Kişisel veri uyuşmazlıklarının önemli bir bölümü, veri işleme faaliyetinin kendisinden değil, sürecin başında verilen aydınlatmanın eksikliğinden doğar. İlgili kişi silme talebiyle geldiğinde ilk bakılan belge çoğu zaman aydınlatma metnidir.
Aydınlatma Metni Silme Talebinin Sonucunu Nasıl Belirler
6698 sayılı KVKK kapsamında aydınlatma, işleme amacını, hukuki sebebini, aktarım yapılan tarafları ve saklama mantığını anlaşılır biçimde ortaya koymalıdır. Metin genel ifadelerle yazıldığında, veri sorumlusu daha sonra "bu veriyi şu hukuki sebeple tutuyorum" savunmasını yapmakta zorlanır. Silme talebine verilecek ret cevabının dayanağı da aslında bu metinde önceden görünür olmalıdır.
Silme, Yok Etme ve Anonim Hâle Getirme Ayrımı
Üç yöntem aynı sonucu doğurmaz ve talebi karşılamak için hangisinin seçildiği yazılı olarak gerekçelendirilmelidir.
- Silme: verinin ilgili kullanıcılar için hiçbir şekilde erişilebilir olmaması.
- Yok etme: verinin geri getirilemeyecek biçimde ortadan kaldırılması.
- Anonim hâle getirme: verinin kimliği belirli bir kişiyle ilişkilendirilemez duruma gelmesi.
- Yedek ortamlar ve log kayıtları çoğu zaman unutulur; talep karşılanırken bu katmanlar da kapsama alınmalıdır.
Başvurudan Şikâyete Uzanan Zincir
İlgili kişi önce veri sorumlusuna başvurur; cevap verilmemesi veya cevabın yetersiz bulunması hâlinde Kurul'a şikâyet yolu açılır. Buradaki en yaygın kurumsal hata, başvuruya süresinde ama içeriksiz yanıt vermektir. Yanıtta hangi verinin silindiği, hangisinin hangi hukuki sebeple tutulmaya devam ettiği ve aktarım yapılan taraflara bildirimin yapılıp yapılmadığı ayrı ayrı belirtilmelidir. İnternet ortamındaki içerik boyutu varsa 5651 sayılı Kanun kapsamındaki erişim engelleme yolu ile KVKK süreci birbirinden bağımsız değerlendirilmelidir.
Sulh Görüşmesi ile Yargı Yolu Arasındaki Denge
Veri sorumlusu ile ilgili kişi arasında çözüm arayışı çoğu zaman verimlidir; ancak görüşme süreci başvuruya cevap süresini uzatmaz. Görüşme sürerken yanıt yazısının hazırlanmaya devam etmesi, aksi hâlde hem idari yaptırım hem tazminat talebi riskinin birlikte doğması söz konusudur. Karşılıklı mutabakat sağlandıysa, hangi verinin ne zaman ve hangi yöntemle imha edildiği tutanağa bağlanmalıdır.
Kurum İçi Kontrol Listesi
- Aydınlatma metni fiilen yapılan işleme faaliyetiyle örtüşüyor mu?
- Saklama ve imha politikası güncel mi, süreler takip ediliyor mu?
- Başvuruları karşılayacak iç akış ve sorumlu kişi tanımlı mı?
- Aktarım yapılan üçüncü taraflara bildirim mekanizması kurulu mu?
- İmha işlemleri kayıt altına alınıyor mu?
Yukarıdaki çerçeve genel bilgilendirme amacı taşır. Veri kategorileri ve işleme amaçları kuruluşa göre değiştiğinden, uygulamaya geçmeden önce süreçlerinizi hukuki değerlendirmeden geçirmeniz önerilir.