KVKK uygulamasında VERBİS kaydı çoğu zaman bir kere yapılıp unutulan bir formalite gibi görülür. Oysa kayıttaki beyanlar ile saklama ve imha politikasının uyumsuz kalması, ilgili kişi başvurusu veya denetim halinde ilk sorulan konu olur. 6698 sayılı Kanun ve ilgili ikincil düzenlemeler ekseninde bu rehber, silme-yok etme yükümlülüğünü takvime bağlamaya odaklanır.
Kayıt ile Politika Arasındaki Bağ
VERBİS kaydında beyan edilen veri kategorileri, aktarım alıcı grupları ve azami saklama süreleri; kurum içindeki kişisel veri saklama ve imha politikasıyla birebir örtüşmelidir. Beyan edilen süre ile fiilen tutulan veri arasında fark varsa, bu fark denetimde tek başına bir uyumsuzluk göstergesidir.
Silme, Yok Etme ve Anonim Hale Getirme
Üç kavram birbirinin yerine kullanılamaz:
- Silme: verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi
- Yok etme: verinin hiç kimse tarafından geri getirilemeyecek biçimde ortadan kaldırılması
- Anonim hale getirme: verinin başka verilerle eşleştirilse dahi kimliği belirli bir kişiye bağlanamaması
Yedek ortamlardaki kopyalar unutulduğunda, ana sistemde yapılan silme işlemi hukuken tamamlanmış sayılmaz. Yedek üzerindeki imhanın nasıl ve ne zaman yapılacağı politikada ayrıca tanımlanmalıdır.
Periyodik İmha Takvimi Kurmak
- Her veri kategorisi için saklama gerekçesi yazılır: sözleşme, kanuni yükümlülük, meşru menfaat.
- Gerekçenin sona erme anı bir olaya bağlanır: ilişkinin bitişi, ödemenin tamamlanması, kanuni sürenin dolması.
- Bu anlar takvime düşülür ve sorumlu birim adıyla eşleştirilir.
- Her imha turu için tutanak düzenlenir ve saklanır.
Usule Aykırı İşlem Nasıl Doğuyor?
En yaygın hata, imhanın yapılmış olması ancak belgelenmemiş olmasıdır. Tutanaksız imha, sonradan ispatlanamadığı için hiç yapılmamış gibi değerlendirilebilir. İkinci yaygın hata, ilgili kişinin silme talebinin teknik ekibe iletilip hukuki yanıtın hiç yazılmamasıdır; veri fiilen silinse bile başvuruya yanıt verilmemiş olur.
Talep Geldiğinde İzlenecek Yol
Yazılı talep alındığında, önce talebin kapsamı netleştirilir: hangi veri, hangi sistem, hangi dönem. Talep kısmen karşılanabiliyorsa, karşılanan ve karşılanamayan kısım gerekçesiyle ayrı ayrı yazılır. Reddin dayanağı gösterilmediğinde, sonraki aşamada savunma alanı daralır.
Burada anlatılanlar genel çerçevedir; veri sorumlusunun büyüklüğü, sektörü ve işleme amaçları yükümlülüklerin kapsamını değiştirebileceğinden, kurumsal uyum çalışmasının hukuki destekle yürütülmesi önerilir.