Yayınlarımız

Tüm dünyayı saran Koronavirüs salgını, standart gözetmeksizin tüm insanları etkilemeye devam etmekte iken; hepimizin aklında yer alan sorular da gittikçe artmaya başlamıştır. Bu sorulardan biri de uzaktan eğitim vermek zorunda kalan özel okullara yapılan ödemelerin iadesinin mümkün olup olmayacağıdır. İşbu bültenimiz ile Kişisel Verilerin Korunması Kanunu (“KVKK”) uyarınca, uzaktan eğitimi kabulün zorunlu olup olmadığını, akabinde ise ücretlerin tümünün veyahut bir kısmının iadesinin mümkün olup olmadığını tartışıyor olacağız.

Kişisel Verileri Koruma Kurulu tarafından 07.04.2020 tarihinde “Uzaktan Eğitim Platformları Hakkında Kamuoyu Duyurusu” yayımlanmış olup eğitimlerin çoktan başladığı dikkate alındığında, duyurunun geç kaldığını söylemek yerinde olacaktır.  Yayımlanan kamuoyu duyurusunda, öncelikle uzaktan eğitim platformlarında, öğrencilerin gerek kişisel verilerinin gerekse de özel nitelikli kişisel verilerinin işlendiği hususu belirtilmiştir. Peki nedir bu kişisel ve özel nitelikli kişisel veriler? KVKK kapsamında, kişinin adı ve soyadı, elektronik posta adresi gibi verileri kişisel veri, kişinin sesi veya görüntüsü gibi verileri ise biyometrik veri kapsamında özel nitelikli kişisel veri olarak tanımlanmıştır. İlgili kanun madde 5 uyarınca ise, kişisel veri işleme şartları, yine ilgili kanun madde 6 uyarınca özel nitelikli kişisel veri işleme şartları belirtilmiştir. Kişisel veri işleme şartları kanunda açıkça sayılmış olup özel nitelikli kişisel veri işleme şartlarına nazaran daha geniş kapsamlıdır. Bu durumda, kanunun ilgili maddelerinde belirtilen işleme şartlarına aykırı olarak bir kişinin kişisel verisinin veyahut özel nitelikli kişisel verisinin işlenmesi hukuka aykırı olacaktır. Koronavirüs salgını nedeniyle, okulların faaliyetlerine devam edebilmesi için uzaktan eğitim dışında başvurabilecekleri bir seçenek kalmamıştır. Bu kapsamda, kişinin adı, soyadı gibi kişisel verilerinin işlenmesi, KVKK madde 5 kapsamında sayılan işleme şartlarına uygun olacaktır. Peki kişinin ses ve görüntüsü gibi özel nitelikli kişisel verileri bu kapsamda işlenebilecek midir? Uzaktan eğitim kapsamında, kişinin biyometrik verisi niteliğinde olan özel nitelikli kişisel verileri ancak ve ancak kişinin açık rızası ile işlenebilecektir. Burada dikkat edilmesi gereken husus ise açık rızanın her an geri alınabileceğidir. Bu durumda, özel nitelikli kişisel verisi işlenen kişinin açık rızası alınmadığı sürece, KVKK ihlal edilmiş olacak ve hukuka aykırı olarak bir veri işlenmesi gerçekleşecektir. Bu itibarla, özel nitelikli kişisel verileri işleyen okulların, işbu işleme faaliyetlerini gerçekleştirebilmesi için hukuka uygun bir şekilde, kişinin özgür iradesine dayalı açık rızasını alması zorunluluk arz etmektedir. 

