Milli Eğitim Bakanlığı (MEB), öğrenci, veli, öğretmen ve personellere ait kişisel verilerin korunmasına yönelik önemli bir yazı yayımladı. Bilgi İşlem Genel Müdürlüğü tarafından gönderilen resmi yazıda, tüm okul ve kurumlarda kişisel verilerin güvenliğinin sağlanması amacıyla alınması gereken tedbirler detaylı şekilde açıklandı.
29 Haziran 2026 tarihli yazıda, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında eğitim kurumlarında işlenen kişisel verilerin yalnızca görev ve hizmet gerekleri doğrultusunda kullanılmasının önemine dikkat çekildi. Bakanlık, okul yöneticileri ve personellerin kişisel veri güvenliği konusunda daha hassas davranmalarını istedi.
Yayımlanan talimata göre okul ve kurumlarda görev yapan yönetici, öğretmen ve diğer personelin, Öğretmen Bilişim Ağı (ÖBA) üzerinden sunulan “Eğitim Kurumlarında Kişisel Verilerin Korunması Eğitimi Kursu” ile “Bilgi Güvenliği Farkındalık Eğitimi Kursu”na katılım sağlamaları teşvik edilecek.
Bakanlık ayrıca kullanıcı adı, parola ve doğrulama kodlarının üçüncü kişilerle paylaşılmaması gerektiğini vurguladı. Yetkisiz yazılım, bot, makro, otomasyon araçları ve veri çekme uygulamalarının kullanılmasının yasak olduğu belirtilirken, bu tür girişimlerin sistem kayıtları üzerinden takip edildiği ifade edildi.
Resmî yazıda özellikle okul internet siteleri ve sosyal medya hesaplarında öğrenci listeleri, T.C. kimlik numaraları, sınav sonuçları, devamsızlık bilgileri, sağlık verileri, veli bilgileri ve personel iletişim bilgilerinin paylaşılmaması gerektiği belirtildi. Daha önce yayımlanmış kişisel veri içeren içeriklerin de gözden geçirilerek kamuya açık erişimden kaldırılması istendi.
Fotoğraf ve video paylaşımlarında da özel hassasiyet gösterilmesi gerektiğinin altı çizilen yazıda, özellikle öğrencilere ait görüntülerin paylaşımında ilgili mevzuat hükümlerine uyulması ve gerekli durumlarda açık rıza süreçlerinin işletilmesi gerektiği ifade edildi.
MEB, kişisel veri ihlali, yetkisiz erişim, yanlış kişiye veri gönderimi veya şüpheli yazılım kullanımı gibi durumların gecikmeksizin okul yönetimlerine ve ilgili birimlere bildirilmesini istedi. Okul ve kurum yöneticilerinin ise gerekli kontrolleri yapmaktan ve uygunsuzlukları gidermekten sorumlu olduğu belirtildi.
İşte Bakanlığın Yazısı
Bakanlığımız merkez ve taşra teşkilatı ile eğitim kurumlarında yürütülen iş ve işlemler sırasında öğrenci, veli, öğretmen, personel ve diğer ilgililere ait kişisel veriler işlenmektedir. Söz konusu verilerin 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili mevzuata uygun şekilde korunması büyük önem taşımaktadır.
Kişisel veriler yalnızca görev ve hizmet gerekleri doğrultusunda, belirli ve meşru amaçlarla işlenmelidir. İşlenen veriler yapılan işle ilgili sınırlı olmalı, gereğinden fazla veri alınmamalı, verilerin güncelliği korunmalı ve yetkisiz kişilerin erişimine karşı gerekli tedbirler uygulanmalıdır. Kişisel veriler, mevzuatta öngörülen veya işleme amacı için gerekli olan süreden daha uzun süre saklanmamalıdır.
Bu kapsamda aşağıdaki hususlarda gerekli tedbirlerin alınması, tüm personel ve ilgililere duyuru yapılması gerekmektedir.
a) Bakanlığımız okullarında ve kurumlarında görev yapan yönetici, öğretmen ve ilgili personelin, kişisel verilerin korunması ve bilgi güvenliği farkındalığının artırılması amacıyla Öğretmen Bilişim Ağı üzerinde yer alan “Eğitim Kurumlarında Kişisel Verilerin Korunması Eğitimi Kursu” ile “Bilgi Güvenliği Farkındalık Eğitimi Kursu”na katılım sağlamaları konusunda gerekli bilgilendirme ve yönlendirme yapılmalıdır.
