VERBİS bildirimi çoğu veri sorumlusunda tek seferlik bir formalite gibi ele alınır. Oysa sicile bildirilen kişisel veri kategorileri, aktarım alıcı grupları ve azami saklama süreleri ile şirket içinde fiilen uygulanan imha düzeni birbirini tutmadığında, hem ilgili kişi başvurularında hem de denetimlerde ilk kırılma noktası tam burada ortaya çıkar. Bu rehber, 6698 sayılı KVKK kapsamında sicil bildirimi ile silme, yok etme ve anonim hale getirme uygulamasını tek bir takvim üzerinde birleştirmek isteyen veri sorumluları için hazırlanmıştır.
Bildirilen Envanter ile Sahadaki Gerçeğin Örtüşmesi
VERBİS girişindeki en yaygın zafiyet, envanterin yalnızca ana iş uygulaması üzerinden çıkarılmasıdır. Personel bilgisayarlarındaki yerel tablolar, kamera kayıt sunucusu, çağrı merkezi ses kayıtları, kargo entegrasyonları ve yedekleme ortamları çoğu zaman envantere hiç girmez. Sicile bildirilen azami saklama süresi altı ay iken, yedek ortamında yıllardır duran bir kopyanın bulunması, tek başına yükümlülük ihlali tartışması doğurur.
Bu nedenle sicil güncellemesi öncesinde her veri kategorisi için üç soru yazılı olarak yanıtlanmalıdır: veri hangi hukuki sebeple işleniyor, hangi ortamlarda nüshası var, süre dolduğunda hangi teknik yöntemle ortadan kaldırılacak.
Silme, Yok Etme ve Anonimleştirme Aynı Şey Değildir
- Silme, verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesidir; kayıt fiziken sistemde kalabilir.
- Yok etme, verinin hiç kimse tarafından hiçbir şekilde erişilemez ve geri getirilemez hale getirilmesidir; ortamın imhasını gerektirebilir.
- Anonim hale getirme, verinin başka verilerle eşleştirilse dahi kimliği belirli bir kişiyle ilişkilendirilememesidir; maskeleme ile karıştırılmamalıdır.
Politika metninde bu üç kavramın hangi veri kategorisine uygulanacağı belirtilmemişse, başvuruya verilen cevap da soyut kalır ve şikâyet aşamasında savunma zayıflar.
Süre Baskısı Nereden Doğar
İlgili kişi önce veri sorumlusuna başvurur; veri sorumlusunun yanıt vermesi için kanunda azami bir süre öngörülmüştür. Bu süre içinde yanıt verilmemesi ya da yanıtın yetersiz bulunması halinde Kurula şikâyet yolu açılır ve şikâyet için de sınırlı bir zaman dilimi vardır. Başvuru tarihinin kayıt altına alınmaması, bu iki sürenin de hesaplanamaz hale gelmesine yol açar.
- Her başvuru geldiği anda tarih, kanal ve talep kalemleri tek bir kütüğe işlenir.
- Talep, kimlik doğrulaması tamamlanmadan reddedilmez; eksiklik varsa yazılı olarak istenir ve tarihi not edilir.
- Cevap metni, hangi verinin hangi yöntemle imha edildiğini kategori bazında gösterir.
- Reddedilen kısımlar için gerekçe, dayanılan hukuki sebep açıkça yazılır.
- İmha işleminin kendisi log, tutanak veya sistem kaydıyla belgelenir.
Denetimde İstenen İzler
Periyodik imha döneminde hiçbir kayıt silinmemiş olması tek başına hata değildir; hata, silinip silinmediğinin gösterilememesidir. Tutanak, otomatik iş kaydı ve yedek ortam rotasyon raporu, sicil bildirimindeki süre beyanının fiilen karşılandığını ispatlayan başlıca belgelerdir.
Bu metin genel bilgilendirme niteliğindedir. Veri sorumlusunun ölçeği, işleme faaliyetinin niteliği ve başvurunun içeriği yükümlülüklerin kapsamını değiştirebileceğinden, somut dosyada hukuki değerlendirme alınması yerinde olur.