Kişisel veri mevzuatının ayırt edici özelliği, ispat yükünün büyük ölçüde veri sorumlusunun üzerinde olmasıdır. Yani "yaptık" demek yetmez; yapıldığının kaydı aranır. 6698 sayılı KVKK ve 5651 sayılı Kanun ekseninde hazırlanan bu rehber, VERBİS kaydı ile silme, yok etme ve anonim hale getirme süreçlerinde belgelendirmenin nasıl kurulacağını anlatıyor.
Kayıt Yükümlülüğü Bir Envanter Meselesidir
Sicile kayıt, tek başına bir form doldurma işi değildir; arkasında işleme faaliyetlerinin gerçek bir envanteri bulunmalıdır. Hangi veri kategorisinin, hangi amaçla, hangi hukuki sebebe dayanarak, ne kadar süreyle işlendiği ve kimlere aktarıldığı envanterde görünmüyorsa, sicildeki beyan ile fiilî durum arasında fark doğar. Bu fark bir denetimde ortaya çıktığında, sorumlunun açıklama yapabilmesi için envanterin tarihli versiyonlarını saklamış olması gerekir.
İmha Kararının Belgeye Dönüşmesi
Saklama süresi dolduğunda verinin silinmesi bir eylemdir; ancak hukuken anlam kazanması için iz bırakması gerekir. Uygulamada aranan asgari yapı şudur: saklama ve imha politikası, periyodik imha takvimi, imhanın kim tarafından ve hangi yöntemle gerçekleştirildiğini gösteren tutanak, yedek ortamlardaki kopyaların akıbetine ilişkin kayıt. Özellikle yedekler unutulur; ana sistemden silinen veri yedekte durmaya devam ediyorsa, silme iddiası eksik kalır. Anonim hale getirme tercih edilmişse, kullanılan yöntemin geri döndürülemezliği ayrıca açıklanmalıdır.
İlgili Kişi Talebi Geldiğinde Delil Zinciri
- Başvurunun hangi kanaldan ve hangi tarihte ulaştığını gösteren kayıt.
- Başvuranın kimliğinin doğrulanmasına ilişkin işlem notu.
- Talebin kapsamının nasıl yorumlandığını gösteren iç değerlendirme.
- Verilen cevabın içeriği ve gönderim kanıtı.
- Talep reddedilmişse, ret gerekçesinin hukuki dayanakla ilişkilendirildiği yazı.
Delil Eksikliğinin Doğurduğu Asıl Sorun
Kişisel veri uyuşmazlıklarında en sık rastlanan tablo, kurumun gerçekten doğru davranmış olması ama bunu gösterememesidir. Sözlü talimatla yapılan silme işlemleri, üzerine tarih yazılmamış politika metinleri, sürüm takibi yapılmayan aydınlatma metinleri bu boşluğu büyütür. Aydınlatma yükümlülüğünün yerine getirildiğini gösteren kayıt yoksa, ilgili kişinin aksi yöndeki beyanı karşısında savunma zayıflar. Bu nedenle belgelendirme, uyum çalışmasının süsü değil ana gövdesidir.
Uygulamaya Geçerken
Uyum çalışmasını tek seferlik bir proje gibi değil, sürüm numarası ve tarih taşıyan yaşayan bir belge seti gibi kurgulamak, ileride ortaya çıkabilecek her türlü inceleme için en güçlü hazırlıktır. Bu yazı genel bilgilendirme amacı taşır; kurumunuzun faaliyet alanı, işlenen veri kategorileri ve aktarım yapısı farklı yükümlülükler doğurabileceğinden, mevcut politikalarınızın hukuki gözle gözden geçirilmesi tavsiye edilir.