Kişisel veri uyuşmazlıklarında iki ayrı yükümlülük sık sık birbirine karıştırılır: VERBİS kaydı bir bildirim ve şeffaflık yükümlülüğüdür; silme, yok etme veya anonim hale getirme ise verinin yaşam döngüsünün sonuna ilişkin bir işleme faaliyetidir. 6698 sayılı KVKK kapsamında biri yerine getirilmiş olsa bile diğeri eksik kalabilir.
Kayıt ile Uygulama Arasındaki Boşluk
Sicile bildirilen kategori ve saklama süreleri ile fiilen kullanılan sistemlerdeki durum çoğu zaman örtüşmez. Denetimde en çok karşılaşılan tablo şudur: bildirimde belirli bir saklama süresi yazılmıştır, ancak veri tabanında o süreyi aşan kayıtlar silinmeden durmaktadır. Bu nedenle sicil bildirimi, teknik envanterin özeti olarak değil, envanterle senkron tutulan canlı bir belge olarak ele alınmalıdır.
İlgili Kişi Talebinin İşleyişi
Veri sahibi önce veri sorumlusuna başvurur; talebin reddi, yetersiz yanıtlanması veya süresinde yanıtsız bırakılması halinde Kurula şikâyet yolu açılır. Bu iki aşama arasında işleyen süreler kaçırıldığında şikâyet usulden değerlendirilmeyebilir. Başvurunun yönetilmesinde şu noktalar kritik önemdedir:
- Başvurunun kimlik doğrulaması yapılabilecek bir kanaldan alınması
- Talebin hangi veri kategorisine ve hangi işleme faaliyetine yönelik olduğunun netleştirilmesi
- Yanıt tarihinin ve içeriğinin kayıt altına alınması
- Kısmi olumlu yanıt verilmişse hangi kalemin karşılanmadığının açık yazılması
Silme Talebinin Sınırları
Her silme talebi karşılanmak zorunda değildir. Bir kanun hükmü verinin belirli bir süre saklanmasını gerektiriyorsa ya da bir hukuki talebin tesisi için veri zorunluysa, talep gerekçeli biçimde reddedilebilir. Burada ölçüt keyfî bir iş ihtiyacı değil, gösterilebilir bir hukuki dayanaktır. Ret kararının gerekçesiz bırakılması, esasen haklı olan bir uygulamayı bile savunulamaz hale getirir. Yedekler, arşiv ortamları ve üçüncü taraf hizmet sağlayıcılara aktarılmış kopyalar da silme kapsamına dâhil edilmelidir; yalnızca ana veri tabanından silmek talebi karşılamaz.
Şikâyet mi, Uyum Planı mı?
Veri sorumlusu tarafında, bir talebin şikâyete dönüşmeden çözülmesi çoğu zaman daha az maliyetlidir. Bunun için ilk yanıtta yalnızca hukuki gerekçe değil, uygulanan somut adımın da açıklanması gerekir. İlgili kişi tarafında ise şikâyet yolu ile tazminat talebinin farklı süreçler olduğu unutulmamalıdır; idari süreçten çıkan sonuç, zararın giderilmesini kendiliğinden sağlamaz.
Uygulama Sırası
- Veri envanteri ile sicil bildirimi kalem kalem karşılaştırılır.
- Her veri kategorisi için saklama ve imha süresi tanımlanır.
- Periyodik imha takvimi kurulur ve uygulandığı belgelenir.
- Gelen taleplerin kayıt, yanıt ve sonuç aşamaları tek bir defterde izlenir.
- Yedek ve aktarım noktaları imha kapsamına eklenir.
Kişisel veri uygulamaları, kurumun büyüklüğüne ve işlediği veri türüne göre farklılaşır. Buradaki açıklamalar genel çerçeve sunar; kendi süreçlerinizi hukuki ve teknik yönüyle birlikte gözden geçirmeniz önerilir.