Özel Kurs Merkezinin KVKK Sınavı: Veli Görüşmelerinde Veri Güvenliği Nasıl Sağlandı?

Bir özel kurs merkezinin genel müdürü, rutin bir toplantıda beklenmedik bir soruyla karşılaştı: "Veli görüşmelerini kaydediyoruz biliyorum, ama bu kayıtlara kim erişebiliyor?" Soruyu soran, yeni işe başlayan ön büro sorumlusuydu. Cevap ise kimsenin tam olarak bilmediğiydi. Sistem kayıt yapıyordu, kayıtlar bir sunucuda birikiyordu; ama hangi personelin hangi görüşmeyi dinleyebildiği, kayıtların ne kadar süre saklandığı ve velilere bu konuda herhangi bir bilgilendirme yapılıp yapılmadığı belirsizdi.

Bu belirsizlik, küçük bir idari eksiklik gibi görünse de Kişisel Verilerin Korunması Kanunu (KVKK) açısından ciddi bir risk anlamına geliyordu. Çünkü veli görüşmeleri sıradan bir satış araması değildir; içinde öğrencinin akademik durumu, sağlık bilgisi, hatta aile içi mali durum gibi hassas veriler bulunabilir.

Eğitim Kurumlarında Telefon Kaydı Neden Farklı Bir Risk Taşır?

Pek çok sektörde ses kaydı ağırlıklı olarak müşteri memnuniyeti veya eğitim amacıyla kullanılır. Ancak eğitim kurumlarında görüşmeler çok daha kişisel bir zemine kayabilir. Bir veli, çocuğunun psikolojik destek aldığını, sınav kaygısı yaşadığını ya da burslu okuyup okuyamayacağını telefonla paylaşabilir. KVKK'nın 6. maddesi, sağlık ve ekonomik durum gibi özel nitelikli kişisel verilerin işlenmesini açık rızaya bağlar. Bu tür verileri içeren ses kayıtlarını denetim dışı bir sistemde tutmak, kurumu ciddi yaptırım riskiyle karşı karşıya bırakır.

Söz konusu kurs merkezinin kullandığı eski analog santral, kayıt yapabiliyordu; ancak erişim denetimi yoktu. Herhangi bir dahili kullanıcı, teknik bilgisi varsa kayıtlara ulaşabilirdi. Saklama süresi tanımlanmamıştı; yıllık kayıtlar silinmeden birikmeye devam ediyordu. Veliler ise görüşmenin başında herhangi bir bilgilendirme almıyordu.

Bir Veli Sorusu Her Şeyi Değiştirdi

Birkaç ay sonra, kayıt meselesini soran ön büro sorumlusunun öngörüsü haklı çıktı. Bir veli, çocuğunun durumuna ilişkin hassas bilgiler paylaştığı bir görüşmenin kaydedilip kaydedilmediğini ve bu kaydın kimlerce erişilebildiğini yazılı olarak sordu. Kurum bu soruya net bir yanıt veremedyince hem güven sorunu doğdu hem de olası bir KVKK şikayetinin eşiğine gelindi.

Yönetim o noktada iki şeyin farkına vardı: Birincisi, sorun teknik değil yapısal bir sorundu. İkincisi, çözüm yalnızca yazılı politika değil, politikayı otomatik olarak uygulayan bir altyapı gerektiriyordu.

Bulut Santrale Geçişte Asıl Kazanım: Kontrol Katmanı

Kurum, bulut tabanlı bir sanal santral sistemine geçtiğinde odak nokta özellik zenginliği değil denetim kabiliyetiydi. Yeni yapıda üç somut değişiklik hayata geçirildi:

• Rol tabanlı erişim: Ses kayıtlarına yalnızca tanımlı yönetici hesapları erişebildi. Ön büro personeli kendi görüşmelerini görebilirken başka personelin kayıtlarına ulaşamadı.
• Otomatik saklama politikası: Kayıtlar sistem üzerinde tanımlı süre (kurumun belirlediği 180 gün) sonunda otomatik olarak silindi. Silinme işlemi loglandı ve denetim izine dahil edildi.
• Aydınlatma duyurusu: Her gelen arama, karşılama mesajının ardından kısa bir bilgilendirme metniyle karşılandı: görüşmenin kalite ve yasal yükümlülük amaçlı kaydedilebileceği, velinin itiraz hakkı olduğu bildirildi. Bu adım, KVKK'nın aydınlatma yükümlülüğünü manuel süreçten çıkarıp altyapıya taşıdı.

Aydınlatma Yükümlülüğü Neden Altyapıya Taşınmalı?

Birçok eğitim kurumu aydınlatma metnini yalnızca web sitesine ya da kayıt formuna koyar ve telefonla iletişimi kapsam dışında bırakır. Oysa BTK ve KVKK Kurulu kararlarında telefon görüşmeleri de kişisel veri işleme kapsamında değerlendirilmektedir. Bilgilendirmeyi IVR akışına gömmek, hem uyumu garanti altına alır hem de "veliye söylemedik" riskini ortadan kaldırır. İnsan hatası devre dışı kalır.

Güven, Sadece Dışarıya Değil İçeriye de Yarar

Sistemin kurulumundan birkaç ay sonra kurumun genel müdürü farklı bir gözlem paylaştı: Veri güvenliği altyapısını kurmak yalnızca velilerle ilişkiyi değil, kurum içi çalışma kültürünü de etkilemişti. Personel, hangi bilginin kaydedildiğini ve kimin erişebildiğini net biçimde gördüğünden görüşmelerde daha özenli bir dil benimsedi. "Kontrol ediliyor muyum?" kaygısı yerini "sistem adil ve şeffaf" algısına bıraktı.

Dolayısıyla KVKK uyumu, sadece yasal bir zorunluluk değil; hem veli güvenini hem çalışan güvenini pekiştiren bir yönetim aracına dönüştü.

Eğitim Kurumları İçin Pratik Kontrol Noktaları

Benzer bir değerlendirme yapmak isteyen kurumlar için başlangıç soruları şunlar olabilir:

1. Ses kayıtlarına erişim, sisteminizde rol ve yetki bazında kısıtlanmış mı?
2. Kayıtlar için tanımlı bir saklama süresi var mı ve bu süre dolunca kayıtlar otomatik siliniyor mu?
3. Veliler, görüşme başlamadan önce kayıt konusunda bilgilendiriliyor mu?
4. Hangi personelin hangi kaydı dinlediği log kaydına alınıyor mu?

Bu sorulardan birine bile "bilmiyorum" yanıtı veriliyorsa, mevcut telefon altyapısının KVKK uyumunu doğrudan destekleyip desteklemediği sorgulanmalıdır. VoIP tabanlı modern sistemler bu kontrol katmanlarını teknik olarak sunmaktadır; ancak sistemi kurmak kadar doğru yapılandırmak da kritiktir.

Eğitim kurumunuzun telefon altyapısının KVKK gereksinimleriyle ne ölçüde örtüştüğünü değerlendirmek istiyorsanız, mevcut sisteminizi birlikte inceleyip size özel bir yapılandırma önerebiliriz.