VERBİS kaydı, veri sorumlusunun yükümlülüklerinin bittiği yer değil başladığı yerdir. Kayıt sırasında beyan edilen saklama süreleri ile fiilen uygulanan imha pratiği örtüşmediğinde, denetimde ortaya çıkan tablo tek başına bir uyumsuzluk göstergesine dönüşür. Bu rehber, VERBİS ile silme-yok etme yükümlülüğü arasındaki bağı ve uyuşmazlık hâlinde izlenecek yargı yolunu ele alır.
Beyanla Uygulama Arasındaki Tutarlılık
VERBİS'e girilen veri kategorileri, aktarım alıcı grupları ve azami saklama süreleri, kişisel veri işleme envanteriyle birebir uyumlu olmalıdır. Envanterde yer almayan bir işleme faaliyetinin fiilen sürdürülmesi ya da beyan edilen süre dolduğu hâlde verinin sistemde kalması, KVKK kapsamındaki genel ilkelere aykırılık tartışmasını doğrudan başlatır. Bu nedenle kayıt, bir defalık idari işlem gibi değil, periyodik olarak güncellenen canlı bir belge gibi ele alınmalıdır.
Silme, Yok Etme ve Anonim Hâle Getirme Ayrımı
- Silme: verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesi
- Yok etme: verinin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez hâle getirilmesi
- Anonim hâle getirme: verinin başka verilerle eşleştirilse dahi kimliği belirli bir kişiyle ilişkilendirilememesi
- Yedek ortamlar, log kayıtları ve arşiv sistemleri çoğu zaman imha planının dışında kalarak uyumsuzluk yaratır
- Kâğıt ortamındaki nüshalar için ayrı bir imha yöntemi tanımlanmalıdır
Periyodik İmha Düzeni Kurmak
- Saklama ve imha politikası hazırlanır; hangi veri kategorisinin hangi hukuki sebeple ne kadar saklanacağı gerekçelendirilir.
- Saklama süresinin dayanağı diğer mevzuattan geliyorsa bu dayanak açıkça gösterilir.
- Periyodik imha takvimi belirlenir ve her turda imha tutanağı düzenlenir.
- İlgili kişi başvurusu üzerine yapılan silme işlemleri ayrı bir kayıt altında izlenir.
- Aktarım yapılan üçüncü kişilere imha bildiriminin yapılıp yapılmadığı kontrol edilir.
İlgili Kişi Başvurusundan Yargıya
İlgili kişinin verisinin silinmesi talebi önce veri sorumlusuna yöneltilir. Yanıt verilmemesi veya talebin reddi hâlinde Kurul'a şikâyet yolu açılır. Kurul'un verdiği kararlara ve uyguladığı idari yaptırımlara karşı gidilecek yargı yolu mevzuat değişiklikleriyle netleşmiş olup güncel düzenlemede idari yargı esas alınmaktadır; kararın tarihine göre uygulanacak hükmün ayrıca kontrol edilmesi gerekir. 5651 sayılı Kanun kapsamındaki erişim engelleme talepleri ise bundan bağımsız biçimde sulh ceza hâkimliğinde yürütülür ve iki yolun süreleri birbirini beklemez.
Denetimde Sorulanı Önceden Sormak
Uyumluluk çalışmasının en pratik testi, bir denetimde istenecek belgelerin bugün üretilip üretilemediğidir: envanter, politika, aydınlatma metinleri, açık rıza kayıtları, imha tutanakları ve ihlal bildirim dosyası. Bu belgelerin tarihsiz veya birbirine atıf yapmayan metinler olması, tek başına bir zayıflık göstergesidir.
Veri sorumlusunun sektörü ve işleme faaliyetinin ölçeği yükümlülüklerin kapsamını değiştirir. Bu açıklamalar genel bilgilendirme amaçlı olup kurumsal bir uyum programı öncesinde hukuki değerlendirme alınması önerilir.