Kişisel verilerin korunmasında uyum çalışmalarının iki ayağı çoğu kurumda birbirinden kopuk yürütülür: bir yanda VERBİS kaydı ve envanter, diğer yanda saklama ile imhaya ilişkin fiili uygulamalar. 6698 sayılı Kanun kapsamında bu iki ayağın uyumsuzluğu, denetim anında en hızlı fark edilen zafiyettir. Bu rehber, kayıt ile imha politikasının aynı takvimde nasıl yürütüleceğini ele alıyor.
Envanter ile Beyanın Örtüşmesi
VERBİS'e girilen veri kategorileri, aktarım alıcı grupları ve saklama süreleri, kişisel veri işleme envanteriyle birebir örtüşmelidir. Uygulamada beyan bir kez yapılıp güncellenmeden bırakılmakta, kurum içinde ise yeni sistemler ve yeni aktarımlar devreye girmektedir. Beyandaki saklama süresi ile fiili imha uygulamasının farklı olması, tek başına bir uyumsuzluk göstergesi sayılır.
İmha Politikasının Zorunlu Bileşenleri
- Her veri kategorisi için tanımlı saklama süresi ve dayanağı
- Silme, yok etme ve anonim hale getirme yöntemlerinin ayrı ayrı belirlenmesi
- Periyodik imha döngüsünün takvime bağlanması
- İmha işlemlerini gösteren tutanak ve log kayıtları
- Yedek ortamlar ile arşiv sistemlerinin kapsama dahil edilmesi
Yedekler ve Arşivler Neden Unutuluyor
Silme talebi yerine getirilirken çoğunlukla yalnızca canlı sistem üzerinde işlem yapılır; yedek ortamlar, e-posta arşivleri ve dışa aktarılmış raporlar gözden kaçar. Bir veri sahibi başvurusu sonrasında verinin başka bir ortamda hâlâ bulunduğunun anlaşılması, hem başvurunun karşılanmadığı anlamına gelir hem de kurumun kayıt sisteminin güvenilirliğini zayıflatır.
Veri Sahibi Başvurusunda İşleyen Süre
İlgili kişinin veri sorumlusuna yaptığı başvurunun cevaplanması, kanunda öngörülen süre içinde yapılmalıdır. Cevapsız kalan veya yetersiz cevaplanan başvurular, idari başvurunun kapısını açar. Bu nedenle başvurunun kuruma ulaştığı tarih, hangi birime yönlendirildiği ve cevabın gönderim tarihi kayıt altında tutulmalı; süre yönetimi tek bir sorumluya bağlanmalıdır.
Denetim Öncesi Hızlı Öz Değerlendirme
- VERBİS beyanı son altı ayda gözden geçirildi mi?
- Envanterde yer alan her aktarım için hukuki sebep yazılı mı?
- Periyodik imha en son ne zaman ve hangi tutanakla yapıldı?
- Aydınlatma metinleri güncel işleme faaliyetlerini kapsıyor mu?
- İhlal bildirimi için iç akış tanımlı ve test edilmiş mi?
Bu metin genel bilgilendirme amacı taşır. Kurumun büyüklüğü, işlenen veri kategorileri ve sektör düzenlemeleri yükümlülüklerin kapsamını değiştirebilir; uyum çalışmasını kendi süreçlerinize göre hukuki destekle şekillendirmeniz uygun olur.