Bir veri sorumlusunun VERBİS bildirimi ile fiilen işleyen silme ve yok etme düzeni birbirini tutmadığında ortaya çıkan tablo, eksik bir kayıttan ibaret değildir; 6698 sayılı KVKK bakımından savunulması güç bir uyumsuzluktur. Bu kontrol listesi, beyan ile pratiği aynı çizgiye getirmek isteyen kurumlar için usule aykırı işlem riskini azaltmaya odaklanır.
Beyan ile Uygulama Arasındaki Makas Nerede Açılır
VERBİS'e girilen veri kategorileri, alıcı grupları ve azami saklama süreleri, kurum içindeki imha düzeninin aynasıdır. Makas çoğunlukla üç yerden açılır: bildirimden sonra devreye alınan yeni bir yazılım, sözleşmesi sona ermiş bir tedarikçide kalan yedekler ve insan kaynakları süreçlerinde fiziki evrakın dijital kopyayla birlikte imha edilmemesi. Bu üç kalem, saklama sebebi ortadan kalktığı hâlde verinin sistemde yaşamaya devam etmesine yol açar.
Usule Aykırı İşlem Doğuran Tipik Noktalar
- VERBİS'te bildirilen azami saklama süresinin, saklama ve imha politikasındaki süreyle çelişmesi
- İmha yönteminin veri türüne göre ayrıştırılmaması ve yedek ortamların hiç anılmaması
- İlgili kişinin silme talebine verilen cevabın yazılı hâle getirilmemesi, sözlü teyitle yetinilmesi
- Veri işleyenle yapılan sözleşmede imha yükümlülüğünün ve teslim sonrası sürenin düzenlenmemesi
- Trafik ve erişim kayıtlarının 5651 kapsamındaki yükümlülükle karıştırılarak süresiz tutulması
Periyodik İmha Takviminin Kurulması
- Envanter sistem sistem değil süreç süreç çıkarılır; her sürecin çıktısı bir veri kategorisine bağlanır.
- Her kategori için hukuki saklama sebebi yazılır, sebep sona erdiğinde devreye girecek imha tetikleyicisi tanımlanır.
- Yedekleme ve arşiv ortamları ayrı bir sütunda izlenir; canlı sistemdeki silme buralara kendiliğinden yansımaz.
- Her imha işlemi tutanağa bağlanır, tutanakta yöntem, tarih, kapsam ve sorumlu birlikte yer alır.
- Takvim, VERBİS güncellemesiyle aynı gündeme alınır; biri değiştiğinde diğeri gözden geçirilir.
Denetimde İspat Kimde Kalır
Bir şikâyet incelemesinde tartışma, çoğunlukla silindiği yönündeki beyanın nasıl kanıtlandığı üzerinde yoğunlaşır. Sistemde geriye dönük hiçbir iz bırakmayan bir silme, ispat bakımından zayıf kalır. Bu nedenle imha tutanakları, ilgili kişiye verilen cevap yazıları ve tedarikçiden alınan imha teyitleri tek dosyada toplanmalı; dosya başvuru tarihinden itibaren süreç sırasına göre dizilmelidir. Anonim hâle getirme tercih edilmişse, verinin geri döndürülemez olduğunu gösteren teknik açıklama da eklenmelidir.
Kısa Bir Hatırlatma
Buradaki değerlendirmeler genel niteliktedir ve her kurumun veri işleme yapısı farklıdır. Sektöre özgü saklama yükümlülükleri sonucu değiştirebileceğinden, uygulamaya geçmeden önce kendi süreçleriniz üzerinden hukuki görüş alınması yerinde olur.