Eğitim kurumlarında rehberlik hizmetleri kapsamında öğrencilere bir takım ölçme değerlendirme testleri uygulandığını bilinmektedir. Millî Eğitim Bakanlığı Rehberlik Hizmetleri Yönetmeliği doğrultusunda, öğrencilere rehberlik hizmeti kapsamında yapılan testlerin hangi şartlarda hukuka uygun olacağı konusunda KVKK Kurulu tarafından verilen 2020/255 sayılı 02.04.2020 tarihli kararı inceleyeceğiz.
Şikâyet Konusu Olay:
Şikayetçinin çocukları veri sorumlusuna ait okulda eğitim görmektedir. Çocukların okulda eğitim gördükleri sırada velilerinden herhangi bir şekilde izin alınmadan, aydınlatma yükümlülüğü yerine getirilmeden veya açık rızaları alınmadan CAS (Cognitive Assessment System) Uygulama ve Değerlendirme testi yapılmıştır. CAS testinin klinik ve nörolojik değerlendirme yeteneği ile geniş yelpazede gelişimsel değerlendirme yapabilen güncel bir ölçek olduğu belirtilmiştir. Çocukların bu test için Kişisel Verilerin Korunması Kanununun (Kanun) 6’ncı maddesi ile belirlenmiş özel nitelikli kişisel verilerinin kullanıldığı ve işlendiği, aynı madde hükmünce ilgili kişilerin veya velisinin açık rızası bulunmadan bu verilerin işlenmesinin kesinlikle yasaklandığı, veri sorumlusunun uzun süredir şikayetçinin velayeti altında bulunan çocuklara eğitim vermekte iken hiçbir kayıt işleminde kişisel verilerin işlenmesinden bahsetmediği belirtilmiştir. Aydınlatma yükümlülüğünün yerine getirilmediği, veri sorumlusuna başvuruda bulunulduğu ancak yeterli bir cevap alınamadığı bu çerçevede Kurula şikâyette bulunulduğu belirtilerek veri sorumlusunun aydınlatma yükümlülüğü ve veri güvenliğine ilişkin yükümlülüklerini ihlal fiillerinden dolayı cezalandırılması, işlenen verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi ve yapılan yargılama masrafları vs. tüm giderlerin karşı tarafa yükletilmesine karar verilmesi talep edilmiştir.
Eğitim Kurumunun Cevabı:
İlgili veri sorumlusu eğitim kurumunun, Kuruma vermiş olduğu cevapta;
“- Öncelikle şikayetçinin iddialarının aksine sadece bir çocuğuna bahse konu testin uygulandığı,
-Şikâyete konu edilen testin hukuki dayanağının; eğitim kurumlarında sunulacak rehberlik hizmetlerinin amaç, ilke, faaliyet ve çalışma yöntemlerini düzenleyen “ Milli Eğitim Bakanlığı Rehberlik Hizmetleri Yönetmeliği” (10 Kasım 2017 tarihli ve 30326 sayılı R. G.) olduğu,
-Testin amacının rehberlik faaliyeti kapsamında öğrenciye eğitsel, kişisel, sosyal rehberlik hizmeti ile sınırlı olduğu, yürütülen faaliyetin hukuka uygun, belirli, açık ve meşru olduğu, testin uygulanmasına ilişkin velilerin bilgisi ve onayının bulunduğu,
– Öğrencinin velisi ile veri sorumlusunun rehberlik servisi arasında yapılan rehberlik görüşmesinde; öğrencinin öfkeli ve kaygılı olduğu, konuşurken heyecanlandığı, arkadaşları tarafından alay edilebildiği, içe dönük yapısı olduğu gibi konularda dikkatli olunması gerektiği hususunda veli tarafından bilgilendirme yapıldığı, bunun üzerine rehberlik hizmetine başlandığı, akabinde veri sorumlusunun rehberlik servisi ile öğrencinin velileri arasında çeşitli tarihlerde rehberlik görüşmelerinin devam ettiği ve bu görüşmelere ilişkin velilerin imzasını da içeren Bireysel Görüşme Formlarının düzenlendiği,
– CAS testinin öğrencinin velisinin bilgisi ve onayı ile başlanan rehberlik faaliyeti çerçevesinde öğrencinin durumunu tespit etmek, öğrenciyi tanımak, öğrencinin yetenek ve ilgi alanlarını belirleyerek öğrencinin bilişsel ve akademik gelişmesini sağlayabilmek amacıyla uygulandığı,
