6698 sayılı KVKK kapsamındaki iki yükümlülük uygulamada sık sık birbirinden kopuk yürütülür: Veri Sorumluları Sicili'ne (VERBİS) kayıt ve beyan güncelliği ile kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesi. Oysa bunlar aynı envanterin iki yüzüdür; birinde yapılan beyan, diğerinde denetim ölçütü hâline gelir.
Envanter Olmadan Ne Sicil Ne Saklama Politikası Doğru Kurulur
Kişisel veri işleme envanteri, hangi verinin hangi amaçla, hangi hukuki sebeple ve ne kadar süreyle tutulduğunu gösterir. VERBİS beyanı bu envanterden türetilir; saklama ve imha politikası da aynı kaynaktan beslenir. Envanter yoksa beyanla fiilî durum arasında fark oluşur ve bu fark, bir şikâyet üzerine yapılan incelemede ilk yakalanan husustur.
Beyan ile Uygulamanın Ayrıştığı Tipik Noktalar
- Sicilde belirtilen saklama süresi dolduğu hâlde kayıtların sistemde durması
- Yedek ortamlarda silinmemiş kopyaların bulunması
- Aktarım yapılan üçüncü taraflar listesinin güncellenmemesi
- İşe alım süreçlerinde toplanan özgeçmişler için imha süresi tanımlanmaması
- Kamera kayıtlarının politika metninde yazandan uzun süre tutulması
İlgili Kişinin Silme Talebi Geldiğinde İşleyen Saat
Silme talebi bir başvuruyla geldiğinde, kurumun elindeki süre artık kendi iç planına göre değil kanuna göre işler. KVKK, veri sorumlusunun başvuruyu en kısa sürede ve en geç otuz gün içinde sonuçlandırmasını öngörür. Başvurunun reddi, verilen yanıtın yetersiz bulunması veya süresinde yanıt verilmemesi hâlinde ilgili kişi Kurul'a şikâyette bulunabilir. Bu nedenle başvuru kayıt sistemi kurulmalı ve her başvuru için geliş tarihi, yanıt tarihi ve verilen cevabın içeriği saklanmalıdır.
Tebligat ve İletişim Kanalının Gözden Kaçan Riski
Uyum dosyalarında en sık görülen aksaklık, başvuruların kuruma ulaştığı hâlde ilgili birime iletilmemesidir. Sicilde bildirilen iletişim adresi güncel değilse ya da başvurular genel bir kurumsal e-posta kutusunda beklerse, otuz günlük süre kurum farkında olmadan tüketilir. Aynı sorun Kurul yazışmaları için de geçerlidir: tebligatın geç fark edilmesi, savunma ve bilgi-belge sunma süresini fiilen kısaltır.
Yıllık Uyum Döngüsü İçin Kontrol Sırası
- Envanter gözden geçirilir; yeni işleme faaliyetleri eklenir.
- Saklama süreleri, dayandıkları hukuki sebeple birlikte yeniden doğrulanır.
- Süresi dolan kayıtlar için periyodik imha uygulanır ve tutanağa bağlanır.
- VERBİS beyanı envanterle karşılaştırılarak güncellenir.
- Başvuru kayıt defteri ve yanıt süreleri denetlenir.
- Aktarım yapılan tedarikçilerle sözleşmesel taahhütler yenilenir.
Kişisel veri uyumu, tek seferlik bir belge üretimi değil sürekli işleyen bir yönetim süreci olarak tasarlandığında anlamlı olur. Bu yazı genel çerçeve sunar; kurumunuzun veri akışına özgü yükümlülükleri belirlemek için alanında çalışan bir hukukçudan destek almanız uygun olacaktır.