Saklama ve imha politikası ve periyodik imha
Politikayı kimin hazırlamak zorunda olduğu, silme-yok etme-anonim hale getirme ayrımı ve altı ayı geçemeyen periyodik imha süresi.
Kişisel veri hukukunda en çok konuşulan konu verinin nasıl toplandığıdır; oysa denetimlerde en çok açık veren yer verinin nasıl elden çıkarıldığıdır. On yıl önce ayrılmış bir çalışanın özlük dosyası, beş yıl önce alınmayan bir adayın CV'si, kapanmış bir kampanyanın katılımcı listesi — bunların hâlâ sistemde durması, tek başına bir uyumsuzluktur.
Politikayı kim hazırlamak zorunda?
Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca, kişisel veri saklama ve imha politikası hazırlama yükümlülüğü, VERBİS'e kayıt yükümlülüğü bulunan veri sorumlularına aittir.
Eşiğin altındaki şirketler politika hazırlamakla yükümlü olmasa da, verileri işleme amacının gerektirdiği süreyi aşacak biçimde saklamama yükümlülüğü herkes için geçerlidir. Yani politika zorunlu olmayabilir; imha zorunludur.
Üç yöntem: silme, yok etme, anonim hale getirme
Yönetmelik üç ayrı yöntem tanımlar ve bunlar birbirinin yerine geçmez:
- Silme: Verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesi. Veri sistemde teknik olarak durabilir, ancak erişim tümüyle kapatılmıştır.
- Yok etme: Verinin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hâle getirilmesi. Fiziksel imha veya kalıcı veri imha yöntemleri.
- Anonim hale getirme: Verinin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi.
Uygulamadaki en yaygın yanılgı, ad-soyad sütununu silmenin anonimleştirme sayıldığıdır. Kalan veriler birleştirildiğinde kişi yeniden belirlenebiliyorsa, ortada anonim veri değil hâlâ kişisel veri vardır.
Periyodik imha: altı ayı geçemez
Saklama ve imha politikası hazırlamış olan veri sorumlusu, imhayı bir takvime bağlamak zorundadır. Yönetmelik burada açık bir üst sınır koyar: periyodik imha süresi altı ayı geçemez.
Bunun pratik anlamı şudur: saklama süresi dolmuş veriler, en geç altı ayda bir işletilen bir süreçle re'sen imha edilmelidir. İlgili kişinin talep etmesi beklenmez. Talep geldiğinde ise ayrı bir süre işler; veri sorumlusu talebi en geç otuz gün içinde sonuçlandırır (başvuru süreci).
İşleme şartlarının tamamen ortadan kalkması hâlinde veri, periyodik imha dönemi beklenmeden silinmelidir.
Politikanın içeriği
Yönetmelik, politikada bulunması gereken asgari unsurları sayar. Özetle: politikanın hazırlanma amacı, kayıt ortamları, saklamayı ve imhayı gerektiren hukuki ve teknik sebepler, alınan teknik ve idari tedbirler, imha sürecinde görevli kişilerin unvan ve görev dağılımı, saklama ve imha süreleri tablosu, periyodik imha süreleri ve politikanın güncellenme durumu.
Bu unsurlar içinde uygulamada en çok boş bırakılan yer süre tablosudur; oysa politikanın işletilebilir tek parçası odur.
Sık yapılan hatalar
- Politikayı yazıp uygulamamak. En yaygın durum budur: belge klasörde durur, periyodik imha hiç çalıştırılmamıştır. Yazılı ama uygulanmayan politika, denetimde kendi aleyhinize bir beyandır.
- Süre tablosunu tek bir süreyle doldurmak. Belge türleri farklı mevzuata tabidir; tek bir "10 yıl" satırı gerçeği yansıtmaz.
- İmha tutanağı tutmamak. İmha edildiğini gösteremiyorsanız, edilmemiş sayılma riski taşırsınız.
- Yedekleri unutmak. Ana sistemden silinen veri yedekte duruyorsa imha tamamlanmamıştır. Yedekteki veriye erişim kısıtlanmalı ve ilk fırsatta imha edilmelidir.
- Anonimleştirdiğini sanmak. Yeniden kimliklendirme riski değerlendirilmeden yapılan maskeleme anonimleştirme değildir.
- Kâğıt arşivi kapsam dışı bırakmak. İmha yükümlülüğü fiziksel ortamlar için de geçerlidir.
Bütüncül gözden geçirme
Saklama süreleri tek başına belirlenemez; envanterden gelir ve dışa doğru yayılır. Bir sürenin değişmesi şu belgeleri birlikte ilgilendirir: kişisel veri envanterindeki azami saklama süresi güncellenmeli, VERBİS kaydında beyan edilen süreyle tutarlı hâle getirilmeli, aydınlatma metinlerinde saklama süresine ilişkin ifadeler gözden geçirilmeli, veri bir tedarikçide tutuluyorsa veri işleyen sözleşmesindeki iade/imha hükmü buna uymalıdır.
Sicilde beyan ettiğiniz süreyi fiilen uygulamamak, kendi beyanınıza aykırılık oluşturur — bu da denetimde en kolay tespit edilen uyumsuzluk türüdür. Süre tablosunun mevzuattaki saklama yükümlülükleri ve zamanaşımı süreleri dikkate alınarak kurulması uzmanlık gerektirir; bu çalışmayı hukuki destek alarak yapmanızı öneririz. Genç Partners belge türü bazında süre tablosunun kurulmasında yol gösterir; KVKK belge merkezi ise politikanın güncel sürümünün yayımlanmasını ve arşivlenmesini sağlar.
Özet
- Politika hazırlama yükümlülüğü sicile kayıt yükümlüsü veri sorumlularındadır; imha yükümlülüğü ise herkeste.
- Silme, yok etme ve anonim hale getirme farklı yöntemlerdir.
- Periyodik imha süresi altı ayı geçemez; imha re'sen yapılır.
- Süre tablosu belge türü bazında kurulur; tek bir süre yeterli değildir.
- Yedekler ve kâğıt arşiv de imha kapsamındadır; imha tutanakla belgelenir.
Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Şirketinizin saklama süreleri ve imha süreçlerinin belirlenmesi için hukuki destek alınız.
KVKK uyumu parça parça yürümez
Bir süreçte yapılan değişiklik tek başına kalmaz: aydınlatma metinleriniz, açık rıza yapınız, veri işleme politikalarınız, kişisel veri envanteriniz ve VERBİS kaydınız birbirine bağlıdır. Birini güncelleyip diğerlerini olduğu yerde bırakmak, denetimde çelişki olarak karşınıza çıkar.
Bu nedenle değişiklikleri bütüncül bir gözden geçirmeyle yürütmenizi ve hukuki destek almanızı öneririz. Genç Partners, 2016'dan bu yana yürüttüğü KVKK uyum projelerindeki deneyimiyle bu süreci kolaylaştırır; kisiselverilerim.com ise eğitim, belge yayını, aydınlatma gönderimi ve açık rıza yönetimini ispatlanabilir kayıtlarla tek panelde toplar.