Kişisel verilerin korunması alanındaki denetimlerde çoğu kuruluş, gerekli işlemleri fiilen yaptığı halde bunu belgeleyemediği için zorluk yaşar. 6698 sayılı KVKK kapsamındaki yükümlülükler ve internet ortamındaki içerikler bakımından 5651 sayılı Kanunla kesişen alanlar birlikte düşünüldüğünde, uyum sürecinin ölçüsü niyet değil kayıttır. Bu metin, VERBİS kaydı ile silme, yok etme ve anonim hale getirme süreçlerinde ispat düzeninin nasıl kurulacağına odaklanır.
Neden kayıt tutmayan uyum sayılmaz
Bir verinin silindiğini iddia etmek ile silindiğini göstermek farklı şeylerdir. Silme işlemi arkasında iz bırakmadığında, veri sorumlusunun elinde yalnızca sözlü beyan kalır. Bu nedenle uyum çalışmasının merkezinde, yapılan her işlemin tarihini ve kapsamını gösteren kayıtlar bulunmalıdır.
VERBİS kaydında dikkat edilecek noktalar
- Kayıtta beyan edilen veri kategorileri ile fiilen işlenen veriler arasındaki uyum
- Beyan edilen saklama sürelerinin, kurum içindeki saklama politikasıyla örtüşmesi
- Aktarım yapılan taraflar ve yurt dışına aktarım bilgilerinin güncelliği
- Kayıtta yapılan güncellemelerin tarihçesinin saklanması
Beyan ile uygulama arasındaki fark, denetimde ilk fark edilen husustur. Bu nedenle kayıt, bir kez doldurulup unutulan bir form olarak değil, düzenli gözden geçirilen bir belge olarak ele alınmalıdır.
Silme, yok etme ve anonim hale getirme ayrımı
Bu üç kavram birbirinin yerine kullanılamaz ve her biri farklı bir sonuç doğurur. Verinin ilgili kullanıcılar için erişilemez hale getirilmesi ile verinin bir daha kullanılamayacak biçimde ortadan kaldırılması aynı işlem değildir. Anonim hale getirme ise verinin kişiyle ilişkilendirilemez duruma gelmesini ifade eder ki, geri döndürülebilir bir yöntem kullanıldığında bu sonuç gerçekleşmiş sayılmaz. Politika metninde hangi veri türü için hangi yöntemin seçildiği açıkça yazılmalıdır.
İlgili kişi başvurusu geldiğinde
- Başvurunun geliş tarihi ve kanalı kayda alınır
- Başvuranın kimliğinin doğrulanmasına ilişkin adım belgelenir
- Talebin kapsamı yazılı olarak netleştirilir
- Yapılan işlem, hangi sistemlerde hangi tarihte gerçekleştirildiğiyle birlikte kaydedilir
- Verilen cevabın örneği ve iletildiğini gösteren kayıt saklanır
Bu zincir eksiksiz tutulduğunda, sonradan doğacak bir uyuşmazlıkta savunma hazır durumdadır. Zincirin bir halkası eksik olduğunda ise, işlem yapılmış olsa bile bunu göstermek güçleşir.
Periyodik imha ve teknik kayıtlar
Saklama süresi dolan verilerin düzenli aralıklarla imha edilmesi, hem politika metninde öngörülmeli hem de her uygulamada tutanakla kayıt altına alınmalıdır. Sistem üzerinde otomatik çalışan bir silme mekanizması varsa, bunun çalıştığını gösteren teknik günlükler ayrıca saklanmalıdır.
Bu yazı genel bilgi vermek amacıyla hazırlanmıştır. Kuruluşun büyüklüğü, işlediği veri türleri ve sistem yapısı gereken adımları değiştirdiğinden, uyum çalışmanızı hukuki ve teknik değerlendirmeyi birlikte yürütecek biçimde planlamanız yerinde olur.