İlgili kararda, veri sorumlusu eğitim kurumu tarafından çocukların özel nitelikli kişisel verilerinin hukuka aykırı olarak işlenmesi konu alınmıştır. Şikayete konu durum, bir eğitim kurumunun CAS (Cognitive Assessment System) Uygulama ve Değerlendirme testinin bir öğrenciye yapılmasıdır.
Testin Özellikleri ve Kişisel Veri / Özel Nitelikli Kişisel Verilerin İşlenmesi
Kurum, bu testin sonucunda çıkan verileri hem kişisel hem de özel nitelikli kişisel veri olarak kabul etmiştir; Bu bağlamda işlenilen kişisel ve özel nitelikli kişisel veriler, Kurum kararında aşağıdaki şekilde ifade edilmiştir;
- “Bu çerçevede şikayete konu olayda, şikayetçinin velisi olduğu öğrencinin CAS testine tabi tutulması sonucunda ortaya çıkan verilerin kişisel veri niteliğinde olduğu, şikayetçinin velisi olduğu öğrencinin gerçek kişi olması nedeniyle ilgili kişi sıfatını haiz olduğu, bünyesindeki eğitim kurumlarında öğrenim görmekte olan öğrencilerinin kişisel verilerinin hangi amaçla ve araçla işleneceğini belirleyip veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olması nedeniyle eğitim kurumunun veri sorumlusu olduğu, “
- Psikolojik testlerin ölçüm alanları itibariyle farklılık gösterdiği ve eğitim sürecinde; öğrencinin öğrenme becerilerinin geliştirilmesi, akademik performansının arttırılması, sosyal faaliyetlere yönlendirilmesi, meslek seçimi vb. konulara yönelik çalışmalar yapılmasını desteklemek amacıyla öğrencinin kişilik özelliklerini, akademik başarısını, zeka düzeyini, yeteneklerini, ilgi alanlarını ölçen psikolojik testlerin uygulanması sonucunda elde edilen değerlendirmelerin dahi kişisel veri içerdiği, Milli Eğitim Bakanlığı Rehberlik Hizmetleri Yönetmeliğinin 10 uncu maddesi çerçevesinde; bu kapsamdaki kişisel veri işleme faaliyetinin, veri sorumlusunun Kanunun 5 inci maddesinin (ç) bendinde yer alan “veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması” kişisel veri işleme şartına dayandırılabileceği,
- “Söz konusu kişisel veri işleme faaliyeti kapsamında; veri sorumlusu ile veli arasında, bireysel görüşme formları ve e-posta yazışmaları yoluyla en az 7 ay süren rehberlik sürecinde ilgili kişi öğrencinin ruh sağlığına ilişkin bilgilerin paylaşıldığı ve CAS testinin uygulanması sonucunda dikkat eksikliği/ hiperaktivite bozukluğu/ kaygı bozukluğu gibi ilgili kişinin ruh sağlığına ilişkin özel nitelikli kişisel verilerin de işlendiği,”
- Kurum tarafından ruh sağlığına ilişkin bilgilerin “özel nitelikli sağlık verisi olarak kabul edildiği ve somut olaydaki işleme amaçlarının KVKK m.6/3’te belirtilen işleme amaçlarına dahil edilmediği, aşağıdaki ifadelerden de görülebilir; “Bununla birlikte somut vakada, ilgili kişi öğrenciye CAS testinin uygulanması sonucunda, zekâ ve bilişsel becerilerin yanı sıra dikkat eksikliği ve hiperaktivite bozukluğu gibi öğrencinin ruh sağlığına ilişkin özel nitelikli kişisel verilerin de işlenmiş olduğu dikkate alındığında; Kanunun 6 ncı maddesinin (3) numaralı fıkrasında yer verilen “kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi” amaçları da bulunmadığından, veri sorumlusu tarafından söz konusu veri işleme faaliyetinin “açık rıza” şartına dayandırılması gerektiği sonucuna varılacağı,…
Sonuç
Eğitim kurumları tarafından öğrencilere yapılan ve öğrencilerin ruh sağlığını, hiperaktivite gibi özel durumlarını işleyen testlerin kişisel ve özel nitelikli veriler içerdiğini, bu testlerin yapılması için KVKK m.6/3 kapsamında açık rıza alınması gerektiği ilgili Kurum kararından anlaşılmaktadır.
Ayrıca öğrencilere yapılan ruh sağlığıyla ilgili veriler toplayan testlere dair açık rıza alınması, ilgili kişinin reşit olup olmadığına göre değişmektedir. Karara göre; ilgili kişi reşit ise kendisinden açık rıza alınmalıdır. İlgili kişi reşit değilse velisinden veya vasisinden testin uygulanmasına dair açık rıza alınmalıdır.
Çocuk Verilerinin İşlenmesinin KVKK ve GDPR Açısından Değerlendirilmesi