Kişisel veri süreçlerinde en çok tartışma yaratan konu, çoğu zaman verinin işlenip işlenemeyeceği değil; ilgili kişinin talebine nasıl cevap verildiğidir. 6698 sayılı KVKK kapsamında aydınlatma yükümlülüğü ile silme, yok etme veya anonim hale getirme talepleri arasında doğrudan bir bağ vardır. Aşağıdaki kontroller, usule aykırı işlem nedeniyle doğabilecek şikayet riskini azaltmak için düzenlenmiştir.
Aydınlatma metni sonradan sınanır
Bir silme talebi geldiğinde ilk bakılan belge, verinin toplandığı anda sunulan aydınlatma metnidir. Metinde gösterilen işleme amacı, hukuki sebep ve saklama süresi ile fiilen yapılan işleme örtüşmüyorsa, talebin reddi gerekçesi de zayıflar. Bu nedenle aydınlatma metinleri kanalların tamamı için ayrı ayrı tutulmalı; internet formu, çağrı merkezi kaydı ve fiziksel form için hangi metnin hangi tarihte yürürlükte olduğu izlenebilir olmalıdır.
Silme, yok etme ve anonim hale getirme aynı işlem değildir
Talebin karşılanma biçimi verinin bulunduğu ortama göre değişir. Aktif sistemden çıkarılan bir kaydın yedeklerde kalmaya devam etmesi, talebin karşılandığı iddiasını tartışmalı hale getirir. Bu yüzden veri envanteri; ana sistem, yedek, log kayıtları ve varsa üçüncü taraf hizmet sağlayıcıları ayrı satırlarda gösterecek şekilde tutulmalıdır.
Talebe cevap verirken izlenecek sıra
- Başvuranın kimliğinin doğrulanması ve doğrulama yönteminin kayda geçirilmesi
- Talebin hangi veri kategorisine ve hangi kanala ilişkin olduğunun netleştirilmesi
- Verinin saklanmasını zorunlu kılan bir hukuki yükümlülük bulunup bulunmadığının belirlenmesi
- Talebin kabul, kısmen kabul veya ret olarak sonuçlandırılması ve gerekçenin yazılı verilmesi
- Aktarım yapılan taraflara bildirim yapılıp yapılmadığının kayda geçirilmesi
Yayın ve erişim boyutu
Talep, internette erişilebilir bir içerikle ilgiliyse mesele yalnızca veri tabanından silme ile bitmez. 5651 kapsamında yürütülen erişim ve içerik süreçleri ile veri sorumlusunun kendi sistemindeki silme işlemi ayrı ayrı ilerler. Bu iki yolun karıştırılması, ilgili kişiye eksik cevap verilmesine ve süreç uzadıkça şikayet riskinin artmasına yol açar.
Kayıt tutma disiplini
- Başvurunun geliş tarihi ve kanalı
- Kimlik doğrulama için istenen ve alınan belgeler
- İç değerlendirmeyi yapan birim ve karar tarihi
- İlgili kişiye verilen cevabın tam metni ve iletim kaydı
- İşlemin teknik olarak uygulandığını gösteren sistem kaydı
Bu başlıklar genel bir uyum çerçevesi sunar; sektöre özgü saklama yükümlülükleri ve veri kategorileri sonucu değiştirebilir. Somut bir başvuru karşısında karar verilmeden önce, envanter ve mevzuat karşılaştırmasının hukuki destekle yapılması yerinde olur.