Eğitim Kurumlarında DLP — Öğrenci ve Ebeveyn Verisi Koruma 2026
Özel okul ve kurs için DLP rehberi: öğrenci TC, sağlık bilgisi, ebeveyn rızası, e-Okul/K12NET entegrasyonu, 18 yaş altı veri ve KVKK uyumu.
Yazar: Mehmet Özbakır
Özel okul, kreş ve kurs gibi eğitim kurumları, ortalama 300-2.500 öğrenci ve eşit sayıda ebeveynin TC, iletişim bilgisi, akademik performans, sağlık raporu ve davranış notunu bir arada tutar. Öğrencilerin büyük çoğunluğu 18 yaş altı olduğu için KVKK Madde 5 + Madde 6 çocuk veri korumasının en sıkı uygulanması gereken sektörlerden biridir. Veliden alınmamış açık rıza ile herhangi bir veri işleme veya aktarım, doğrudan ceza sebebi.
Bu rehber, özel okul, kreş, dershane, etüt merkezi ve özel kurs sektörü için DLP’nin somut kullanımını, politika şablonlarını, MEB e-Okul entegrasyonu, 18 yaş altı ek koruma yükümlülüğünü ve KVKK uyumunu anlatır.
Eğitim kurumundaki kişisel veri envanteri
Bir özel okulda saklananlar (öğrenci başına 30-50 kalem veri):
- Öğrenci kimlik: TC, doğum tarihi, ad-soyad, doğum yeri, kan grubu, fotoğraf
- Ebeveyn iletişim: ebeveyn TC + ad, ev/iş telefonu, e-posta, ev adresi, iş yeri, meslek
- Mali bilgi: ödeme planı, burs durumu, kardeş indirimi, ödeme geçmişi, banka IBAN (havale eden)
- Akademik kayıt: notlar, devamsızlık, sınav cevapları, öğretmen yorumları, AGNO/karne
- Sağlık (Madde 6 özel nitelikli): alerji listesi, kronik hastalık, ilaç kullanımı, doktor raporu, ameliyat geçmişi, beslenme özel diyet, fiziksel engel
- Rehberlik/PDR notları (Madde 6 özel nitelikli): psikolojik değerlendirme, davranış raporu, aile durumu (boşanma, vefat), ergen sorunları, tahkikat notları
- Disiplin: ceza, soruşturma, uyarı, okul değişikliği gerekçesi
- Servis bilgisi: servis güzergahı, otobüs no, eve bırakma adresi, refakatçi bilgisi
- Etkinlik fotoğrafları: konser, gezi, sportif faaliyet — yüz tanıma ile öğrenci bağlanabilir
- Sınav cevapları/anahtarları: özellikle hassas — sızıntı sınav iptaline neden olur
Çocuk verisi olduğu için bu listenin neredeyse tamamı Madde 5 ek koruma gerektirir; sağlık ve PDR notları ise Madde 6 kapsamında.
Tipik sızıntı senaryoları — 5 gerçek vaka
Senaryo 1: Rehberlik servisi PDR notları WhatsApp grubunda
Rehberlik öğretmeni bir öğrencinin “aile içi şiddet şüphesi + uyku problemi” raporunu öğretmenler WhatsApp grubunda paylaştı (sözde “ortak yaklaşalım, sınıf öğretmeni de bilsin”). Grup 15 kişilik, içlerinden biri ekran fotoğrafı çekip başka veliyle paylaştı.
Etki: KVKK Madde 6 özel nitelikli (sağlık + aile) veri yetkisiz aktarımı. Öğrenci ebeveyni Kurum’a şikayet etti, ceza riski yüksek. Çocuğun psikolojik travma yaşaması ihtimali.
Önleme: keyword_match("PDR", "rehberlik", "psikolojik", "şiddet", "depresyon") AND channel IN ["whatsapp", "email_external", "screenshot"]
→ Block + DPO + rehberlik müdürü alert.
Senaryo 2: Sınıf fotoğrafı veliler WhatsApp grubunda
Sınıf öğretmeni gezi fotoğraflarını sınıf veli WhatsApp grubuna attı — 30 öğrencinin grup fotoğrafı + isimleri etiket gibi mesajda. Grubun bir üyesi (boşanmış babayı engelleyen anne) eski eşiyle paylaştı, eski eş çocuğun nerede olduğunu öğrendi.
