisi sınırlı sayıda kişide olmalıdır.
- Şifreli bağlantı ve parola güvenliği: Bütün sayfalar HTTPS üzerinden açılmalı, parolalar geri çözülemeyecek biçimde saklanmalıdır.
- Gizli anahtarların korunması: Ödeme ve e-posta hizmetlerinin anahtarları veritabanında şifreli tutulmalıdır.
- Fotoğrafların korunması: Vesikalık fotoğraflar herkese açık bir klasörde durmamalı, yalnız sahibine ve yetkili yöneticiye gösterilmelidir.
- Kart bilgisinin kursa gelmemesi: Kredi kartıyla ödemede kart formu ödeme kuruluşunun güvenli sayfası olmalı, kart numarası kursun sunucusundan geçmemelidir.
Vesikalık fotoğraf ve kimlik bilgileri
Fotoğraf, sürücü kurslarının en hassas verilerinden biridir. Kursiyerin fotoğrafını telefonla çekip profiline yüklemesi işi hızlandırır; ancak fotoğrafın nerede ve nasıl saklandığı önemlidir. Fotoğrafın yalnız gereken boyutta saklanması, herkese açık bir adresle erişilememesi ve yalnız kursiyerin kendisi ile yönetime gösterilmesi gerekir. Kursiyerin kendi profilinde kimlik ve iletişim bilgilerini görebilmesi ve güncelleyebilmesi de KVKK'daki düzeltme hakkının pratik bir karşılığıdır. Sürücü kursu KVKK metinlerinde fotoğrafın hangi amaçla alındığı ve ne kadar süre saklanacağı da açıkça yazılmalıdır.
Sık yapılan hatalar
Uygulamada sürücü kursu KVKK uyumunu zayıflatan hatalar çoğu zaman küçük alışkanlıklardan doğar:
- Kursiyer listelerini e-postayla ya da mesajlaşma gruplarında paylaşmak: T.C. kimlik numarası ve telefon içeren listeler kontrolsüz biçimde çoğalır.
- Ortak kullanıcı hesabı: Herkesin aynı şifreyle girdiği bir program, kimin hangi veriye eriştiğini izlemeyi imkânsız kılar.
- Eski kayıtları süresiz saklamak: Saklama süresi dolan veriler silinmezse risk gereksiz yere büyür.
- Aydınlatma metnini yalnız sitede bırakmak: Metin kayıt sırasında kursiyere de sunulmalıdır.
Kursiyer hakları ve başvurular
KVKK'nın 11. maddesi kişilere, verilerinin işlenip işlenmediğini öğrenme, bilgi talep etme, yanlış verilerin düzeltilmesini ve şartları oluştuğunda silinmesini isteme gibi haklar tanır. Bir kursiyer bu haklarını kullanmak için kursa başvurduğunda kursun başvuruyu kanunda öngörülen süre içinde cevaplaması gerekir. Sürücü kursu KVKK süreçlerinde bu başvuruların kimin tarafından, hangi kanaldan alınacağı ve nasıl kayda geçirileceği önceden belirlenmelidir. Kursiyerin kendi bilgilerini sistemde görebilmesi, başvuruların önemli bir bölümünü daha oluşmadan karşılar. Silme taleplerinde ise yasal saklama yükümlülükleri ayrıca değerlendirilir; örneğin mali kayıtlar mevzuatın öngördüğü süre boyunca saklanmak zorunda olabilir.
Çalışanlar ve eğitmenler de kapsamda
Sürücü kursu KVKK çalışmaları çoğu zaman yalnız kursiyerlere odaklanır; oysa kursun çalışanları ve direksiyon eğitmenleri de veri sahibidir. Personel dosyaları, izin kayıtları ve ders programları da aynı özenle korunmalıdır. Öte yandan çalışanlar, kursiyer verilerine erişen kişiler olarak uyumun uygulayıcılarıdır. Yeni başlayan her çalışana kursiyer verilerinin nasıl kullanılacağı anlatılmalı, gizlilik taahhüdü alınmalı ve yalnız işi için gereken ekranlara erişim verilmelidir. Görevden ayrılan çalışanın hesabı aynı gün kapatılmalıdır. Sürücü kursu KVKK eğitimini yılda en az bir kez tekrarlamak, kuralların günlük işte unutulmasını önler.
Veri ihlali durumunda ne yapılır?
Bir veri ihlali fark edildiğinde önce ihlalin kaynağı kapatılır, etkilenen veriler ve kişiler belirlenir. KVKK, ihlalin Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere en kısa sürede bildirilmesini öngörür. Bu süreç önceden yazılı bir plan hâlinde hazırlanırsa kriz anında zaman kaybedilmez. Sürücü kursu KVKK planınızda ihlal durumunda kimin karar vereceği ve kimin bildirimi yapacağı açıkça yazmalıdır.
Sürücü kursu KVKK uyumunda SinTEST'in rolü
Yazılım tek başına KVKK uyumu sağlamaz; aydınlatma, rıza ve saklama süreleri kursun idari sorumluluğundadır. SinTEST ise teknik tarafı destekler: kursiyer, eğitmen ve yönetici rolleri birbirinden ayrıdır, vesikalık fotoğraflar korumalı alanda tutulup yalnız sahibine ve yönetime gösterilir, ödeme ve e-posta anahtarları şifreli saklanır, kart bilgisi ödeme kuruluşunun sayfasında alınır. SinTEST, kişisel verilerin korunması politikası için taslak bir sayfayla gelir; bu sayfayı ve diğer yasal metinleri kendi sürücü kursu KVKK metinlerinize göre düzenleyip yayımlarsınız. Ayrıntılar için Özellikler sayfamıza bakabilir, ekranları canlı demoda inceleyebilirsiniz. Yazılım seçiminde dikkat edilecek diğer noktalar için sürücü kursu programı seçerken nelere dikkat edilmeli yazımıza göz atın.
