Kişisel veri uygulamasında en çok çelişki doğuran nokta, kuruma verilen aydınlatma metni ile fiilen uygulanan saklama düzeninin birbirini tutmamasıdır. 6698 sayılı KVKK kapsamındaki yükümlülükler ve 5651 sayılı Kanundan doğan kayıt tutma zorunlulukları birlikte değerlendirilmediğinde, metinde yazan süre ile sistemde duran veri arasında açık bir uyumsuzluk ortaya çıkar.
Metin ile Uygulama Arasındaki Bağ
Aydınlatma metni, işleme amacını, hukuki sebebini, aktarım durumunu ve saklama süresini ilgili kişiye anlaşılır biçimde bildirir. Bu metinde belirtilen süre dolduğunda verinin gerçekten ortadan kalkması beklenir. Uygulamada ise yedekler, arşiv klasörleri, raporlama tabloları ve eski e-posta kutuları çoğu zaman bu döngünün dışında kalır. Uyum çalışması, metinden değil veri envanterinden başlamalıdır.
Üç Farklı Yöntem, Üç Farklı Sonuç
- Silme: verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve kullanılamaz hâle getirilmesi
- Yok etme: verinin hiç kimse tarafından geri getirilemeyecek biçimde ortadan kaldırılması
- Anonim hâle getirme: verinin kimliği belirli bir kişiyle ilişkilendirilemeyecek duruma dönüştürülmesi
- Seçilen yöntemin gerekçesinin kayıt altına alınması
- Yedek ortamlar için ayrı bir uygulama takviminin tanımlanması
Veri Sahibi Başvurusunun İşlenmesi
İlgili kişinin silme talebi geldiğinde ilk soru, verinin hangi hukuki sebebe dayanılarak işlendiğidir. Açık rızaya dayanan işleme ile kanunen zorunlu olan işleme farklı sonuç doğurur; ikincisinde saklama zorunluluğu devam ediyorsa talep gerekçesiyle birlikte karşılanamayabilir. Reddedilen taleplerde de yazılı ve gerekçeli cevap verilmesi, uyumun ayrılmaz parçasıdır.
Periyodik İmha Düzeni
Tek seferlik bir temizlik, kalıcı uyum sağlamaz. Saklama ve imha politikasında belirlenen aralıklarla yürütülen periyodik imha, hangi veri grubunun hangi tarihte hangi yöntemle işlemden geçtiğini gösteren tutanaklarla belgelenmelidir. Bu kayıtlar, sonradan yapılan incelemede sürecin gerçekten işletildiğini gösteren en somut delildir.
Denetime Hazırlık Kontrolleri
Bir inceleme başladığında istenecekler bellidir: veri envanteri, aydınlatma metinleri, açık rıza kayıtları, saklama ve imha politikası, yetki matrisi ve teknik güvenlik tedbirlerine ilişkin belgeler. Bunların birbiriyle çelişmemesi, tek tek doğru olmalarından daha önemlidir. Metinlerin farklı tarihlerde farklı kişilerce hazırlanması, en sık görülen tutarsızlık kaynağıdır.
Bu içerik genel bilgilendirme amacıyla hazırlanmıştır. Her kurumun veri akışı ve sektörel saklama yükümlülüğü farklıdır; metinlerinizi güncellemeden önce mevcut sistemlerinizin gerçek durumunu bir hukukçu ve teknik ekiple birlikte tespit etmeniz gerekir.