Gözetimli online sınav ve KVKK: Dengeyi bulmak

Gözetimli sınavın doğası gereği, katılımcının yüzünü, evinin bir köşesini ve bazen sesini kayda alıyorsunuz. Bu kayıtlar kişisel veridir. Kişisel verilerin korunması kanunu (KVKK, 6698 sayılı Kanun) kapsamında, bu verileri işleyen kurum "veri sorumlusu" olarak çeşitli yükümlülükler taşır.

Güvenlik ile gizlilik arasında bir denge kurmak gerekiyor ve bu dengeyi kurmak, sandığınızdan daha çok planlama istiyor.

Hangi veriler toplanıyor?

Gözetim yapısına göre değişir ama tipik olarak:

• Katılımcının kamera görüntüsü (video ya da periyodik fotoğraf)
• Ekran kaydı ya da ekran görüntüsü
• Ses kaydı ya da ses seviyesi bilgisi
• Kimlik doğrulama için kimlik belgesi ya da yüz görüntüsü
• Sınav sırasındaki davranış kayıtları (sekme değiştirme, bağlantı kesilmesi)
• Yapay zekâ tarafından üretilen işaretler

Dikkat edilecek beş ilke

1. Aydınlatma

Katılımcıya, sınavdan önce açık ve anlaşılır biçimde şunlar söylenmeli: Hangi veriler toplanıyor? Neden? Kimler görecek? Ne kadar süre saklanacak? Hakları neler? Bu bilgilendirme, sınav ekranına girmeden önce, atlanamayacak bir adımda sunulmalı.

2. Ölçülülük ve veri minimizasyonu

İhtiyaç duyduğunuzdan fazlasını toplamayın. Her sınav ses ve ekran kaydı gerektirmez. Düşük riskli bir eğitim testi için kamera zaten abartılı olabilir. Gözetimin düzeyi, sınavın önemiyle orantılı olmalı.

3. Saklama süresi

Kayıtları "ne olur ne olmaz" diye süresiz saklamayın. İtiraz süresi ve inceleme için gereken makul bir süre belirleyin; bu sürenin sonunda kayıtlar silinmeli ya da anonim hale getirilmeli. Süreyi baştan tanımlamak ve katılımcıya bildirmek, hem uyum hem güven açısından önemli.

4. Erişim yetkisi

Kayıtları kimler görebilir? Gözetmenler, eğitim yöneticileri, İK, üçüncü taraf destek ekibi? Erişimi gereken en az sayıda kişiye, rol bazlı verin ve erişimlerin kaydını tutun. Gözetim kayıtlarının, sınav dışı bir amaçla (örneğin performans değerlendirmesi) kullanılmaması gerekir.

5. Güvenlik

Kayıtların şifrelenmesi, erişim kontrolü, yedekleme ve güvenlik olaylarına müdahale planı gerekir. Bir tedarikçi kullanıyorsanız bunların onda da bulunduğundan emin olmalısınız.

Tedarikçiye sorulacak sorular

Gözetim hizmetini bir yazılım firmasından alıyorsanız, aşağıdaki sorular sizin güvenceniz:

1. Veriler nerede saklanıyor? Yurt dışına aktarım var mı?
2. Alt işleyiciler (taşeron hizmet sağlayıcılar) kimler?
3. Saklama süresi ne ve ben bunu ayarlayabiliyor muyum?
4. Verilerin silinmesini nasıl talep ederim?
5. Güvenlik sertifikalarınız (örneğin ISO/IEC 27001) neler?
6. Yapay zekâ işaretleri otomatik bir karara mı dönüşüyor, yoksa insan incelemesi var mı?
7. Bir katılımcı verilerine erişmek ya da silmek isterse süreç nasıl işliyor?

Katılımcının perspektifi

Katılımcı sınav sırasında evinin içini göstermek zorunda kalıyor. Bu, bazıları için rahatsız edici. Bu yüzden:

• Gözetimli sınavın gerekçesini açıkça anlatın ("sertifikanın güvenilirliği için").
• Sınav öncesi bir teknik prova imkânı verin.
• Gözetimi kabul edemeyen katılımcı için bir alternatif düşünün.
• İşaretlenen kayıtlar için itiraz yolunu açık bırakın. Bu konu yapay zekâ gözetimli sınav yazısında da var.

Gözetim her zaman cevap mı?

Hayır. Çoğu zaman riski sınav tasarımıyla azaltmak, daha az veri toplayarak aynı güveni sağlamak mümkün. Rastgele soru, soru havuzu ve uygulama odaklı sorular gibi yöntemler, gözetime gerek kalmadan da etkili olabilir (kopya önleme yazısına bakın). Gözetimi, gerçekten gereken yüksek riskli sınavlara saklamak hem hukuki riski hem katılımcı rahatsızlığını azaltıyor.