Kişisel veri uyuşmazlıklarında yaptırıma giden yol çoğu zaman büyük bir ihlalden değil, kayıt ile fiilî uygulama arasındaki tutarsızlıktan geçer. VERBİS'te beyan edilen saklama süresi ile kurumun gerçekte uyguladığı imha pratiği örtüşmüyorsa, bu fark tek başına bir uygunsuzluk göstergesine dönüşür. Aşağıdaki çerçeve 6698 sayılı KVKK ve 5651 sayılı Kanun ekseninde, silme ve yok etme yükümlülüğünü usul riski açısından ele alıyor.
Beyan ile Uygulama Arasındaki Makas
VERBİS kaydı statik bir form değil, veri envanterinin dışa açılan yüzüdür. Envanterdeki her veri kategorisi için işleme amacı, hukuki sebep, aktarım alıcı grubu ve azami saklama süresi tanımlanır. Denetimde sorulan ilk soru genellikle şudur: beyan edilen süre dolduğunda veri fiilen ne oldu? Yedeklerde, e-posta arşivlerinde veya eski sunucu imajlarında duran kopyalar hesaba katılmadığında, beyan doğru olsa bile uygulama eksik kalır.
Denetime Hazırlık Listesi
- Saklama ve imha politikasının yürürlük tarihi ile envanterin güncellenme tarihi karşılaştırılır.
- Periyodik imha döngüsünün fiilen çalıştığını gösteren tutanak veya sistem kaydı var mı.
- Yedekleme ortamları, test veritabanları ve dışa aktarılmış dosyalar envantere dâhil mi.
- Veri sahibi başvurusuyla gelen silme talepleri için ayrı bir kayıt tutuluyor mu.
- Aktarım yapılan tedarikçilerin imha yükümlülüğü sözleşmeyle bağlanmış mı.
Silme, Yok Etme ve Anonim Hâle Getirme Ayrımı
Üç kavram birbirinin yerine kullanıldığında hem başvuru cevapları hem de savunma tutarsızlaşır. Silme, verinin ilgili kullanıcılar bakımından hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesini; yok etme, verinin hiç kimse tarafından geri getirilemeyecek biçimde ortadan kaldırılmasını; anonim hâle getirme ise verinin başka verilerle eşleştirilse dahi belirli bir kişiyle ilişkilendirilememesini ifade eder. Bir talebe “sildik” yanıtı verip veriyi arşivde tutmak, sonraki aşamada beyanın gerçeğe aykırılığı tartışmasını doğurur.
Usul Kusuru Nerede Doğuyor
Uygulamada en çok karşılaşılan usul sorunları; başvurunun süresi içinde ve yazılı biçimde yanıtlanmaması, yanıtın talebin kapsamını karşılamaması ve veri sorumlusuna başvuru aşaması atlanarak doğrudan şikâyet yoluna gidilmesidir. KVKK kural olarak önce veri sorumlusuna başvurulmasını, sonuç alınamazsa Kurula şikâyet edilmesini öngörür. Bu sıranın atlanması, esasa girilmeden usulden bir değerlendirmeyle karşılaşma sonucunu doğurabilir.
Sonuç Olarak
Buradaki başlıklar bir uyum çalışmasının yerini tutmaz; her kurumun veri akışı kendine özgüdür. İmha politikasının hazırlanması ya da bir başvuruya yanıt verilmesi aşamasında, süreci belgeleriyle birlikte değerlendirecek bir hukuki görüş almak faydalı olacaktır.