Veri koruma denetimlerinde en sık karşılaşılan tablo, kağıt üzerindeki beyan ile fiili uygulamanın birbirini tutmamasıdır. VERBİS'te kısa bir saklama süresi bildirilirken sistemlerde yılların verisi durur. 6698 sayılı KVKK ve 5651 sayılı Kanunun kesiştiği bu alanda risk, çoğu zaman kötü niyetten değil kayıt disiplininin kurulmamasından doğar.
VERBİS Beyanı Bir Vitrin Değil, Taahhüttür
Sicile bildirilen veri kategorileri, aktarım alıcı grupları ve saklama süreleri; bir inceleme sırasında ilk karşılaştırma ölçütü olarak kullanılır. Bildirim yapıldıktan sonra iş süreçleri değiştiği halde kayıt güncellenmediğinde, ortaya kendi beyanıyla çelişen bir yapı çıkar. Yeni bir yazılım, yeni bir tedarikçi veya yeni bir kamera sistemi devreye alındığında sicil kaydının da gözden geçirilmesi gerekir.
Saklama Süreleri Tablosunun Kurulması
Her veri kategorisi için sürenin dayanağı ayrı ayrı gösterilmelidir: bir kanundan mı, sözleşme ilişkisinden mi, yoksa meşru bir ihtiyaçtan mı kaynaklanıyor. Farklı mevzuatın farklı süreler öngördüğü hallerde en uzun süre esas alınır ve bu tercih yazılı olarak gerekçelendirilir. Süre dayanağı yazılmayan kalemler, denetimde savunulması en zor bölümü oluşturur.
Silme, Yok Etme ve Anonim Hale Getirme Ayrımı
- Silme: verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve kullanılamaz hale getirilmesi
- Yok etme: verinin hiç kimse tarafından geri getirilemeyecek biçimde ortadan kaldırılması
- Anonim hale getirme: verinin kimliği belirli bir kişiyle ilişkilendirilemeyecek duruma dönüştürülmesi
Uygulamada en sık yapılan hata, veri tabanında yalnızca bir işaretleme yapılarak kaydın silinmiş sayılmasıdır. Yedeklerde, günlük kayıtlarında ve dışa aktarılmış dosyalarda aynı verinin durmaya devam etmesi, beyanla fiili durum arasındaki açığı büyütür.
Periyodik İmha ve Kayıt Disiplini
İmha politikası olan kuruluşların bu işlemi düzenli aralıklarla tekrarlaması ve her turu belgelemesi beklenir. Tutulacak kayıtta imhanın tarihi, kapsamı, yöntemi ve işlemi yapan kişi bulunmalıdır. İlgili kişiden gelen silme taleplerinin ise ayrı bir kütükte, başvuru ve cevap tarihleriyle birlikte izlenmesi gerekir; cevapsız kalan başvurular şikayet yolunu açar.
Bilgilendirme
Yukarıdaki çerçeve genel niteliktedir; kuruluşun faaliyet alanı, veri hacmi ve sistem mimarisi uygulamayı değiştirir. Sicil kaydınızı fiili süreçlerinizle karşılaştıran bir gözden geçirme yapmadan önce hukuki ve teknik ekibin birlikte çalışması yerinde olur.