Kişisel veri uyumunda en sık karşılaşılan sorun, işlemin hiç yapılmaması değil; yapıldığının gösterilememesidir. KVKK ve 6698 sayılı Kanun kapsamında bir denetim ya da ilgili kişi şikayeti gündeme geldiğinde sorulan soru nettir: veriyi ne zaman, hangi gerekçeyle sildiniz ve bunu neyle kanıtlıyorsunuz. VERBİS kaydı ile fiili işleme faaliyeti arasındaki uyumsuzluk da aynı noktada ortaya çıkar.
Kayıt ile Gerçeğin Ayrışması
VERBİS bildirimi bir kez yapılıp bırakılan bir işlem değildir. Yeni bir veri kategorisi işlenmeye başlandığında, yeni bir aktarım kanalı açıldığında veya saklama süresi değiştiğinde bildirimin de güncellenmesi gerekir. Bildirimde yazan saklama süresi ile sistemde fiilen tutulan verinin yaşı arasındaki fark, tek başına bir uyumsuzluk göstergesi olarak okunur. Bu nedenle envanter ile bildirim arasındaki eşleşme periyodik olarak kontrol edilmelidir.
İmha Sürecinde Hangi Belgeler Doğar
- Saklama ve imha politikası ile bu politikanın yürürlük tarihi
- Kişisel veri işleme envanteri ve kategori bazında saklama süreleri
- Periyodik imha dönemlerinde düzenlenen imha tutanakları
- Anonim hale getirme uygulandıysa yöntemin ve geri döndürülemezliğin kaydı
- Yedek ortamlar ve arşivlerde yapılan silme işlemlerine ait sistem kayıtları
Yedeklerin unutulması yaygın bir eksikliktir. Ana veritabanından silinen kayıt yedekte durmaya devam ediyorsa, imha tamamlanmış sayılmaz.
İlgili Kişi Talebi Geldiğinde Zaman Yönetimi
Silme, yok etme veya anonim hale getirme talebi ulaştığında sürecin ilk adımı, talebin kayda alındığı anın belgelenmesidir. Talebin hangi kanaldan geldiği, kimlik doğrulamasının nasıl yapıldığı ve verilen cevabın gönderim tarihi ayrı ayrı saklanmalıdır. Cevap süresinin kaçırılması ya da talebin gerekçesiz reddi, esas itibarıyla haklı bir işleme dayanılıyor olsa bile şikayet yolunun açılmasına yol açar.
Reddedilebilecek Talepler ve Gerekçelendirme
Her silme talebi karşılanmak zorunda değildir. Bir başka kanundan doğan saklama yükümlülüğü, sözleşmenin ifası veya bir hakkın tesisi ve korunması gibi durumlarda verinin tutulmaya devam etmesi gerekebilir. Ancak burada belirleyici olan, ret gerekçesinin talebe özgü ve somut yazılmasıdır. Genel ifadelerle verilen ret cevapları, denetimde gerekçesiz kabul edilme riski taşır ve usule aykırı işlem tartışmasını doğurur.
Bilgilendirme
Buradaki açıklamalar genel niteliktedir. Kurumunuzun veri akışları, sektörel mevzuatı ve aktarım yapısı sonucu değiştirebilir; uyum dosyanızı alanında çalışan bir hukukçuyla birlikte gözden geçirmeniz yerinde olur.