Toplu E-Postada Öğrencilerin Adreslerini Açıkça Göstermek Sorun mu?

Evet, sorun olabilir. Bir üniversite, topluluk, ders sorumlusu veya başka bir kurum toplu e-posta gönderirken öğrencilerin e-posta adreslerini diğer alıcılara açık biçimde gösteriyorsa bu adresleri üçüncü kişilere açıklamış olur. E-posta adresi kişisel veri niteliği taşıyabildiği için bu paylaşımın hukuki bir dayanağı ve amaçla uyumlu olması gerekir.

Bu nedenle “zaten aynı sınıftalar” veya “adresler okul uzantılı” olması tek başına herkese açık gönderimi otomatik olarak güvenli hâle getirmez.

CC ile BCC arasındaki fark neden önemli?

Bir toplu e-postada adresler Alıcı/To veya CC alanına yazılırsa, mesajı alan kişiler diğer alıcıların adreslerini de görebilir.

BCC/Gizli alanı kullanıldığında ise alıcılar birbirlerinin adreslerini görmez. Çok sayıda öğrenciye aynı bilgilendirme gönderilecek ve öğrencilerin birbirlerinin adreslerini bilmesine gerek yoksa BCC kullanmak, gereksiz veri paylaşımını önleyen basit bir yöntemdir.

Ancak BCC her sorunu çözmez. Kurumun adresleri hangi amaçla topladığı, mesajı gönderme yetkisinin bulunup bulunmadığı ve içerikte başka kişisel verilerin yer alıp almadığı ayrıca değerlendirilir.

Her açık toplu mail otomatik olarak KVKK ihlali midir?

Bunu olayın ayrıntılarını görmeden kesin söylemek doğru olmaz.

Kişisel verilerin işlenmesi ve üçüncü kişilere aktarılması için 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında uygun bir işleme şartı bulunması gerekir. Ayrıca veri işleme faaliyeti amaçla bağlantılı, sınırlı ve ölçülü olmalıdır.

Örneğin aynı proje grubundaki birkaç öğrencinin birbirleriyle iletişim kurması zaten görevin doğal parçasıysa adreslerin paylaşılması ile yüzlerce öğrencinin adresinin yalnız duyuru göndermek için birbirine açılması aynı durum değildir.

Kişisel Verileri Koruma Kurulunun bir üniversite hakkında verdiği 2023/928 sayılı kararda, e-posta yoluyla kişisel verilerin üçüncü kişilerle paylaşılması ayrıca incelenmiş ve toplu gönderimde kişisel verilerin görünür hâle gelmesi veri aktarımı açısından değerlendirilmiştir.

Adresiniz toplu e-postada açıkça paylaşıldıysa ne yapabilirsiniz?

Önce e-postayı silmeden saklamak faydalıdır. Gönderen adresi, tarih, alıcı listesi ve varsa ekler olayın ne olduğunu göstermeye yardımcı olur.

Ardından kuruma veya üniversitenin ilgili birimine kısa ve somut biçimde şu noktaları sorabilirsiniz:

• e-posta adresinizin diğer alıcılara neden açıklandığını,
• bu paylaşımın hangi hukuki sebebe dayandığını,
• benzer gönderilerde adreslerin gizlenmesi için önlem alınıp alınmayacağını,
• veriniz başka kişilerle hukuka aykırı biçimde paylaşıldıysa gerekli düzeltme veya silme işlemlerinin yapılmasını.

Konu KVKK kapsamındaki haklarınızı kullanmaya dönüşüyorsa başvurunun doğrudan veri sorumlusuna yapılması gerekir. Veri sorumlusu başvuruyu en geç 30 gün içinde sonuçlandırmalıdır.

Başvurunun reddedilmesi, cevabın yetersiz kalması veya süresinde cevap verilmemesi hâlinde Kişisel Verileri Koruma Kuruluna şikâyet yolu gündeme gelebilir. Kurumun açıkladığı usule göre, kural olarak önce veri sorumlusuna başvuru yolunun kullanılması gerekir.

Gönderici sizseniz en güvenli pratik ne?

Alıcıların birbirlerinin adresini görmesi gerçekten gerekli değilse adresleri BCC/Gizli alanına koyun veya kurumun toplu bildirim sistemini kullanın.

Ayrıca yalnız e-posta adreslerine değil, e-postanın eklerine de dikkat edin. Not listesi, telefon numarası, öğrenci numarası, sağlık bilgisi veya başka kişisel veriler içeren bir dosyanın yanlış alıcı grubuna gönderilmesi, yalnız adreslerin görünmesinden daha ciddi sonuçlar doğurabilir.

Kısacası toplu e-postada temel soru “bu adreslerin diğer öğrenciler tarafından görülmesi gerçekten gerekli mi?” olmalıdır. Gerekmiyorsa görünür paylaşım yerine gizli alıcı veya uygun toplu gönderim yöntemi tercih edilmelidir.

Kaynaklar:
Kişisel Verileri Koruma Kurumu – 01/06/2023 tarihli ve 2023/928 sayılı Kurul Kararı özeti
Kişisel Verileri Koruma Kurumu – Şikâyet Hakkı