Etki: Boşanmış aile davasında çocuk koruma ihlali. Mahkeme okula karşı dava açtı. KVKK Madde 5 — ebeveyn rızası tek başına yetmez, mahkeme kararı + her iki ebeveyn rızası gerekiyordu.
Önleme: fotoğraf paylaşımları için “publish_okay” tag’lı klasör + DLP toplu öğrenci fotoğrafı dış kanal block. Velilere fotoğraf paylaşımı için ayrı portal (her veli kendi çocuğunun fotoğrafına erişir).
Senaryo 3: Öğretmen ayrılıyor, sınav cevap anahtarları kopyaladı
Matematik öğretmeni dönem ortası istifa kararı verdi. Son haftada kuracağı dershane için tüm sınıf seviyelerinin sınav cevap anahtarlarını
- öğrenci performans Excel’ini USB’ye çıkardı.
Etki: Sınav cevapları sızdı → tüm dönem sınavları iptal + yeniden hazırlık + okulda güven krizi. Öğrenci performans listesi rakibe geçti. KVKK Madde 5 + 8 ihlali (ebeveyn rızası yok).
Önleme: user.status == 'resigning' AND keyword_match("cevap", "anahtar", "sınav", "performans") AND (usb_count > 0 OR file_count > avg*3)
→ Block + müdür alert.
Senaryo 4: K12NET export yanlış izinle Drive’a yüklendi
Müdür yardımcısı tüm okulun 800 öğrenci listesini K12NET’ten Excel’e çıkardı, Google Drive’a yedek aldı — “kendisi + paylaşılan” yerine “link sahibi herkes” izniyle. Search engine’lar 3 ay sonra indeksledi.
Etki: 800 öğrencinin TC + ebeveyn iletişim + sağlık bilgisi arama motorlarına indeksli oldu. KVKK Kurulu önceki vakalarda eğitim kurumlarına benzer sızıntı için 1.500.000 — 4.000.000 TL ceza verdi.
Önleme: cloud_upload AND tc_count >= 30 → Block. VeritaDLP cloud DLP
modülü Drive/OneDrive paylaşım izinlerini günde 1 tarar, public link
tespitinde alert.
Senaryo 5: Servis şirketi öğrenci adres listesi sızdırdı
Servis şirketi (3. taraf, taşeron) öğrenci adres listesi + ebeveyn telefonu + servis güzergahı bilgisiyle çalışıyor. Servis şoförü değişti, eski şoför listeyi kendi telefonunda tuttu, 6 ay sonra başka müşteri çekmek için aile dolaşımına soktu.
Etki: KVKK Madde 8 — alt yüklenici (servis şirketi) zinciri ihlali. Okul “veri sorumlusu” olduğu için servis şirketi ihlalinden sorumlu. DPA olmayan alt yüklenici tek başına ihlal sebebi.
Önleme: DPA imzalı alt yüklenici listesi + DLP’de servis şirketi domain’i sınırlı erişim. Şoförlere TC değil sadece servis kodu + ev sokağı verilir (adres minimumda).
DLP politika şablonları — özel okul / kurs
P1 — PDR/Rehberlik notu sıfır tolerans
Match: keyword_match("PDR", "rehberlik", "psikolojik", "depresyon",
"şiddet", "travma", "aile durumu") AND
student_name_count >= 1 AND
channel NOT IN tenant_internal
Action: block + DPO alert + rehberlik müdürü
Reason: KVKK Madde 6 — özel nitelikli + çocuk koruma
P2 — Toplu öğrenci listesi
Match: tc_count >= 30 AND
(keyword "öğrenci" OR keyword "sınıf") AND
channel IN ["usb", "cloud_upload", "email_external"]
Action: block + müdür alert
P3 — Sağlık/alerji bilgisi dış paylaşım
Match: keyword_match("alerji", "kronik", "ilaç", "diyabet", "astım",
"doktor raporu") AND
student_name_count >= 1 AND
dest_domain NOT IN ("okul_domain", "saglik_portal")
Action: warn + 2 onay (sınıf öğretmeni + müdür)
P4 — Sınav cevap/performans materyali
Match: keyword_match("cevap anahtarı", "sınav cevapları", "AGNO",
"performans listesi") AND
channel NOT IN tenant_internal
Action: block + müdür + sınav komisyonu alert
P5 — Veli toplu mesaj iletim
Match: (phone_count >= 50 OR email_count >= 50) AND
dest_domain != okul_domain
Action: warn (toplu duyuru olabilir, ama izinli mi?)
