Kişisel veri süreçlerinde en sık karşılaşılan sorun, veri sorumlusunun aslında yaptığı işi belgeleyememesidir. Aydınlatma metni hazırlanmış olabilir; ancak ilgili kişiye hangi anda, hangi kanaldan ve hangi sürümüyle sunulduğu kayıt altına alınmamışsa, bir şikâyet ya da inceleme sırasında elde somut dayanak kalmaz. Bu rehber, 6698 sayılı KVKK ile internet yayınları bakımından 5651 sayılı Kanun çerçevesinde, aydınlatma ve silme-yok etme adımlarının ispat edilebilir biçimde kurgulanmasına odaklanır.
Aydınlatmanın Yapıldığını Ne Kanıtlar?
Aydınlatma, veri işleme faaliyeti başlamadan önce yerine getirilmesi gereken bir yükümlülüktür. Bu nedenle ispat aracının da işlemden önceki ana ait olması gerekir. Web formunda onay kutusuyla alınan bir bilgilendirmede; formun gönderildiği zaman damgası, gösterilen metnin sürümü ve sunucu kaydı birlikte saklanmadığında, sonradan gelen metin sonradan değiştirildi itirazına verilecek yanıt kalmaz.
- Metin sürümlerinin tarihli arşivi ve her sürümün hangi dönemde yayında olduğunun izlenebilmesi
- Fiziki ortamda imzalı nüsha alınıyorsa taranmış kopya ile asılların birlikte muhafazası
- Çağrı merkezi gibi sözlü kanallarda ses kaydının, olası uyuşmazlık ömrüyle uyumlu bir süre boyunca saklanması
Silme ve Yok Etmede Kayıt Disiplini
İmha, tek bir tuşa basmakla bitmez. Aynı veri çoğu kurumda üretim veritabanı, raporlama kopyası, yedek ortam ve dışarıdan hizmet alınan sistemlerde eş zamanlı bulunur. İmha kaydı yalnızca ana sistemi gösteriyorsa, yedekten geri dönen bir kayıt bütün savunmayı zayıflatır. Bu nedenle imha tutanağının hangi ortamları kapsadığı ve kapsamayan ortamlar için hangi sürede ne yapılacağı açıkça yazılmalıdır.
Veri işleyen sıfatıyla çalışılan tedarikçilerde ise talimatın iletildiği ve yerine getirildiği ayrı ayrı belgelenmelidir. Talimatın gönderildiğini gösteren yazışma tek başına yeterli değildir; işlemin tamamlandığına dair geri bildirim de dosyada bulunmalıdır.
İspat Boşluğu Doğuran Tipik Hatalar
- Aydınlatma ile açık rızanın aynı ekranda ayrıştırılmadan alınması ve hangi işlemin hangi dayanakla yürüdüğünün sonradan çözülememesi
- Saklama süresi tablosunun yazılı olması ama otomatik imha işinin hiç çalıştırılmamış olması
- İlgili kişi başvurularının kurumsal bir kanal yerine kişisel e-posta kutularında birikmesi
- Log kayıtlarının, başvuru incelemesi tamamlanmadan rutin temizlikle silinmesi
Başvuru Geldiğinde İzlenecek Sıra
Bir talep ulaştığında ilk yapılacak iş, o veriye ilişkin bütün ortamların dondurulması ve mevcut durumun fotoğrafının çekilmesidir. Talebe verilecek yanıt hazırlanırken; verinin hangi hukuki sebeple işlendiği, saklamayı zorunlu kılan başka bir mevzuat bulunup bulunmadığı ve talebin kısmen karşılanıp karşılanamayacağı ayrı ayrı değerlendirilmelidir. Yanıt yazısının tebliğ edildiğini gösteren kayıt da dosyanın parçasıdır.
Buradaki açıklamalar genel nitelikte olup her kurumun veri envanteri, sektörel yükümlülükleri ve teknik altyapısı sonucu değiştirebilir. Somut bir inceleme veya şikâyet dosyasında, süreç başlamadan hukuki değerlendirme alınması yerinde olur.