Kariyer planlama ve mezun izleme merkezleri, öğrenci ve mezunlara ait iletişim bilgisi, istihdam durumu, ücret aralığı, işveren bilgisi gibi verileri toplayarak analiz eder. Bolu Abant İzzet Baysal Üniversitesi'nin bu alandaki yönetmeliği merkezin görev ve organlarını tanımlar; ancak faaliyetin asıl hukuki ağırlığı 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında ortaya çıkar. Mezun izleme, doğası gereği kişiyi mezuniyet sonrası yıllar boyunca takip eden sürekli bir veri işleme faaliyetidir.
Veri Sorumlusu Kim, Merkez mi Üniversite mi?
Merkez, üniversitenin tüzel kişiliği içinde yer alan bir birimdir; kural olarak veri sorumlusu sıfatı üniversiteye aittir, merkez ise işleme faaliyetini yürüten birimdir. Bu ayrım, veri sahibinin başvurusunu kime yönelteceği ve Kurul'a şikâyette muhatabın kim olacağı bakımından belirleyicidir. Yanlış muhataba yapılan başvuru, cevapsız kalarak süre kaybına yol açabilir.
Mezun Anketlerinde Hukuka Uygunluk Sebebi
- Açık rıza alınacaksa, rızanın özgür iradeyle verilmiş, belirli konuya ilişkin ve bilgilendirmeye dayalı olması gerekir; mezuniyet belgesi teslimini ankete bağlamak rızayı sakatlar.
- Yükseköğretim mevzuatından doğan bir yükümlülüğe dayanılıyorsa, bu dayanak aydınlatma metninde açıkça gösterilmelidir.
- İstatistik ve raporlama amacıyla anonimleştirilen veriler kanun kapsamı dışına çıkar; ancak kimliğe geri dönülebiliyorsa anonimleştirme gerçekleşmiş sayılmaz.
Üçüncü Kişilerle Paylaşımda Kritik Eşik
Mezun verilerinin işverenlere, kariyer fuarı organizatörlerine veya bir yazılım sağlayıcıya aktarılması ayrı bir işleme faaliyetidir. Bulut tabanlı bir mezun izleme yazılımı kullanılıyorsa yurt dışına aktarım gündeme gelir ve KVKK'nın aktarıma ilişkin rejimi ayrıca değerlendirilmelidir. Sözleşmede veri işleyen sıfatı, güvenlik taahhütleri ve ihlal bildirim yükümlülüğü yazılı hâle getirilmelidir.
Mezunun Başvuru Hakkını Kullanma Sırası
- Verinin nereden alındığı, hangi amaçla ve ne kadar süreyle saklandığı üniversiteye yazılı olarak sorulur.
- Hukuka aykırılık iddiası varsa silme, yok etme veya anonim hâle getirme talebi açıkça belirtilir.
- Yanıt alınamaz veya yetersiz kalırsa Kişisel Verileri Koruma Kurulu'na şikâyet yolu değerlendirilir.
- Zarar doğmuşsa genel hükümler çerçevesinde tazminat talebi ayrıca ele alınır.
Merkez Yönetimi İçin Risk Azaltma
Saklama ve imha politikası, veri envanteri, erişim yetkilerinin rol bazlı sınırlandırılması ve anket formlarındaki serbest metin alanlarının denetimi en çok gözden kaçan başlıklardır. Serbest metin alanına yazılan sağlık veya sendika bilgisi, özel nitelikli veri rejimini tetikleyerek beklenmeyen bir sorumluluk doğurabilir.
Bu değerlendirme yol gösterici bir çerçeve sunar; somut bir veri işleme faaliyetinin hukuka uygunluğu, kullanılan formlar ve sistem mimarisi incelenmeden kesin biçimde ortaya konamaz.