Kişisel veri uyum çalışmalarında en sık rastlanan tablo şudur: kayıt yapılmış, politikalar hazırlanmış, ancak beyan edilen saklama süreleri ile sistemlerdeki fiilî durum birbirini tutmamaktadır. KVKK ve 6698 sayılı Kanun çerçevesinde yürütülen bir incelemede sorulan ilk soru genellikle bu farkı hedefler. Aşağıdaki liste, VERBİS beyanı ile silme, yok etme ve anonim hâle getirme uygulamaları arasındaki uyumun nasıl belgeleneceğine odaklanır.
Beyan ile fiilî durum arasındaki fark
Kayıt sırasında bildirilen veri kategorileri, aktarım alıcıları ve saklama süreleri, kurum içindeki gerçek işleyişle örtüşmelidir. Uygulamada fark genellikle üç yerde çıkar: kayıt sonrası devreye alınan yeni yazılımlar, sözleşmeyle çalışılan yeni tedarikçiler ve arşivden hiç silinmeyen eski kayıtlar. Bu üç başlık, belirli aralıklarla gözden geçirilip beyanın güncellenmesini gerektirir.
Üç kavram, üç ayrı kanıt
- Silme: verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesi; erişim yetkisi kayıtlarıyla desteklenir.
- Yok etme: verinin hiç kimse tarafından hiçbir şekilde erişilemez hâle getirilmesi; fiziki ortamda imha tutanağı, dijital ortamda işlem kayıtlarıyla belgelenir.
- Anonim hâle getirme: verinin kimliği belirli bir kişiyle ilişkilendirilemeyecek duruma getirilmesi; uygulanan yöntemin ve geri döndürülemezliğin teknik olarak açıklanmasını gerektirir.
Periyodik imhanın kanıtlanabilirliği
Saklama ve imha politikası bulunmak yeterli değildir; politikanın uygulandığının gösterilmesi gerekir. Bu nedenle her imha döngüsü için tarih, kapsam, uygulayan birim ve yöntem bilgisi içeren kayıt tutulmalıdır. Otomatik çalışan sistemlerde iş kaydı çıktıları, elle yürütülen süreçlerde ise imzalı tutanaklar bu işlevi görür. Yedekleme ortamları çoğu zaman gözden kaçar; asıl sistemden silinen verinin yedeklerde ne kadar süre kalacağı ayrıca tanımlanmalıdır.
İlgili kişi başvurusu geldiğinde
- Başvurunun ulaştığı tarihin kayıt altına alınması.
- Talebin hangi veri kategorisine ilişkin olduğunun netleştirilmesi.
- Verinin hangi sistemlerde bulunduğunun envanter üzerinden taranması.
- Silme talebine karşı bir saklama yükümlülüğü varsa bunun dayanağının yazılı olarak açıklanması.
- Verilen cevabın ve yapılan işlemin dosyalanması.
İnternet ortamındaki içerikle kesişim
Talep, arama sonuçlarında veya bir internet sitesinde yer alan içeriğe ilişkinse, süreç 5651 sayılı Kanun kapsamındaki başvuru yollarıyla kesişebilir. Bu durumda hangi yolun hangi sonucu doğuracağı ve ikisinin birlikte yürütülüp yürütülemeyeceği baştan değerlendirilmelidir.
Bu metin genel bir uyum çerçevesi sunar. Veri işleme faaliyetinin kapsamı ve sektörel mevzuat yükümlülükleri kurumdan kuruma değiştiğinden, envanter ve imha uygulamalarının hukuki gözle doğrulanması yerinde olur.