MEB'den KVKK yazısı: Öğrenci listelerini kaldırın

Milli Eğitim Bakanlığı okulları yetkisiz yazılım ve bot kullanımına karşı uyardı; sistemlerdeki işlemlerin log kayıtlarıyla izlendiğini bildirdi.

Okul internet sitelerinde ve sosyal medya hesaplarında öğrenci sınıf listesi, sınav listesi veya T.C. kimlik numarası yayımlanamayacak; daha önce yayımlananlar da kaldırılacak. Milli Eğitim Bakanlığı (MEB) Bilgi İşlem Genel Müdürlüğü, 29 Haziran 2026 tarihli ve E-44222578-951.01.09-162807709 sayılı "Kişisel Verilerin Korunması Kapsamında Alınacak Tedbirler" konulu yazıyı merkez ve taşra teşkilatına gönderdi. Yazı, Bakan adına Bilgi İşlem Genel Müdürü Ersin Karaman imzasını taşıyor. Bakanlık aynı yazıda parola paylaşımını ve yetkisiz üçüncü parti yazılım kullanımını da yasakladı. Tedbirlerin tüm personele duyurulmasından okul ve kurum yöneticileri sorumlu tutuldu.

MEB sistemlerinde parola paylaşımı ve bot kullanımı yasak

Yazıya göre Bakanlık sistemlerine erişen herkes, kendisine tahsis edilen kullanıcı adı, parola ve doğrulama kodunu üçüncü taraflarla paylaşmayacak. Bu yükümlülük yalnızca okul yöneticileri, öğretmenler ve memurlar için geçerli değil. Motorlu taşıt sürücü kursları, özel öğretim kurumları, özel öğretim kursları ile özel eğitim ve rehabilitasyon merkezleri de aynı kapsamda sayıldı.

Bakanlık, sistemlerde işlem yapmak için kullanılan yardımcı yazılımlara da açık bir yasak getirdi. Yazıda şu ifade yer aldı:

"Bakanlığımız sistemlerinde işlem yapmak amacıyla yetkisiz üçüncü parti yazılım, bot, makro, otomasyon aracı, tarayıcı eklentisi, yetkisiz entegrasyon, veri çekme veya veri aktarma aracı ve benzeri uygulamalar kullanılmamalıdır."

Kullanıcı adı, parola ve doğrulama bilgileri bu tür yazılımlara girilmeyecek. Bakanlık sistemlerinden yetkisiz şekilde toplu veri alma, veri aktarma veya işlem yapma girişiminde de bulunulmayacak.

Log kayıtları tutuluyor: Yetkisiz erişimde idari ve hukuki süreç

MEB, bilgi sistemlerinde yapılan erişim, sorgulama, veri alma ve veri aktarma işlemlerinin sistem kayıtları üzerinden izlenebildiğini ve log kayıtlarının tutulduğunu hatırlattı. Kurallara uymayanlar için yazıda şu uyarı yapıldı:

"Yetkisiz erişim, yetkisiz veri işleme, veri aktarımı, parola paylaşımı veya yetkisiz üçüncü parti yazılım kullanımı tespit edilmesi halinde mevzuat çerçevesinde gerekli idari ve hukuki süreçler yürütülecektir."

Yazıda kişisel verilerin işlenmesine ilişkin genel ilkeler de sıralandı. Buna göre veriler yalnızca görev ve hizmet gerekleri doğrultusunda, belirli ve meşru amaçlarla işlenecek. Gereğinden fazla veri alınmayacak, verilerin güncelliği korunacak ve yetkisiz erişime karşı tedbir uygulanacak. Veriler, mevzuatta öngörülen veya işleme amacı için gerekli olan süreden uzun saklanmayacak.

Okul internet sitelerinde hangi bilgiler yayımlanamayacak?

Yazıya göre okul, kurum ve birimlere ait internet siteleri, sosyal medya hesapları ve çevrim içi platformlarda kişisel veri içeren içeriklerin kamuya açık şekilde yayımlanmaması esas.

Bakanlık, yayımlanmaması gereken içerikleri tek tek saydı:

öğrenci sınıf listeleri,

öğrenci numaraları,

T.C. kimlik numaraları,

sınav listeleri,

devamsızlık ve başarı bilgileri,

sağlık bilgileri,

disiplin bilgileri,

veli bilgileri ve

personel iletişim bilgileri. Öğrenci ve personele ait fotoğraf, video ve benzeri içerikler de aynı listede yer aldı.

Duyuru ve paylaşımlarda kişisel veri içermeyen yöntemler kullanılacak. Kişisel veri işlenmesini gerektiren istisnai durumlar ise 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili mevzuat çerçevesinde değerlendirilecek.

Düzenleme geçmişe dönük bir temizlik de öngörüyor. Okul ve kurum müdürlükleri, daha önce internet sitelerinde, sosyal medya hesaplarında veya çevrim içi platformlarda yayımlanmış liste, belge, fotoğraf, video, duyuru ve dosyaları gözden geçirecek. Kişisel veri içeren içerikler kamuya açık erişimden kaldırılacak.

Öğrenci fotoğrafı ve videosu paylaşımında hangi şartlar aranacak?

Eğitim öğretim faaliyetleri kapsamında fotoğraf ve video çekimi veya paylaşımı yapılması gereken hallerde dört husus önceden belirlenecek: çekim ve paylaşım amacı, paylaşım yapılacak ortam, saklama süresi ve içeriğe kimlerin erişebileceği.

Bu süreçlerde ilgili mevzuat, aydınlatma yükümlülüğü ve gerekli hallerde açık rıza süreçleri dikkate alınacak. Bakanlık, özellikle öğrencilere ait görüntülerin paylaşımında ilave hassasiyet gösterilmesini istedi.

Okul müdürleri ve öğretmenler ne yapmalı?

Yazı, yönetici, öğretmen ve ilgili personelin Öğretmen Bilişim Ağı (ÖBA) üzerindeki iki kursa yönlendirilmesini istiyor: "Eğitim Kurumlarında Kişisel Verilerin Korunması Eğitimi Kursu" ve "Bilgi Güvenliği Farkındalık Eğitimi Kursu". Okul ve kurumlar, bu kurslara katılım için gerekli bilgilendirmeyi yapacak.

Personel için bir bildirim yükümlülüğü de var. Kişisel veri ihlali, yetkisiz erişim, yanlış kişiye veri gönderimi, şüpheli yazılım kullanımı, parola paylaşımı veya web sitesinde kişisel veri yayımlanması gibi bir durumu fark eden kişi, konuyu gecikmeksizin okul/kurum yöneticisine ve bağlı bulunulan ilgili birime bildirecek.

Uygulamanın sorumluluğu ise yöneticilere verildi. Yazıdaki ifade şöyle:

"Okul ve kurum yöneticileri; bu yazıda belirtilen hususların personele duyurulmasından, gerekli kontrollerin yapılmasından, web sayfaları ile sosyal medya hesaplarının gözden geçirilmesinden ve tespit edilen uygunsuzlukların giderilmesinden sorumludur."