b) Bakanlığımız sistemlerine erişim sağlayan okul ve kurum yöneticileri, öğretmenler, memurlar, motorlu taşıt sürücü kursları, özel öğretim kurumları, özel öğretim kursları, özel eğitim ve rehabilitasyon merkezleri ile Bakanlık sistemlerine görev veya yetki kapsamında erişim sağlayan tüm kullanıcılar; kendilerine tahsis edilen kullanıcı adı, parola, doğrulama kodu ve benzeri erişim bilgilerini üçüncü taraflarla paylaşmamalıdır.
c) Bakanlığımız sistemlerinde işlem yapmak amacıyla yetkisiz üçüncü parti yazılım, bot, makro, otomasyon aracı, tarayıcı eklentisi, yetkisiz entegrasyon, veri çekme veya veri aktarma aracı ve benzeri uygulamalar kullanılmamalıdır. Kullanıcı adı, parola ve doğrulama bilgileri bu tür yazılımlara girilmemeli; Bakanlık sistemleri üzerinden yetkisiz şekilde toplu veri alma, veri aktarma veya işlem yapma girişiminde bulunulmamalıdır.
ç) Bakanlığımız bilgi sistemlerinde yapılan erişim, sorgulama, veri alma, veri aktarma ve benzeri işlemler sistem kayıtları üzerinden izlenebilmekte ve log kayıtları tutulmaktadır. Yetkisiz erişim, yetkisiz veri işleme, veri aktarımı, parola paylaşımı veya yetkisiz üçüncü parti yazılım kullanımı tespit edilmesi hâlinde mevzuat çerçevesinde gerekli idari ve hukuki süreçler yürütülecektir.
d) Okul, kurum ve birimlere ait internet siteleri, sosyal medya hesapları ve çevrim içi platformlarda kişisel veri içeren içeriklerin kamuya açık şekilde yayımlanmaması esastır. Bu kapsamda özellikle öğrenci sınıf listeleri, öğrenci numaraları, T.C. kimlik numaraları, sınav listeleri, devamsızlık ve başarı bilgileri, sağlık bilgileri, disiplin bilgileri, veli bilgileri, personel iletişim bilgileri ile öğrenci ve personele ait fotoğraf, video ve benzeri içerikler yayımlanmamalıdır.
e) Duyuru ve paylaşımlarda kişisel veri içermeyen yöntemler kullanılmalı; kişisel veri işlenmesini gerektiren istisnai durumlarda 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili mevzuat çerçevesinde değerlendirme yapılmalıdır.
f) Daha önce okul ve kurum internet siteleri, sosyal medya hesapları veya çevrim içi platformlarda yayımlanmış olan kişisel veri içeren liste, belge, fotoğraf, video, duyuru ve dosyalar okul/kurum müdürlüklerince gözden geçirilmeli; kişisel veri içeren içerikler kamuya açık erişimden kaldırılmalıdır.
g) Eğitim öğretim faaliyetleri kapsamında fotoğraf ve video çekimi veya paylaşımı yapılması gereken hâllerde; çekim ve paylaşım amacı, paylaşım yapılacak ortam, saklama süresi ve kimlerin erişebileceği önceden belirlenmelidir. Bu süreçlerde ilgili mevzuat, aydınlatma yükümlülüğü ve gerekli hâllerde açık rıza süreçleri dikkate alınmalıdır. Özellikle öğrencilere ait görüntülerin paylaşımında ilave hassasiyet gösterilmelidir.
ğ) Kişisel veri ihlali, yetkisiz erişim, yanlış kişiye veri gönderimi, şüpheli yazılım kullanımı, parola paylaşımı, web sitesinde kişisel veri yayımlanması veya benzeri bir durumun fark edilmesi hâlinde konu gecikmeksizin okul/kurum yöneticisine ve bağlı bulunulan ilgili birime bildirilmelidir.
Okul ve kurum yöneticileri; bu yazıda belirtilen hususların personele duyurulmasından, gerekli kontrollerin yapılmasından, web sayfaları ile sosyal medya hesaplarının gözden geçirilmesinden ve tespit edilen uygunsuzlukların giderilmesinden sorumludur.
Bu çerçevede kişisel verilerin korunması konusunda gerekli farkındalığın oluşturulması, ÖBA eğitimlerine ilişkin duyuruların yapılması, parola ve erişim güvenliği tedbirlerinin uygulanması, yetkisiz üçüncü parti yazılım ve bot kullanımının engellenmesi, web sayfaları ile çevrim içi platformlarda kişisel veri içeren içeriklerin gözden geçirilerek gerekli düzenlemelerin yapılması hususunda bilgilerini ve gereğini arz/rica ederim.
Ersin KARAMAN
Bakan a.
Bilgi İşlem Genel Müdürü