Veri sorumluları için denetimin en sık takıldığı iki başlık; kayıt yükümlülüğünün yerine getirilip getirilmediği ve saklama süresi dolan verilerin gerçekten imha edilip edilmediğidir. KVKK, 6698 sayılı Kanun çerçevesinde bu yükümlülükleri düzenlerken ispat yükünü açık biçimde veri sorumlusuna bırakır: yapıldığını iddia eden, belgeleyebilmelidir. Uygulamada sorun, işlemin fiilen yapılmış olup kayıt altına alınmamış olmasından doğar.
Envanter Olmadan Silme Politikası Yazılamaz
Silme, yok etme ve anonim hale getirme politikası, veri işleme envanterinden bağımsız hazırlandığında kâğıt üzerinde kalır. Envanterde her veri kategorisi için işleme amacı, hukuki sebep, aktarılan taraflar ve saklama süresi yer almalıdır. Kayıt yükümlülüğü kapsamındaki bildirim ile envanterdeki bilgilerin birbiriyle tutarsız olması, denetimde ilk fark edilen aksaklıklardandır.
İmha İşlemini Belgeye Dönüştürmek
Saklama süresi dolan verinin imha edildiğini gösteren kayıt zinciri genellikle şu adımlardan oluşur:
- Periyodik imha döneminin başladığını gösteren sistem kaydı veya görev ataması
- İmhaya konu veri kategorilerinin ve kayıt sayısının listelenmesi
- Uygulanan yöntemin belirtilmesi: silme, yok etme veya anonim hale getirme
- İşlemi gerçekleştiren kişi ve tarih bilgisini içeren tutanak
- Yedekleme ortamlarındaki kopyaların durumuna ilişkin açıklama
Yedekler çoğu kuruluşta gözden kaçar; ana sistemden silinen bir kaydın yedekte durmaya devam etmesi, imha iddiasını tartışmalı hale getirir.
İlgili Kişi Talebine Yanıt Verirken
Silme talebiyle başvuran kişiye verilecek yanıt, yalnızca "talebiniz yerine getirilmiştir" cümlesinden ibaret olmamalıdır. Hangi verinin silindiği, hangi verinin hukuki yükümlülük nedeniyle saklanmaya devam edildiği ve bu saklamanın dayanağı açıklanmalıdır. Verinin üçüncü kişilere aktarılmış olması halinde, aktarılan tarafa da bildirim yapıldığının gösterilmesi gerekir. Bu yanıt metni, ileride yapılacak bir şikâyette kurumun en güçlü savunma belgesine dönüşür.
Yayımlanmış İçerikte İki Ayrı Mekanizma
Kişisel verinin internette yayımlandığı hallerde, veri sorumlusuna yapılan silme talebi ile 5651 sayılı Kanun kapsamındaki erişimin engellenmesi mekanizması birbirinden ayrıdır. Birincisi verinin kaynaktan kaldırılmasını hedeflerken, ikincisi erişimi sınırlar. Kaynaktaki veri durduğu sürece içeriğin yeniden görünür hale gelme ihtimali devam eder; bu nedenle iki yolun birlikte planlanması tercih edilir.
Şikâyet Süreci ve Uzlaşma Alanı
Kurum incelemesi başladığında, sunulan belgelerin tarih tutarlılığı ayrıca değerlendirilir. Sonradan üretildiği izlenimi veren politikalar, savunmayı güçlendirmek yerine zayıflatır. İlgili kişiyle doğrudan iletişim kurularak talebin karşılanması ise çoğu dosyada şikâyetin sürdürülmesini gereksiz kılar; ancak bu görüşmenin de yazılı iz bırakacak şekilde yürütülmesi, sonradan doğabilecek tazminat taleplerinde kurumun konumunu korur.
Bu içerik genel bilgilendirme amacıyla hazırlanmıştır; her kuruluşun veri yapısı ve saklama gerekçeleri farklıdır. Uyum çalışmanız veya karşılaştığınız bir başvuru için belgelerinizle birlikte hukuki değerlendirme almanız önerilir.