Bir özel eğitim ve rehabilitasyon merkezinin tuttuğu kayıtların büyük kısmı hassastır. Öğrencinin tanısı, RAM raporu, sağlık notları, kullandığı ilaçlar, davranış kayıtları ve gelişim değerlendirmeleri, kişisel verilerin korunması mevzuatında özel nitelikli kişisel veri olarak ele alınan sağlık verisi kapsamındadır. Bu verilerin kimler tarafından, hangi amaçla ve ne kadar süreyle işlendiği, kurumun hem hukuki yükümlülüğü hem de ailelere karşı güven sorumluluğudur.
Hangi veri özel niteliklidir?
Merkezde tutulan veriler genel olarak iki gruba ayrılabilir. Kimlik ve iletişim bilgileri (ad, soyad, veli adı, telefon, adres) kişisel veridir. Tanı, eğitsel tanı, rapor içeriği, sağlık notları, ilaç bilgisi ve gelişim değerlendirmeleri ise sağlıkla ilgili olduğu için özel nitelikli kişisel veridir ve daha sıkı korunmalıdır. Fotoğraf ve video da kişisel veridir; öğrencinin yüzünün göründüğü görüntüler ayrıca hassastır.
İhtiyaç kadar erişim
Veri korumanın temel ilkelerinden biri, herkesin yalnız işini yapmak için gereken veriye erişmesidir. Bir merkezde bu ilke rol bazlı erişimle uygulanır:
| Rol | Görmesi gereken | Görmemesi gereken |
|---|---|---|
| Ön büro | Kimlik, iletişim, yoklama, servis, rapor tarihi | Tanı ayrıntısı, BEP, seans notları |
| Muhasebe | Döküm sayıları, ücretler, tahsilat | Klinik verinin tamamı |
| Uzman | Kendi öğrencilerinin klinik dosyası | Diğer uzmanların öğrencileri |
| Koordinatör | Eğitim sürecinin tamamı | Gerekmedikçe finans ayrıntısı |
| Müdür | Tamamı, erişim günlüğü | — |
Bu tablo bir örnektir; her kurum kendi iş bölümüne göre uyarlar. Önemli olan, uzmanların yalnız kendi öğrencilerini görmesi ve idari rollerin klinik veriye erişmemesidir.
Erişim günlüğü
Erişim kısıtlaması tek başına yeterli değildir; yetkili kişilerin erişimleri de kayıt altında olmalıdır. Erişim günlüğü, bir öğrenci dosyasının kim tarafından, ne zaman, hangi ekrandan açıldığını ve ne yapıldığını (görüntüleme, düzenleme, dışa aktarma, yazdırma) kaydeder. Bu kayıt, bir veri ihlali şüphesinde ne olduğunun anlaşılmasını sağlar; ayrıca kullanıcıları dikkatli olmaya teşvik eder. Günlüğün kendisi de yalnız yetkili yönetici tarafından görülmelidir.
Aydınlatma ve açık rıza
Veliler, kayıt sırasında hangi verilerin hangi amaçla işlendiği konusunda aydınlatılmalıdır. Bazı işlemler için ayrıca açık rıza gerekebilir: örneğin fotoğraf ve video paylaşımı, SMS ile bilgilendirme ya da verilerin üçüncü kişilerle paylaşılması. Rızanın ne zaman, hangi kapsam için alındığı ve geri alınıp alınmadığı öğrenci dosyasında izlenmelidir. Rıza geri alındığında ilgili işlemin gerçekten durması, örneğin medya paylaşımının kapanması gerekir.
Saklama ve imha
Veriler, işlenme amacının gerektirdiği süre ve ilgili mevzuatta öngörülen süreler boyunca saklanır; süre dolduğunda silinir, yok edilir ya da anonim hâle getirilir. Merkezden ayrılan bir öğrencinin dosyasının ne kadar süre saklanacağı, kurumun saklama ve imha politikasında yazılı olmalıdır. Yazılımda ayrılan öğrencilerin dosyalarının pasife alınması, aktif listelerden çıkarılması ve süre dolduğunda imha listesine düşmesi bu politikayı uygulanabilir kılar.
İlgili kişi başvuruları
Veliler, çocuklarına ait verilerle ilgili bilgi talep etme, düzeltme isteme ya da verilerin bir kopyasını alma gibi haklara sahiptir. Bu başvuruların kayda alınması, yasal süreler içinde yanıtlanması ve yanıtın belgelenmesi gerekir. Bir başvurunun hangi tarihte geldiği, kim tarafından incelendiği ve nasıl sonuçlandığı izlenmelidir. Adımlık'ta bu başvurular ayrı bir listede tutulur ve durumları izlenir.
Dışa aktarma ve yazdırma
Verilerin sistem dışına çıktığı her an risklidir. Bir öğrenci listesinin hesap tablosu olarak indirilmesi, bir raporun yazdırılması ya da e-postayla gönderilmesi, verinin kurumun koruma alanından çıkması demektir. Bu nedenle dışa aktarma ve yazdırma yetkisi de rol bazında sınırlandırılmalı, her dışa aktarma erişim günlüğüne yazılmalıdır. Dışa aktarılan listelerde gerekmeyen alanların (örneğin kimlik numarası ya da tanı) bulunmaması, olası bir kayıpta zararı azaltır. Kimlik numaralarının ekranda ve çıktılarda maskelenerek gösterilmesi de bu yaklaşımın parçasıdır.
Günlük alışkanlıklar
Teknik önlemler kadar günlük alışkanlıklar da önemlidir:
- Ekranı açık bırakmamak; ortak bilgisayarlarda oturumu kapatmak
- Öğrenci dosyalarını kişisel telefon ve mesajlaşma uygulamalarıyla paylaşmamak
- Basılı raporları kilitli dolapta saklamak
- Veliyle telefonda konuşurken kimlik doğrulamak
- Fotoğraflarda başka öğrencilerin görünmemesine dikkat etmek
Yazılım ne yapabilir?
Bir yazılım kurumun yükümlülüklerini tek başına yerine getirmez; ama doğru kurgulandığında bunları uygulanabilir kılar. Rol bazlı erişim, uzmanın yalnız kendi öğrencisini görmesi, erişim günlüğü, maskelenmiş kimlik numarası, rıza takibi ve başvuru listesi bu kurgunun parçalarıdır. Adımlık'ta bu önlemlerin nasıl çalıştığını güvenlik ve KVKK sayfasında görebilirsiniz. Adımlık bir resmî sertifika ya da uygunluk belgesi iddiasında bulunmaz; kurulumda kurumun kendi politikalarına göre yapılandırılır.