Kişisel veri süreçlerinde en sık karşılaşılan tablo şudur: VERBİS bildirimi yıllar önce yapılmış, kişisel veri işleme envanteri bir kez hazırlanıp rafa kaldırılmış, saklama ve imha politikası ise hiç uygulanmamıştır. Bu rehber, 6698 sayılı KVKK çerçevesinde beyan ile fiilî durum arasındaki açığın nasıl kapatılacağını, silme ve yok etme yükümlülüğü ekseninde ele alır.
VERBİS Beyanı Neyi Bağlar
Sicile yapılan bildirim, yalnızca idari bir formalite değil; veri sorumlusunun kendi süreçleri hakkındaki resmî beyanıdır. Bir denetimde ilk yapılan iş, beyan edilen veri kategorileri ile fiilen tutulan kayıtların karşılaştırılmasıdır. Beyanda görünmeyen bir veri türünün sistemlerde bulunması ya da beyan edilen saklama süresinin sonunda verinin hâlâ erişilebilir olması, tek başına açıklanması güç bir çelişki yaratır.
Politika ile Envanterin Uyuşmaması
Saklama ve imha politikası çoğunlukla genel ifadelerle yazılır; envanter ise süreç bazlıdır. İkisi arasında köprü kurulmadığında, hangi verinin hangi tarihte imha edileceği belirsiz kalır. Uygulamada işlevsel olan yaklaşım, her veri kategorisi için saklama gerekçesini (sözleşme, kanuni yükümlülük, meşru menfaat) ve süre sonunda uygulanacak yöntemi (silme, yok etme, anonim hâle getirme) tek bir tabloda eşleştirmektir. Yedek ortamlar ve arşiv sunucuları bu tabloya dâhil edilmediğinde imha kâğıt üzerinde kalır.
Riski Düşüren Kontrol Listesi
- Periyodik imha dönemleri takvime bağlandı mı, imha tutanakları saklanıyor mu?
- Yedeklerde ve test ortamlarında gerçek veri kullanımı sürüyor mu?
- İşten ayrılan personelin erişim yetkileri kapatıldığında verileri de imha ediliyor mu?
- Tedarikçilerle yapılan sözleşmelerde sözleşme bitiminde iade veya imha kaydı var mı?
- Anonimleştirme olarak adlandırılan işlem gerçekten geri döndürülemez mi?
- İlgili kişi başvurularına verilen yanıtlar kayıt altında tutuluyor mu?
Başvuru Şikâyete Dönüşürse
Silme talebine süresinde ve gerekçeli yanıt verilmemesi, çoğu şikâyetin çıkış noktasıdır. Yanıt metninde talebin kısmen reddedildiği hâllerde ret sebebinin hangi hukuki dayanağa (örneğin kanuni saklama zorunluluğuna) bağlandığı açıkça yazılmalıdır. Gerekçesiz ret ile gerekçeli kısmi ret arasındaki fark, dosyanın sonraki aşamasında belirleyici olur.
Mutabakat mı, Yargı Yolu mu
İlgili kişiyle doğrudan iletişim kurup verinin imha edildiğini belgelemek çoğu zaman en hızlı çözümdür; ancak imha edildiği söylenen verinin yedeklerde durduğu sonradan ortaya çıkarsa mutabakat metni aleyhe delile dönüşür. Bu nedenle uzlaşma yönünde adım atmadan önce teknik doğrulama tamamlanmalıdır.
Bu yazı bilgilendirme amacı taşır. Şirketinizin veri mimarisi ve sektörel mevzuatı sonuçları değiştirebileceğinden, uygulamaya geçmeden önce hukuki görüş alınması önerilir.