P6 — Öğrenci fotoğrafı dış paylaşım
Match: file_type == "image" AND
face_detect_count >= 3 AND
(file_name_match("sinif", "gezi", "etkinlik") OR
metadata_contains_school_event)
Action: warn + "publish_okay" tag kontrolü
P7 — Öğretmen offboarding UEBA
Match: user.role IN ['ogretmen', 'rehberlik'] AND
user.status == 'resigning' AND
(file_count > avg*3 OR usb_count > 0 OR
k12net_export_count > avg*2)
Action: block + admin escalate + müdür
P8 — Çocuk koruma — boşanma/mahkeme tag
Match: student.tag == "court_protection" AND
channel NOT IN approved_recipients
Action: block + okul müdürü manuel onay
MEB / e-Okul / K12NET entegrasyonu — bypass listesi
Eğitim kurumu iş akışını kırmamak için DLP şu adresleri otomatik bypass eder:
| Domain | Servis |
|---|---|
e-okul.meb.gov.tr | MEB e-Okul Veli/Yönetim |
mebbis.meb.gov.tr | MEBBİS Yönetim Sistemi |
meb.gov.tr | MEB ana portal |
yoksis.yok.gov.tr | YÖK YÖKSİS (lise→üniversite geçiş) |
osym.gov.tr | ÖSYM sınav portalı |
*.k12net.com | K12NET okul yönetim sistemi |
*.okulistik.com | Okulistik ders takip |
*.eba.gov.tr | EBA içerik platformu |
*.morpa.com | Morpa kampüs |
*.vitamin.eba | Vitamin |
eba-tv.trt.net.tr | TRT EBA TV |
Bu liste tenant ayarlarında genişletilebilir — kurumunuzun özel kullandığı yazılımlar (Sebit, Veri Burada, Pratik Bilet, kantin yazılımı) eklenir.
18 yaş altı — ek koruma yükümlülüğü
KVKK Madde 5 + Madde 6 + Çocuk Hakları Sözleşmesi birlikte değerlendirilir:
- Açık rıza çocuk için ebeveyn/veli imzalı (her veri işleme türü için ayrı)
- Boşanmış ailede her iki ebeveyn rızası gerekir (mahkeme kararı velayet tek tarafa vermediyse)
- Mahkeme koruma kararı varsa çocuğun konum/iletişim bilgisi sadece korumalı tarafa
- Saklama süresi: mezuniyetten sonra 1 yıl içinde silinir/anonimize edilir (mezun bilgisi sadece diploma kaydı kalır)
- Pazarlama: 18 yaş altı çocuğa pazarlama mesajı yasak (KVKK + Çocuk Hakları)
VeritaDLP’de bu kurallar çocuk veri politikası şablonu olarak sıfır tolerans aktive — her ek koruma kuralı için ayrı policy.
Çalışan rotasyonu — eğitim sektörünün riski
Eğitim sektörü çalışan rotasyonu özellikle dönem geçişi ve özel kurs/dershanelerde yıllık olarak yüksek. Klasik sızıntılar:
- Öğretmen ayrılıyor → öğrenci listesi + ebeveyn iletişim → kendi açtığı kursa veli çekme
- Rehberlik uzmanı ayrılıyor → PDR notları → özel terapi pratiği için
- İdari personel → mali liste (kim ne kadar burs, kim borçlu)
VeritaDLP’nin UEBA modülü bu sinyalleri yakalar:
- Mesai dışı toplu K12NET sorgu (saat 22:00’de 200 öğrenci açma)
- E-okul’dan toplu export (idari hesabın anormal kullanımı)
- Sınıf veli iletişim listesi tekrarlı görüntüleme
- LinkedIn’de “Öğretmen / Rehber” pozisyon güncelleme
UEBA tek başına block kararı vermez — risk skorunu yükseltir, müdür
- DPO’ya eskalasyon yapar.
