VERBİS kaydı, çoğu kurumda tek seferlik bir form doldurma işi gibi görülür. Oysa kayıt, işlenen verinin envanterini beyan etmek anlamına gelir ve beyanla fiili durum arasındaki her fark bir uyum açığıdır. KVKK (6698) ve internet ortamındaki içerikler bakımından 5651 ekseninde bakıldığında, silme ve yok etme yükümlülüğü bu envanterin doğal devamıdır. Bu rehber, kaydı yaptıktan sonra asıl işin nerede başladığını anlatır.
Envanter ile beyan arasındaki açık
Kişisel veri işleme envanteri; hangi verinin, hangi amaçla, hangi hukuki sebeple işlendiğini, kimlere aktarıldığını ve ne kadar saklanacağını gösterir. VERBİS beyanı bu envanterin özetidir. Uygulamada en sık rastlanan sorun, envanterde yer almayan bir veri kategorisinin fiilen işlenmesi ya da beyan edilen saklama süresinin sistemde hiç uygulanmamasıdır. Denetim halinde ilk sorulan da bu tutarlılıktır.
Saklama ve imha politikasının işler olması
- Her veri kategorisi için saklama süresini, dayandığı mevzuat ya da meşru gerekçeyle birlikte yazın.
- Sürenin dolmasıyla hangi yöntemin uygulanacağını belirleyin: silme, yok etme ya da anonim hale getirme.
- Periyodik imha takvimini tanımlayın ve her imha işlemi için tutanak üretin.
- Yedekler, arşiv sistemleri ve üçüncü taraf hizmet sağlayıcılardaki kopyaları da kapsama alın.
- Anonimleştirme iddiasında bulunuyorsanız, geri döndürülemezliğin teknik olarak nasıl sağlandığını belgeleyin.
Başvuru sırası: önce veri sorumlusu
- İlgili kişi, silme veya yok etme talebini önce veri sorumlusuna yöneltir; bu adım atlanırsa şikâyet usulden reddedilebilir.
- Veri sorumlusu, başvuruyu kanunda öngörülen süre içinde ve gerekçeli olarak cevaplamak zorundadır.
- Cevap verilmemesi ya da talebin reddi halinde Kurula şikâyet yolu açılır.
- Kurul kararlarına karşı idari yargı yolu ayrıca değerlendirilir.
- Arama motoru sonuçlarından çıkarılma talebi ile kaynaktaki içeriğin kaldırılması ayrı taleplerdir ve muhatapları farklıdır.
Silinemeyen veri iddiasını gerekçelendirmek
Her talep kabul edilmek zorunda değildir; başka bir mevzuattan doğan saklama yükümlülüğü, hukuki bir talebin ileri sürülmesi ya da bir sözleşmenin ifası veriyi tutmayı gerektirebilir. Ancak bu durumda cevap, genel bir ret cümlesi değil, hangi verinin hangi dayanakla ne kadar süreyle tutulacağını gösteren somut bir açıklama olmalıdır. Talebin kısmen kabul edilip kalan verinin erişimi kısıtlanarak saklanması da uygulanabilir bir çözümdür.
Kurum içi sorumluluğu dağıtmak
Uyum yükü tek bir departmana bırakıldığında sürdürülemez hale gelir. İnsan kaynakları, bilgi işlem, satın alma ve pazarlama birimlerinin her biri kendi veri akışından sorumlu tutulmalı; yeni bir sistem ya da tedarikçi devreye alınmadan önce envanterin güncellenmesi zorunlu adım haline getirilmelidir. Aydınlatma metinleri ve açık rıza alınan noktalar da bu güncellemeyle birlikte gözden geçirilir.
Bu içerik genel bilgi amaçlıdır; kurumun büyüklüğü, işlenen verinin niteliği ve sektör mevzuatı yükümlülükleri değiştirir. Uyum çalışmasını bir hukukçu ve teknik ekiple birlikte yürütmeniz, beyanla uygulamanın örtüşmesini sağlar.