6698 sayılı KVKK kapsamında veri sorumlusunun iki temel yükümlülüğü, çoğu kurumda birbirinden kopuk yürütülür: aydınlatma ve saklama-imha. Oysa bu ikisi aynı zincirin halkalarıdır. Aydınlatma metninde belirtilen saklama süresi ile fiilen uygulanan imha takvimi uyuşmuyorsa, metnin varlığı tek başına uyum sağlamaz. Bu rehber, iki yükümlülüğün zaman ekseninde nasıl birleştirileceğini ele alır.
Aydınlatma metninde bulunması gereken unsurlar
- Veri sorumlusunun ve varsa temsilcisinin kimliği.
- Kişisel verilerin hangi amaçla işleneceği.
- Verilerin kimlere ve hangi amaçla aktarılabileceği.
- Toplama yöntemi ve dayanılan hukuki sebep.
- İlgili kişinin kanunda sayılan haklarının neler olduğu.
Aydınlatma, veri işleme faaliyetinin başlangıcında yapılır. Sonradan gönderilen bilgilendirme, geçmişe etkili biçimde yükümlülüğü karşılamaz. Aydınlatmanın açık rıza ile karıştırılması ise en yaygın hatadır; aydınlatma her hâlde yapılır, açık rıza yalnızca rızaya dayalı işlemeler için aranır ve tek bir metinde birlikte alınması sakıncalıdır.
Saklama ve imha takvimi
Kişisel verilerin işlenmesini gerektiren sebepler ortadan kalktığında verinin silinmesi, yok edilmesi ya da anonim hâle getirilmesi gerekir. Kurumun bunu düzenli yapabilmesi için bir saklama ve imha politikası hazırlaması, veri kategorileri bazında saklama sürelerini belirlemesi beklenir. İlgili mevzuatta periyodik imha işleminin altı aylık aralığı aşmayacak biçimde yürütülmesi öngörülmüştür. Bu periyot bir takvim işidir ve sorumlusu belirlenmediğinde uygulamada aksar.
Saklama süresi nasıl belirlenir
- Verinin işlenme amacı ve amacın ne zaman sona erdiği tespit edilir.
- Özel kanunlarda öngörülen saklama yükümlülükleri (ticari defterler, sosyal güvenlik kayıtları gibi) kontrol edilir.
- Olası uyuşmazlıklar için ilgili zamanaşımı süreleri değerlendirilir.
- En uzun süre esas alınır ve bu süre aydınlatma metnine yansıtılır.
İlgili kişi başvurusu geldiğinde
Silme veya yok etme talebiyle bir başvuru yapıldığında, veri sorumlusunun kanunda öngörülen otuz günlük süre içinde cevap vermesi gerekir. Cevap, talebin kabulü ya da gerekçeli reddi şeklinde olabilir; sessiz kalmak bir seçenek değildir. Başvurunun reddi, yetersiz yanıt verilmesi veya süresinde cevap verilmemesi hâlinde ilgili kişi, öğrenme tarihinden itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir. Kurum tarafında bu takvimin izlenmesi için başvuru kayıt defteri tutulması işlevseldir.
Uyum denetimi için kontrol noktaları
- Aydınlatma metinlerinin her veri sahibi grubu için (çalışan, müşteri, ziyaretçi, aday) ayrı hazırlanmış olması.
- İnternet sitesi, çağrı merkezi ve fiziksel form kanallarının hepsinde bilgilendirmenin yapılması.
- Kayıt yükümlülüğü kapsamındaki kurumlarda VERBİS kaydının güncel tutulması.
- Veri işleyenlerle imzalanan sözleşmelerde imha yükümlülüğünün yer alması.
- Yedek sistemlerdeki verilerin imha politikasının kapsamında olması.
Yukarıdaki açıklamalar genel bir çerçeve sunar. Kurumunuzun faaliyet alanı ve işlediği veri türleri yükümlülüklerin kapsamını değiştirebileceğinden, uyum çalışmasının kendi süreçleriniz üzerinden hukuki destekle yürütülmesi yerinde olacaktır.