Kişisel veri uyumluluğunda kâğıt üzerindeki politika ile fiilî uygulama arasındaki fark, denetim anında ortaya çıkar. KVKK ve 6698 kapsamında sicile kayıt yükümlülüğü bulunan veri sorumlularının en çok zorlandığı nokta, saklama ve imha politikasında yazan sürelerin gerçekten uygulandığını belgeleyememektir. Bu rehber, silme, yok etme ve anonim hâle getirme işlemlerinin izlenebilir kaydını kurmaya odaklanır.
Sicil Kaydı ile İmha Politikası Arasındaki Tutarlılık
Sicile bildirilen veri kategorileri, aktarım alıcı grupları ve azami saklama süreleri, kurum içindeki envanterle birebir örtüşmelidir. Uygulamada sık görülen tutarsızlık şudur: bildirimde belirli bir saklama süresi yazılır, ancak eski sistemlerde o veri hâlâ durur. Bir şikâyet üzerine yapılacak incelemede bu fark, tek başına yükümlülük ihlali tartışması doğurur. Bu yüzden envanter güncellemesi ile bildirim güncellemesi aynı işin iki adımı olarak planlanmalıdır.
Silme Talebi Geldiğinde İşleyen Takvim
İlgili kişinin talebi, önce veri sorumlusuna yapılır; cevapsız kalması, yetersiz olması veya reddedilmesi hâlinde Kurula şikâyet yolu açılır. Buradaki kritik nokta, cevabın verildiği tarihin ve içeriğinin ispatıdır. Talebin hangi kanaldan geldiği, kimliğin nasıl doğrulandığı ve cevabın nasıl iletildiği kayıt altına alınmazsa, sonraki aşamada süresinde cevap verildiği savunması dayanaksız kalır.
İmha İşlemini Belgelemenin Pratik Yolları
- Her imha turu için tarih, kapsam, yöntem ve sorumluyu gösteren tutanak düzenlenmesi
- Yedeklerde kalan kopyaların ayrı bir başlıkla izlenmesi ve yedek dönüş senaryosunun politikaya yazılması
- Kâğıt ortamındaki kayıtlar için imha yönteminin ayrıca belirtilmesi
- Veri işleyen sıfatındaki hizmet sağlayıcılardan imha teyidinin sözleşmeye bağlanması
- Anonim hâle getirme iddiası varsa, geri döndürülemezliğin nasıl sağlandığının açıklanması
Periyodik İmha Süresini Kaçırmamak İçin Kontrol Noktaları
- Politikada belirlenen periyodik imha dönemleri kurumsal takvime işlenir ve hatırlatıcıya bağlanır.
- Her dönem öncesi, süresi dolan veri kategorileri sistem sorgusuyla listelenir.
- İmha edilemeyen kayıtlar için hukuki dayanak yazılı olarak not edilir; sessizce bırakılmaz.
- Dönem sonunda tutanaklar tek dosyada toplanır ve envanterle karşılaştırılır.
Sonuç
Silme ve yok etme yükümlülüğünde asıl sınav, işlemi yapmış olmak değil yaptığını gösterebilmektir. Burada anlatılanlar genel çerçeveyi tarif eder; kurumun veri hacmi, sektörel mevzuatı ve sistem altyapısı yükümlülüğün kapsamını değiştirebileceğinden, uyum çalışmasının kuruma özgü biçimde değerlendirilmesi önerilir.