VERBİS yükümlülükleri ile kişisel verilerin silinmesi ve yok edilmesi, KVKK (6698) ve 5651 sayılı Kanun çerçevesinde veri sorumlusunun en çok denetlenen alanlarından biridir. Burada risk, çoğu zaman kötü niyet değil, silme işleminin yapıldığını belgeleyememektir. "Sildik" beyanı, silme kaydı yoksa denetimde ispatlanamaz.
Silme, Yok Etme ve Anonimleştirme Ayrımı
Uygulamada bu üç kavram sık sık birbirinin yerine kullanılır, oysa hukuki sonuçları farklıdır. Verinin geri döndürülemez biçimde erişilemez kılınması, fiziken imhası veya kimliği belirleyemez hâle getirilmesi ayrı yöntemlerdir. Hangi yöntemin seçildiği ve neden seçildiği, kayıt altına alınmadığında ispat sorunu doğar.
Delil Eksikliğinin Yaşandığı Noktalar
- Saklama ve imha politikasının yazılı olmaması veya güncellenmemesi
- Silme işleminin tarihini ve kapsamını gösteren log/tutanağın tutulmaması
- İlgili kişinin başvurusuna verilen yanıtın ve süresinin belgelenmemesi
- VERBİS kayıtları ile fiili işleme faaliyetinin birbirini tutmaması
İlgili Kişi Başvurusunu Doğru Yönetmek
Bir kişi verisinin silinmesini talep ettiğinde, veri sorumlusunun yanıt süresi ve içeriği önem taşır. Talebin alındığı an, verilen cevabın tarihi ve alınan aksiyon eşleştirilerek dosyalanmalıdır. Bu zincir eksikse, Kurul'a taşınan bir şikâyette veri sorumlusunun savunması zayıf kalır.
VERBİS Kaydı ile Sahayı Uyumlamak
VERBİS'e bildirilen veri kategorileri, saklama süreleri ve aktarımlar ile fiilen işlenen veriler birbiriyle tutarlı olmalıdır. Beyan ile uygulama arasındaki fark, tek başına bir uyumsuzluk göstergesi sayılabilir. Bu nedenle periyodik iç kontrolde beyan ve saha kayıtları karşılaştırılmalıdır.
Değerlendirme
Kişisel veri uyumunda asıl mesele, doğru olanı yapmak kadar yapıldığını gösterebilmektir. Silme ve yok etme işlemlerini kayıtla desteklemek, hem ilgili kişiye hem denetime karşı güvenli bir konum sağlar. Her kurumun veri envanteri farklı olduğundan, uyum sürecini alanında yetkin bir hukukçuyla yapılandırmanız yerinde olur.