VERBİS kaydı bulunan bir veri sorumlusunda silme ve yok etme, tek seferlik bir işlem değil; saklama süresi dolan verinin periyodik olarak imhasını gerektiren süreklilik arz eden bir yükümlülüktür. KVKK (6698) çerçevesinde bu rehber, imha takviminin nasıl kurulacağına ve takvimin işletilmemesi hâlinde hem ilgili kişi hem de veri sorumlusu bakımından doğan süre kayıplarına odaklanır.
Saklama Süresi Bittiğinde Sayaç Yeniden Başlar
Her veri kategorisinin bir hukuki dayanağı ve bu dayanağa bağlı bir saklama süresi vardır. Dayanak ortadan kalktığında verinin tutulması kendiliğinden hukuka aykırı hâle gelir. Bu nedenle imha politikasında yer alması gereken temel bilgi, kategorinin adı değil, saklama süresinin hangi olayla başladığıdır: sözleşmenin sona ermesi, ilişkinin kesilmesi, rızanın geri alınması veya yasal zorunluluğun bitmesi.
İlgili Kişi Talebinden Kurul Başvurusuna Giden Hat
Silme talebi geldiğinde, veri sorumlusunun yanıt vermesi için kanunda öngörülen bir süre işler. Bu sürenin sessiz geçirilmesi ilgili kişi bakımından şikâyet yolunu açar. Talep gerekçeli reddedilirse dahi ilgili kişinin şikâyet süresi ret cevabının ulaştığı tarihten itibaren işlemeye başlar. Pratikte en sık görülen kayıp, kısmi cevabın verilip talebin bir bölümünün yanıtsız bırakılması ve tarafların hangi tarihin esas alınacağı konusunda ayrışmasıdır.
- Talebin geliş tarihi ve iletim kanalı kayda alınmalı
- Yanıtın gönderildiği tarih ispatlanabilir bir yolla saklanmalı
- Kısmi yanıt verilmişse hangi kalemin karşılandığı açıkça yazılmalı
- Yedek ortamlardaki kopyalar imha kaydına ayrıca işlenmeli
Periyodik İmha ile VERBİS Beyanı Uyumu
VERBİS beyanındaki saklama süreleri ile fiilen uygulanan imha periyodu arasındaki fark, denetimde ilk fark edilen tutarsızlıklardandır. Beyanda kısa süre gösterilip verinin daha uzun tutulması ya da imha kayıtlarının tutulmaması, tek başına bir usul eksikliği olmanın ötesinde ilgili kişi şikâyetlerinde aleyhe değerlendirilebilir. Beyan güncellemesi ile politika güncellemesinin aynı takvimde yürütülmesi bu riski azaltır.
Gecikmenin Zincirleme Etkisi
İmha takviminin aksaması yalnızca idari bir eksiklik doğurmaz; gereğinden uzun tutulan veri, ileride yaşanacak bir ihlalde etkilenen kişi sayısını ve tazminat riskini büyütür. Yedekler, arşiv sunucuları ve dışa aktarılmış tablolar imha kapsamına alınmadığında, ana sistemde silinen verinin kopyası tartışma yaratır. Bu yüzden imha kaydı yalnızca üretim ortamını değil, verinin bulunduğu her ortamı kapsamalıdır.
Yukarıdaki açıklamalar genel çerçeveyi anlatır. Veri kategorileri ve faaliyet konusu değiştikçe süre hesapları da değişeceğinden, kurumsal politikanın hukuki destekle gözden geçirilmesi tavsiye edilir.