Veri sorumlusu için asıl risk, VERBİS kaydını yapmış olmakla yükümlülüğün tamamlandığını varsaymaktır. 6698 sayılı KVKK bakımından beyan edilen envanter ile sistemlerdeki fiilî durum uyuşmadığında, ihlal genellikle bir denetimde değil, ilgili kişinin silme talebiyle ortaya çıkar. 5651 sayılı Kanun kaynaklı log tutma yükümlülüğü de bu tabloya ayrı bir katman ekler. Bu rehber, beyan ile uygulama arasındaki açığı kapatmaya odaklanır.
Beyan ile Fiilî Envanter Uyuşmadığında
VERBİS bildiriminde yer alan veri kategorileri, aktarım alıcı grupları ve saklama süreleri, kişisel veri işleme envanteriyle birebir örtüşmelidir. Uygulamada en sık görülen tutarsızlık, beyanda kısa bir saklama süresi gösterilirken sistemlerde verinin süresiz tutulmasıdır. Bu durum, ilgili kişinin silme talebi geldiğinde savunulabilir bir gerekçe bırakmaz.
İmha Politikasını İşler Hâle Getirmek
- Her veri kategorisi için saklamayı gerektiren hukuki dayanak yazılı olarak belirlenir.
- Dayanağın sona erdiği an, sistemde otomatik bir tetikleyiciye bağlanır.
- Silme, yok etme ve anonim hâle getirme yöntemlerinden hangisinin uygulanacağı ortama göre seçilir.
- Periyodik imha tarihleri takvime işlenir ve her turda tutanak düzenlenir.
- İmha işleminin gerçekleştiğini gösteren kayıtlar denetlenebilir biçimde saklanır.
Periyodik İmha ile Talep Üzerine Silme Farkı
Periyodik imha, saklama süresi dolan verilerin kendi takvimi içinde temizlenmesidir. İlgili kişinin talebi üzerine silme ise ayrı bir süreçtir ve kendi yanıt süresine tabidir. İki süreci tek bir prosedürde toplamak, talep geldiğinde gecikmeye yol açar.
- Yedek ortamlardaki kopyaların imha kapsamına alınmaması
- Test ve geliştirme ortamlarında gerçek veri kullanılmaya devam edilmesi
- Anonim hâle getirildiği varsayılan veri kümesinin tekrar ilişkilendirilebilir olması
- İş ortakları ve tedarikçilerdeki kopyalar için aktarım sözleşmesinde imha yükümlülüğü öngörülmemesi
Log Kayıtları ve Kesişen Yükümlülükler
Erişim ve işlem kayıtlarının belirli süre tutulması gerektiği hâllerde, bu kayıtlar silme talebinin kapsamı dışında kalabilir. Ancak bu istisnanın sınırı, yalnızca yükümlülüğün gerektirdiği veriyle sınırlıdır. Log kaydı içinde gereğinden fazla kişisel veri tutuluyorsa, istisna bütün kayıt bakımından ileri sürülemez. Bu ayrımın envanterde açıkça gösterilmesi, talep yanıtlarını savunulabilir kılar.
Talep Geldiğinde Süre Yönetimi
İlgili kişi başvurusu ulaştığında yanıt süresi işlemeye başlar. Talebin hangi veri kategorisini kapsadığı netleştirilmeli, kısmen reddedilecekse gerekçe kalem kalem yazılmalıdır. Gerekçesiz veya geç verilen yanıt, Kurula şikâyet yolunun açılmasına ve idari yaptırım riskine zemin hazırlar.
Bu içerik genel bilgilendirme amaçlıdır; kurumun veri işleme yapısı ve sektörel mevzuat tabloyu değiştirir. Envanter ile VERBİS beyanı arasındaki uyumun düzenli olarak hukuki ve teknik ekiplerce birlikte gözden geçirilmesi yerinde olur.