– Testin sonucuna ilişkin değerlendirmelerin öğrencinin velisi ile paylaşıldığı, veli ile yapılan e-posta yazışmalarında veli tarafından kendisine iletilen söz konusu test değerlendirmelerinin öğrenciyi takip eden psikiyatrist ile de paylaşıldığının belirtilmesinin ve rehberlik birimine öğrencinin tedavisi ile ilgili bilgi verilmesinin, velinin CAS testinin uygulandığından haberdar olduğunu gösterdiği,
– Uygulanan testin milli eğitim mevzuatı çerçevesinde, rehberlik faaliyetlerinde uygulanmasına cevaz verilen psikolojik bir ölçme aracı olduğu ve öğrenciye ilişkin kişisel verilerin işlenmediği ve üçüncü şahıslarla paylaşılmadığı, söz konusu test kitapçığının Kuruma iletildiği,
– Testin Milli Eğitim Bakanlığının Rehberlik Hizmetleri mevzuatı çerçevesinde, rehberlik hizmetleri amaçları doğrultusunda uygulandığı ve veri sorumlusu eğitim kurumunun mevzuat ile tanımlanmış görev ve yetkilerini aşmadığı, testin uygulanmasında Kanuna aykırı davranılmadığı…” ifade edilmiştir.
KVK Kurulu’nun İncelemesi
Kurul ilgili şikâyet üzerine yaptığı incelemede;
-Eğitim kurumunun Kanun kapsamında veri sorumlusu olduğu,
-CAS testi sonucu ortaya çıkan verilerin kişisel veri niteliğinde olduğu,
-Test sonucuna ilişkin psikolojik danışman değerlendirmesinin kişisel veri işleme faaliyeti kapsamında olduğu,
– Aydınlatma yükümünün usul ve esasları tam olarak yerine getirmediği,
-Veri sorumlusu tarafından söz konusu veri işleme faaliyetinin “açık rıza” şartına veya kanunen kişinin açık rızasını gerektirmeyen hallere dayandırılması gerektiği, yönündeki yasal düzenlemeler vurgulanmıştır.
KVKK Kurulu’nun Tespitleri:
– Şikayetçinin velisi olduğu öğrencinin CAS testine tabi tutulması sonucunda ortaya çıkan verilerin kişisel veri niteliğinde olduğu, bünyesindeki eğitim kurumlarında öğrenim görmekte olan öğrencilerinin kişisel verilerinin hangi amaçla ve araçla işleneceğini belirleyip veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olması nedeniyle eğitim kurumunun veri sorumlusu olduğu,
-Eğitim kurumlarının rehberlik servisleri tarafından uygulanan psikolojik testlerin çeşidi ne olursa olsun, öğrencinin bireysel olarak daha yakından tanınmasını sağlamayı amaçladığı dikkate alındığında; testin sonucunun yorumlanması neticesinde oluşturulan değerlendirme kapsamında öğrenciyi diğer öğrencilerden ayıran ve kimliğini belirli veya belirlenebilir hale getiren kişisel verilerin işlendiği,
-Rehberlik öğretmeni/ psikolojik danışman tarafından yapılan ve öğrenciye ilişkin duygu durum, davranış, bilişsel yetenekler vb. unsurları içerdiği kanaatine varılan test sonucuna ilişkin değerlendirmenin kişisel veri işleme faaliyeti kapsamında olduğu,
– Söz konusu kişisel veri işleme faaliyeti kapsamında; veri sorumlusu ile veli arasında, bireysel görüşme formları ve e-posta yazışmaları yoluyla en az 7 ay süren rehberlik sürecinde ilgili kişi öğrencinin ruh sağlığına ilişkin bilgilerin paylaşıldığı ve CAS testinin uygulanması sonucunda dikkat eksikliği, hiperaktivite bozukluğu, kaygı bozukluğu gibi ilgili kişinin ruh sağlığına ilişkin özel nitelikli kişisel verilerin de işlendiği,
