Kişisel veri süreçlerinde en sık karşılaşılan sorun, verinin hiç toplanmaması değil, toplanan verinin ne zaman ve nasıl silineceğinin planlanmamış olmasıdır. Aydınlatma metniyle başlayan yükümlülük zinciri, saklama süresi dolduğunda silme, yok etme veya anonim hâle getirme adımıyla tamamlanır. Bu kontrol listesi 6698 sayılı KVKK ve 5651 sayılı Kanun ekseninde bu zinciri ele alır.
Aydınlatma Metni Gerçeği Anlatıyor mu
Metnin hukuken doğru olması yetmez; fiilen yapılanla örtüşmesi gerekir. Toplanan veri kalemleri, işleme amaçları, aktarılan taraflar ve saklama süresi, gerçek iş akışıyla karşılaştırılmalıdır. Uygulamada en sık görülen tutarsızlık, metinde yer almayan bir aktarımın fiilen yapılıyor olmasıdır. Metin ile süreç arasındaki fark, bir başvuru geldiğinde ilk fark edilen şeydir.
Saklama ve İmha Planının Kurulması
- Her veri kategorisi için saklama süresinin dayanağı ayrı ayrı yazılır; sürenin kaynağı mevzuat mı, sözleşme mi belirtilir.
- Süre dolduğunda hangi yöntemin uygulanacağı önceden belirlenir: silme, yok etme veya anonim hâle getirme.
- Yedek sistemler, arşiv kopyaları ve dış hizmet sağlayıcılardaki kopyalar plana dâhil edilir.
- İmha işlemlerinin kaydı tutulur; yapılan işin belgelenmemesi, hiç yapılmamış gibi sonuç doğurabilir.
İlgili Kişi Başvurusu Geldiğinde
Başvuru geldiğinde işleyen bir süre başlar ve bu süre kurum içi yavaşlığı mazeret kabul etmez. Bu nedenle başvuruların hangi kanaldan alınacağı, kimin değerlendireceği ve cevabın nasıl iletileceği önceden yazılı hâle getirilmelidir. Talep silme yönündeyse, verinin başka bir mevzuat gereği saklanması zorunluysa bu durumun gerekçesiyle açıklanması gerekir; sessiz kalmak en riskli seçenektir.
İnternet İçeriği ile Kesişen Alan
Kişisel veri, arama sonuçlarında veya bir internet sitesinde yer alıyorsa 5651 sayılı Kanun kapsamındaki yollar KVKK başvurusuyla birlikte değerlendirilir. Hangi yolun daha hızlı sonuç vereceği içeriğin niteliğine göre değişir; ikisi birbirinin alternatifi olarak değil, tamamlayıcısı olarak planlanmalıdır.
Denetime Hazırlık
Uyumun ölçüsü niyet değil, kayıttır. Veri envanteri, işleme faaliyet kaydı, aydınlatma ve açık rıza metinlerinin sürüm geçmişi, personel eğitim kayıtları ve imha tutanakları erişilebilir bir düzende tutulmalıdır. Bu belgeler sonradan üretilmeye çalışıldığında tarihsel tutarlılık sorunu ortaya çıkar.
Yukarıdaki başlıklar genel bir çerçevedir; veri sorumlusunun faaliyet alanı yükümlülüklerin ağırlığını değiştirir. Süreye bağlı bir başvuru gelmişse, cevap verilmeden önce hukuki değerlendirme alınması yerinde olur.