Kişisel verilerin korunmasında yaptırım riski çoğu zaman büyük bir ihlalden değil, gecikmiş bir bildirimden veya süresi geçmiş bir imhadan doğar. 6698 sayılı KVKK ile 5651 sayılı Kanunun kesiştiği alanda faaliyet gösteren yapılar için VERBİS kaydı ve silme, yok etme ile anonim hâle getirme süreçleri, tarih tutmayı zorunlu kılan iki ayrı yükümlülüktür. Bu rehber, ikisini tek takvimde toplamaya odaklanır.
VERBİS Kaydını Canlı Tutmak
Kayıt yükümlülüğü bir kereye mahsus bir işlem değildir. Veri kategorilerinde, aktarım yapılan taraflarda, azami saklama sürelerinde veya yurt dışına aktarım durumunda değişiklik olduğunda bildirimin güncellenmesi gerekir. Uygulamada en sık görülen eksiklik, yeni bir yazılım ya da hizmet sağlayıcı devreye alındığında kaydın güncellenmemesidir. Bu nedenle tedarikçi değişikliği süreçlerine bir veri envanteri kontrol adımı eklenmesi pratik bir önlemdir.
Saklama ve İmha Politikasında Aranan Unsurlar
- Her veri kategorisi için saklama süresinin dayanağının gösterilmesi.
- Sürenin dolmasının ardından uygulanacak yöntemin belirlenmesi: silme, yok etme veya anonim hâle getirme.
- Periyodik imha işlemlerinin düzenli aralıklarla yapılması ve tutanağa bağlanması.
- Yedek ortamlardaki verilerin de imha kapsamına alınması.
- İmha işlemini gerçekleştiren kişilerin ve yetkilendirmenin kayıt altına alınması.
İlgili Kişi Başvurularında Süre Yönetimi
Veri sorumlusuna yapılan başvurular kanunda öngörülen süre içinde ve gerekçeli biçimde cevaplanmalıdır. Cevapsız bırakılan ya da yetersiz cevaplanan başvurular, Kurula şikâyet yolunu açar. Bu nedenle başvuruların tek bir kanaldan toplanması, geliş tarihinin otomatik damgalanması ve cevap taslaklarının hazır şablonlar üzerinden hızlıca hazırlanması gerekir. Silme talebi reddedilecekse, ret gerekçesinin hangi hukuki sebebe dayandığı açıkça yazılmalıdır; genel ifadeler sonraki aşamada zayıf kalır.
Uygulama Sırası
- Veri envanterini güncelleyip her kategori için saklama süresini yazın.
- VERBİS kaydını envanterle karşılaştırıp farkları listeleyin.
- Periyodik imha takvimini belirleyip sorumluları atayın.
- Başvuru cevap sürelerini izleyen basit bir kayıt defteri kurun.
- Log kayıtlarına ilişkin yükümlülükler varsa, bunların saklama süresini imha politikasıyla çelişmeyecek şekilde tanımlayın.
Çelişkiyi Erken Yakalayın
Farklı mevzuatlar aynı veri için farklı saklama süreleri öngörebilir. Bir kayıt, saklanması zorunlu olduğu için imha edilemiyorsa bu durum politikada gerekçesiyle gösterilmelidir; aksi hâlde hem imha etmemek hem de imha etmek yaptırım riski doğurabilir. Bu çelişkinin denetim sırasında değil, politika hazırlanırken çözülmesi gerekir.
Buradaki açıklamalar genel bilgilendirme amaçlıdır; faaliyet alanınız ve işlediğiniz veri türleri yükümlülükleri değiştirebileceğinden, uyum çalışmasının hukuki destekle yürütülmesi önerilir.