– Psikolojik testlerin öğrencinin öğrenme becerilerinin geliştirilmesi, akademik performansının arttırılması, sosyal faaliyetlere yönlendirilmesi, meslek seçimi vb. konulara yönelik çalışmalar yapılmasını desteklemek amacıyla öğrencinin kişilik özelliklerini, akademik başarısını, zeka düzeyini, yeteneklerini, ilgi alanlarını ölçen psikolojik testlerin uygulanması sonucunda elde edilen değerlendirmelerin dahi kişisel veri içerdiği, Milli Eğitim Bakanlığı Rehberlik Hizmetleri Yönetmeliğinin 10 uncu maddesi çerçevesinde; bu kapsamdaki kişisel veri işleme faaliyetinin, veri sorumlusunun Kanunun 5 inci maddesinin (ç) bendinde yer alan “veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması” kişisel veri işleme şartına dayandırılabileceği,
-Somut vakada, ilgili kişi öğrenciye CAS testinin uygulanması sonucunda, zekâ ve bilişsel becerilerin yanı sıra dikkat eksikliği ve hiperaktivite bozukluğu gibi öğrencinin ruh sağlığına ilişkin özel nitelikli kişisel verilerin de işlenmiş olduğu dikkate alındığında; Kanunun 6’ncı maddesinin (3) numaralı fıkrasında yer verilen “kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi” amaçları da bulunmadığından, veri sorumlusu tarafından söz konusu veri işleme faaliyetinin “açık rıza” şartına dayandırılması gerektiği sonucuna varılacağı,
– Velisi olunan öğrencilere ve diğer öğrencilere testi uygularken velilerinden herhangi bir şekilde açık rızalarının alınmadığı,
–Özel nitelikli kişisel veri olan “sağlık verisi”nin, ilgili kişinin açık rızasına dayanarak işlenebildiği ve ilgilinin açık rızası olmaksızın işlenmesinin yasak olduğu, bu kapsamda veri sorumlusunun, ilgili kişilere CAS testi uygulanması sürecinde, ilgili kişilerin reşit olmaması nedeniyle velisinin açık rızasına dayanmadan özel nitelikli kişisel verilerini işlediği, ilgili kişilerin açık rızasının alınmadığı hususunda taraflar arasında ihtilaf olmadığı, söz konusu verilerin özel nitelikli verileri de içermesi nedeniyle ilgili kişilerin açık rızası olmadan gerçekleştirilen veri işleme faaliyetinin hukuka aykırı bir veri işleme faaliyeti olduğu,
– Veri sorumlusu veya yetkilendirdiği kişi tarafından, kişisel verilerin elde edilmesi sırasında, ilgili kişinin talebine bağlı olmaksızın sözlü, yazılı, ses kaydı, çağrı merkezi gibi fiziksel veya elektronik ortam kullanılmak suretiyle aydınlatma yükümlülüğünün yerine getirilmesinin gerektiği ayrıca bu yükümlülüğün yerine getirildiğinin ispatının da veri sorumlusuna ait olduğu, bu nedenle somut olayda, veri sorumlusu her ne kadar CAS testinin uygulanması süreci ve testin sonucu hakkında velinin bilgisi ve onayının olduğunu kanıtlasa da, aydınlatma yükümlülüğünün yerine getirilmesi için Kanunda öngörülen gerekli şartlar ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğde yer alan usul ve esasları tam olarak yerine getirmediği,
-Öğrencilerin, velisi tarafından yeni eğitim öğretim yılında bir başka okula nakledildikleri dikkate alındığında; işlenmesinde Kanunun 5 inci ve 6 ncı maddelerinde belirtilen şartlardan herhangi birini karşılamayan kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi gerektiği,
– İzah edildiği üzere, somut olayda gerçekleşen veri işleme faaliyetinde, ilgili kişilerin özel nitelikli kişisel veri kapsamında olan sağlık verisine ilişkin olarak; ilgili kişinin/velinin açık rızasının alınmadığı, açık rızanın aranmadığı diğer durumların da bulunmadığı gerekçesiyle veri işleme faaliyetinin hukuka aykırı olduğu sonucuna varılmıştır.
