Veri sorumluları için VERBİS kaydı çoğu zaman bir kere yapılıp unutulan bir formalite gibi görülür. Oysa bu kayıt, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındaki saklama ve imha yükümlülüğünün ilanıdır: sicilde beyan edilen saklama süresi, kurumun kendi kendine koyduğu taahhüttür. Bu rehber, silme ve yok etme yükümlülüğünün nasıl işletileceğini ve ilgili kişi talebine verilecek cevabın usulünü ele alır.
Sicildeki beyan ile fiili uygulama örtüşmelidir
VERBİS'te bildirilen veri kategorileri, aktarım yapılan taraflar ve azami saklama süreleri, kurumun saklama ve imha politikasıyla aynı olmalıdır. Denetimde ilk bakılan nokta budur: sicilde iki yıl beyan edilmişken beş yıllık kayıtların sistemde durması, tek başına aykırılık göstergesidir. Bu nedenle sicil kaydı, süreç değiştiğinde güncellenmeli ve güncelleme tarihleri belgelenmelidir.
Silme, yok etme ve anonim hale getirme farkı
- Silme: verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi
- Yok etme: verinin hiç kimse tarafından hiçbir şekilde erişilemez ve geri getirilemez hale getirilmesi
- Anonim hale getirme: verinin kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek duruma getirilmesi
Uygulamada en sık yapılan hata, kaydın veri tabanında pasif hale getirilip silinmiş sayılmasıdır. Yedeklerde duran, log kayıtlarında görünen veya rapor çıktılarında yer alan veri hukuken silinmiş olmaz. Yedek ortamlar için ayrı bir imha prosedürü tanımlanmalıdır.
İlgili kişi talebi geldiğinde işleyen takvim
Silme talebi doğrudan veri sorumlusuna yapılır. Veri sorumlusunun bu talebi kabul etmesi ya da gerekçesini açıklayarak reddetmesi ve cevabını kanunda öngörülen süre içinde vermesi gerekir. Cevap verilmemesi ya da cevabın yetersiz bulunması halinde ilgili kişi Kurul'a şikayet edebilir. Sessiz kalmak, veri sorumlusu açısından savunulabilir bir tercih değildir; şikayet aşamasında aleyhe değerlendirilir.
Her talep kabul edilmek zorunda değil
Bir başka kanun uyarınca saklama zorunluluğu bulunan veriler silinemez. Ticari defter ve belgelere ilişkin süreler, sosyal güvenlik ve iş sağlığı kayıtları ile mali mevzuattaki saklama yükümlülükleri bunun tipik örnekleridir. Bu durumda doğru davranış talebi görmezden gelmek değil, hangi mevzuata dayanıldığını açıkça yazarak talebi gerekçeli biçimde reddetmektir. Reddin gerekçesiz olması, esasen haklı olan kurumu da idari yaptırımla karşı karşıya bırakabilir.
Kurul kararına karşı ne yapılabilir?
Kişisel Verileri Koruma Kurulu'nun idari yaptırım kararları idari işlem niteliğindedir ve idari yargı denetimine tabidir. Dava dilekçesinde yalnızca esas tartışılmamalı; tebligatın usulü, savunma isteme yazısına verilen cevabın değerlendirilip değerlendirilmediği ve yaptırımın ölçülülüğü de ayrıca ele alınmalıdır. Dava süresi kısadır ve tebliğ tarihinden itibaren işler.
Buradaki açıklamalar genel çerçeve niteliğindedir. Kurumunuzun veri envanteri, sektörel mevzuatı ve yedekleme mimarisi yükümlülüğün kapsamını değiştirdiğinden, imha politikanızı uygulamaya koymadan önce hukuki ve teknik değerlendirmeyi birlikte yapmanız uygun olur.