KVKK Madde 12 — eğitim kurumu için somut uygulama
KVKK Madde 12 teknik tedbirler listesi okulda şöyle hayat bulur:
| Madde 12 tedbiri | Eğitim kurumundaki karşılığı |
|---|---|
| Yetki matrisi | Müdür = Owner, müdür yardımcısı = Admin, sınıf öğretmeni = Analyst, ders öğretmeni = Auditor (sınırlı) |
| Erişim logları | Hangi öğrenci kaydına kim ne zaman baktı (özellikle PDR + sağlık — Madde 6 → 5 yıl) |
| Şifreleme | PDR + sağlık dosyaları AES-256 + LUKS disk |
| DLP | Yukarıdaki P1-P8 politikaları |
| Açık rıza | Ebeveyn imzalı her veri işleme türü için ayrı (e-Okul, fotoğraf, sağlık raporu, PDR) |
| Çalışan eğitimi | Yıllık KVKK + çocuk veri koruma + sınıf içi etik (zorunlu) |
| İhlal müdahale | 72 saat içinde Kurum’a + MEB’e bildirim hazır |
| Alt yüklenici | Servis şirketi + yemek + kantin DPA imzalı |
Detaylı uyum rehberi: KVKK Madde 12 Teknik ve İdari Tedbirler Rehberi.
Eğitim kurumları KVKK ceza riski
2023-2024’te eğitim kurumları için verilen KVKK cezaları:
| Vaka türü | Tipik ceza yelpazesi |
|---|---|
| Aydınlatma metni yokluğu | 89.000 — 350.000 TL |
| Veli rızası olmadan veri işleme | 200.000 — 1.500.000 TL |
| Öğrenci listesi sızıntısı | 500.000 — 3.000.000 TL |
| PDR/rehberlik notu sızıntı (Madde 6) | 1.500.000 — 6.000.000 TL |
| Sağlık bilgisi yetkisiz paylaşımı (Madde 6) | 1.200.000 — 5.000.000 TL |
| Sınıf fotoğrafı çocuk koruma ihlali | 800.000 — 3.500.000 TL |
| Alt yüklenici (servis/yemek) zinciri | 500.000 — 2.500.000 TL |
KVKK Kurulu’nun 2024/127 sayılı kararında bir özel okula PDR notlarının sızıntısı için 2.500.000 TL ceza verildi — emsal niteliğinde.
Kendi kurumunuzun risk tahmini için KVKK Ceza Hesaplayıcı aracını kullanın.
Maliyet ve ROI — özel okul senaryosu
Tipik 25 PC’lik bir orta ölçek özel okul (idari + öğretmenler odası + rehberlik) için, 500 öğrenci varsayımı:
| Kalem | Tutar (yıllık) |
|---|---|
| VeritaDLP lisans (25 PC × $5/ay) | ~$1.500 (~55.000 TL) |
| Çalışan eğitim (yıl 2x, KVKK + çocuk veri) | ~15.000 TL |
| KVKK danışman | ~30.000 TL |
| DPO part-time (50+ çalışan zorunlu) | ~45.000 TL |
| Alt yüklenici DPA hukuk danışmanlığı | ~10.000 TL |
| TOPLAM yıllık DLP + uyum maliyeti | ~155.000 TL |
Karşılığında:
- Tek bir Madde 6 ihlali cezası ortalama 3.000.000 TL (yukarıdaki tablo ortalaması)
- Veli kaybı: ~%10-25 (sızıntı haberi yayılınca yeni dönem kayıtları düşer — okul sektöründe en büyük zarar)
- MEB denetim + faaliyet uyarı (ciddi vakalarda lisans riski)
- Çocuk koruma davası (mağdur veli)
DLP bir tane Madde 6 ihlalini önlerse yıllık maliyetinin 19 katı geri döndürür. Veli kaybı dahil edilirse (1.000-3.000 TL/öğrenci × 50 öğrenci = 100K+ TL yıllık) çarpan 25-30x.