-Ayrıca veri sorumlusunun bir eğitim kurumu olduğu dikkate alındığında, Milli Eğitim Bakanlığı Rehberlik Hizmetleri Yönetmeliği doğrultusunda öğrencilere yönelik bireysel veya grup rehberlik hizmetlerini yürütmek üzere CAS ve benzeri psikolojik ölçme araçlarını kullanarak öğrencilerinin kişisel verilerini/ özel nitelikli kişisel verileri işlediği göz önünde tutulmuştur.
KVKK Kurul’u Kararı:
Veri sorumlusu eğitim kurumu tarafından ilgili kişinin/velinin açık rızasının alınmadığı, açık rızanın aranmadığı diğer durumların da bulunmadığı gerekçesiyle Kanunun 12 inci maddesi uyarınca Kanunun 18’inci maddesinin (1) numaralı fıkrasının (b) bendinde gereğince 50.000 TL idari para cezası uygulanmasına,
Kanunun “Özel nitelikli kişisel verilerin işlenme şartları” başlıklı 6’ncı maddesi uyarınca, özel nitelikli kişisel veri kapsamında olan ilgili kişinin sağlık verisinin ilgili kişilerin/velinin açık rızası alınmadan işlenmesi nedeniyle hukuka aykırı bir şekilde veri işlendiği dikkate alınarak velilere ve öğrencilere sunulan rehberlik hizmeti sürecinin kişisel verilerin korunması mevzuatı ile uyumlu hale getirilmesi, hukuka aykırılıkların giderilmesi hususunda veri sorumlusunun talimatlandırılmasına,
Veri sorumlusu tarafından gerçekleştirilen kişisel veri işleme faaliyetlerine ilişkin olarak aydınlatma yükümlülüğünün Kanunun 10’uncu maddesi ve ilgili Tebliğ hükümlerine uygun şekilde yerine getirilmesi hususunda veri sorumlusunun talimatlandırılmasına,
Öte yandan, hukuka aykırı elde edilen verilerin Kanunun 7’nci maddesi kapsamında silinmesi, yok edilmesi veya anonim hale getirilmesi hususunda Şirketin talimatlandırılmasına,
Diğer taraftan şikâyetçinin, yapılan yargılama masrafları vs. tüm giderlerin karşı tarafa yükletilmesine karar verilmesine yönelik talebinin Kanun kapsamında olmadığı dikkate alındığında bu hususta Kurulca yapılacak bir işlem bulunmadığına karar vermiştir.
Sonuç Olarak;
Eğitim kurumlarında uygulanan psikolojik testlerin çeşidi ne olursa olsun, öğrencinin bireysel olarak daha yakından tanınmasını sağlayan ve sonucunun yorumlanması neticesinde öğrenciyi diğer öğrencilerden ayıran ve kimliğini belirli veya belirlenebilir hale getiren kişisel veri işleme faaliyetidir. Söz konu faaliyet özel nitelikli kişisel veri olan “sağlık verisi” nin işlenmesi niteliğinde olduğunda, ilgili kişinin açık rızasına dayanarak işlenebildiği ve ilgilinin açık rızası olmaksızın işlenmesinin yasak olduğu ilgili yasa ve yönetmelikle açıkça düzenlenmiştir. Bu kapsamda, öğrencilere CAS testi uygulanması sürecinde, ilgili kişilerin reşit olmadığı, velisinin açık rızası olmadan, özel nitelikli kişisel verilerinin işlenemeyeceği göz önünde bulundurulduğunda, eğitim kurumlarının hukuka aykırı bir veri işleme faaliyeti iddiası ve yaptırımı ile karşılaşamamaları için gerekli hassasiyeti göstererek izin almak yükümlülüğünde olduğunu belirtmek isteriz.
30.03.2021
Av. Ayşe Gül HANYALOĞLU – Büşra ÇETİNKAYA
HANYALOĞUL-ACAR HUKUK BÜROSU