Bununla birlikte, yayımlanan kamuoyu duyurusu devamında ise, uzaktan eğitim amacıyla kullanılan yazılımlara ait veri merkezlerinin çoğunun yurtdışında olması nedeniyle, işbu veri merkezlerini kullanan okulların yurtdışına veri aktardığı ve bu durumda ancak KVKK madde 9’da belirtilen şartların varlığı dahilinde, bu aktarımın yapılabileceği belirtilmiştir. İlgili madde içeriğinde, yurtdışına veri aktarılmasına ilişkin olarak, ilgili kişinin açık rızasının arandığı, açık rızasının aranmadığı hallerde ise aktarım yapılacak ülkede yeterli korumanın bulunması gerektiği, aktarım yapılacak ülkede yeterli koruma yok ise ancak, okul ve veri aktarılacak ülkedeki veri sorumlusu tarafından yeterli koruma yazılı taahhüt edilerek ilgili ülkelere aktarım yapılabileceği -Kurulun iznine bağlı olarak- belirtilmiştir. An itibariyle, yeterli korumanın bulunduğu yabancı ülkenin ve Kurul izninin olmaması nedeniyle, kişilerin kişisel ve özel nitelikli kişisel verilerinin aktarılması için açık rızanın alınmış olması zorunludur. Lakin, Kanun’daki tanıma göre açık rıza, özgür iradeyle açıklanan rızadır. Bu durumda, Zoom, Google Classroom, Microsoft Teams gibi yurtdışında veri merkezi bulunan yazılımları kullanan okullar tarafından alınan açık rızalar geçersiz olup hukuka aykırı bir veri aktarımı gerçekleşmektedir. Zira, verilen açık rızalar özgür iradeye dayalı değildir. Bu durumda, uzaktan eğitim vererek ücret iadesinden imtina eden okullar, hukuka aykırı bir şekilde eğitim vermekte olup hiç kimsenin hukuka aykırı bir eyleme katlanmaya zorlanamayacağına dikkat edilmelidir. Burada dikkat çekmek istediğimiz bir diğer husus ise, Koronavirüs salgınının uzun bir süre daha devam etmesi ve okullardaki eğitimlere başlanmasının mümkün olmaması durumunda, uzaktan eğitim almaya hukuken zorlanan kişiler, ücretlerinin iade edilmemesi nedeniyle Kurula başvurarak veri güvenliğine ilişkin yükümlülüklerini yerine getirmeyen okulları şikayet edebileceklerdir. 2020 yılı için ise, veri güvenliğine ilişkin yükümlülükleri yerine getirmeme nedeniyle verilen idari para cezasının alt sınırı 27.037,00 TL, üst sınır ise 1.802,640,00 TL’dir. Görüldüğü üzere, ücret iadesi yapmaktan kaçınan okullar, Kurul tarafından verilecek idari para cezaları ile daha ciddi zararlar ile karşılaşabilecektir.

Yukarıda anlatılan hususların her biri Kanunen sayılan haklar ve yükümlülüklerin yorumlanmasına ilişkin olup ülkemizi ve dünyayı saran Koronavirüs salgını nedeniyle, tarafların birbirlerine iyiniyet ile yaklaşmaları ve karşılıklı dayanışma çerçevesinde anlaşmaları tavsiye edilendir. Zira, özel okulların da öğretmen maaşları başta olmak üzere birçok masraf kalemi bulunmaktadır. Bu nedenle, okul tarafından alınan hizmetin hangi dönemlerde alınmadığı belirlenerek, iyiniyet politikası çerçevesinde ücretin tümünün veyahut bir kısmının iadesi gerçekleştirilebilecektir.

Sonuç olarak gerek kanun gerekse de yayımlanan kamuoyu duyurusu ile özgür iradeye dayalı açık rıza almaksızın yurtdışına veri aktarımı yapan ve kişilerin biyometrik verilerini işleyen okulların daha dikkatli olması gerekmektedir. Gerekli ve yeterli idari ve teknik tedbirleri almayan okulların, kişilerin ücret iadesi taleplerini reddetmesi halinde, birçok başvuru ve şikayete maruz kalacağı göz önünde bulundurulmalıdır. Bu itibarla yayımlanan kamuoyu duyurusunda da belirtildiği üzere, “Kişisel Veri Güvenliği Rehberi” ile 31.01.2018 tarihli ve 2018/10 sayılı “Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler” kararı okullar tarafından detaylıca incelenmelidir. 

Bunun yanı sıra, Tüketicinin Korunması Hakkında Kanun’a dayanarak ücret iadesi talep edecek kişiler ise, öncelikle Koronavirüs salgınının mücbir sebep hali teşkil edip etmediği hususunu değerlendirmelidir.  Akabinde ise, mücbir sebebin varlığı nedeniyle, tüketicinin hizmeti almaya zorlanamayacağı kabul edilerek yine kısmi veya tümü olacak şekilde ücret iadesi talebinde bulunulabilecektir.