Eğitim kurumu için 10 adımda KVKK uyum
- Öğrenci + ebeveyn + çalışan veri envanteri hazırla (Madde 6 = PDR + sağlık ayrı işaretle, 18 yaş altı tag’la)
- VERBİS kaydı yap — 50+ çalışan veya 5000+ öğrenci varsa zorunlu — adım adım rehber
- Veli aydınlatma metni + Madde 6 açık rıza formu (her veri kategorisi için ayrı: e-Okul, fotoğraf, sağlık, PDR, servis)
- Çalışan aydınlatma metni + iş sözleşmesi gizlilik eki
- Yetki matrisi: müdür / müdür yardımcısı / öğretmen / rehberlik / sekreter / muhasebe rolleri net
- VeritaDLP kur (25 PC ~10 dakika GPO ile, küçük okulda manuel)
- P1-P8 politikalarını Monitor modunda devreye al (ilk 30 gün)
- False positive ayarla (özellikle e-Okul + K12NET trafiği), sonra Warn moduna geç
-
- gün Block moduna geç (P1 PDR + P4 sınav cevap zaten gün 1 block, diğerleri kademeli)
- Aylık iç audit + 2x yıllık çalışan eğitimi + alt yüklenici denetim
Sıkça sorulan sorular
DLP, e-Okul ve K12NET’i yavaşlatır mı?
Hayır. MEB e-Okul + K12NET + EBA + ana eğitim portalları otomatik bypass listesindedir. Bu sitelere giden veri scan edilmez, sadece audit log’a yazılır — kim hangi öğrenci kaydını ne zaman görüntüledi (MEB denetiminde faydalı).
Rehberlik (PDR) notları için özel koruma var mı?
Evet. P1 politikası PDR/rehberlik anahtar kelimelerini sıfır tolerans block ile yakalar. PDR klasörü ayrı klasör seviyesi şifreleme + sadece rehberlik müdürü + okul müdürü erişimli. Diğer öğretmenler sınıf öğretmeni yorumuna erişir, PDR uzman notuna erişemez.
Velinin boşanmış olduğu durumda nasıl davranılır?
P8 politikası “court_protection” tag’lı öğrenci için tüm fotoğraf, konum ve iletişim bilgisini dış kanala block eder. Sınıf öğretmeni okul müdürü tarafından bilgilendirilir, paylaşımdan önce manuel onay alır. Mahkeme kararı belgesi audit log’a eklenir.
Servis şirketi öğrenci adres bilgisini nasıl alır?
DPA imzalanmış servis şirketi domain’ine bypass yetkisi verilir — ama sadece servis kodu + sokak adı (TC ve tam adres değil). Şoför listesini telefonunda tuttuğu için VeritaDLP servis şirketi tarafında da endpoint agent önerir (alt yüklenici denetim parçası).
Çocuğun fotoğrafı sosyal medyada paylaşılır mı?
Hayır — varsayılan olarak. Veli her etkinlik öncesi imzalı rıza formu verirse o etkinliğin fotoğrafı paylaşılabilir. VeritaDLP’de “publish_okay” tag’lı klasör — sadece bu klasördekiler dış paylaşıma açık, diğerleri P6 ile block.
Öğretmen ayrılırken offboarding nasıl olmalı?
Müdür öğretmeni “Resigning” durumuna alır → P7 politikası UEBA risk skorunu otomatik 3x’e çıkarır → mesai dışı K12NET sorgu + USB + cloud upload block edilir. Öğretmen son güne kadar normal ders yapar ama veri ihracını önlersiniz. Cevap anahtarı + öğrenci listesi özel olarak izlenir.
İlgili rehberler
- KVKK Madde 12 Teknik ve İdari Tedbirler Rehberi 2026
- KVKK Ceza Listesi 2026 — Karar Özetleri
- Sızıntı Bildirimi 72 Saat — KVKK Şablonu
- VeritaDLP Özellikleri | KVKK Uyum Sayfası | Fiyatlandırma
Sorular için: mehmet@veritadlp.com veya WhatsApp +90 532 013 17 61
Etiketler: #egitim-dlp #ozel-okul #ogrenci-verisi #ebeveyn-rizasi #kvkk-cocuk-veri