Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun uygulanmasını tamamlayan düzenlemelerden biridir. Kanun, işlenmesini gerektiren sebepler ortadan kalktığında verinin silinmesini, yok edilmesini veya anonim hale getirilmesini emreder; yönetmelik ise bunun nasıl yapılacağını somutlaştırır.
Üç Kavram Birbirinin Yerine Geçmez
Uygulamada en sık yapılan hata, bu üç işlemi eşanlamlı saymaktır. Oysa her birinin sonucu farklıdır:
- Silme, verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesidir; veri sistemde teknik olarak var olmaya devam edebilir.
- Yok etme, verinin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesidir.
- Anonim hale getirme, verinin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilememesidir.
Anonimleştirildiği iddia edilen bir veri seti, elde bulunan diğer kayıtlarla birleştirildiğinde kişiyi yeniden tanımlanabilir kılıyorsa, o veri hâlâ kişisel veridir ve Kanun kapsamındadır.
Kişisel Veri Saklama ve İmha Politikası
Veri Sorumluları Siciline kayıt yükümlülüğü bulunan veri sorumlularının kişisel veri saklama ve imha politikası hazırlaması beklenir. Bu belgenin işlevsel olması için kâğıt üzerinde kalmaması gerekir: her veri kategorisi için saklama süresinin dayanağı gösterilmeli, periyodik imha zamanları belirlenmeli ve imhayı kimin gerçekleştireceği tanımlanmalıdır. Denetimde sorulan soru genellikle politikanın varlığı değil, politikanın fiilen uygulandığını gösteren kayıtların bulunup bulunmadığıdır.
İlgili Kişinin Talebi Geldiğinde
Bir kişi kendisine ait verilerin silinmesini talep ettiğinde, veri sorumlusunun otomatik olarak silme yapması gerekmez. Önce işlemenin dayandığı şartın hâlâ mevcut olup olmadığı incelenir. Örneğin bir kanunda açıkça öngörülen saklama süresi işliyorsa ya da bir sözleşmenin ifası için veri gerekli ise talep gerekçesiyle birlikte reddedilebilir. Reddedilen taleplerde gerekçenin yazılı biçimde ve anlaşılır şekilde bildirilmesi, sonraki aşamada Kişisel Verileri Koruma Kurulu'na yapılacak şikâyette veri sorumlusunun konumunu doğrudan etkiler.
Yedekler ve Üçüncü Taraflar Unutuluyor
Silme kararı verildiğinde canlı sistemdeki kayıt temizlense de yedekleme ortamları, log dosyaları, dışa aktarılmış raporlar ve iş ortaklarına aktarılmış kopyalar çoğu zaman gözden kaçar. Verinin aktarıldığı üçüncü kişilere de imha talebinin bildirilmesi gerekir. Yedeklerde imhanın ilk fırsatta gerçekleştirilmesi ve bu ana kadar yedeğe erişimin sınırlandırılması, savunulabilir bir uygulama biçimidir.
İmhanın Kanıtlanması
- İmha edilen veri kategorisini, tarihini ve yöntemini gösteren tutanak düzenleyin.
- Periyodik imha döngülerinin çalıştığını gösteren sistem kayıtlarını saklayın.
- Fiziksel evrakta imha yönteminin geri döndürülemez olduğunu belgeleyin.
- İmha kayıtlarını, kişisel veri içermeyecek şekilde ayrıca arşivleyin.
Bu yazı genel bilgilendirme amacı taşır. Bir veri işleme faaliyetinin Kanun'a uygunluğu, işlenen verinin türüne, hukuki sebebe ve kurumun teknik altyapısına göre değişir; şikâyet ya da inceleme aşamasındaysanız dosyanızı hukukçuyla birlikte gözden geçirmeniz önerilir.