Veri sorumluları için uyum yalnızca bir sicil kaydından ibaret değildir. 6698 sayılı Kişisel Verilerin Korunması Kanunu, işleme faaliyetinin bildirilmesini isterken aynı zamanda amacı ortadan kalkan verinin silinmesini, yok edilmesini veya anonim hâle getirilmesini de yükümlülük olarak öngörür. Bu rehber, sicil kaydı ile imha süreçleri arasındaki bağı kurar ve ilgili kişi başvurularında tebligat gecikmesinin doğurduğu sonuçları ele alır.
Sicil Kaydı ile Envanterin Örtüşmesi
Uygulamadaki en yaygın uyumsuzluk, sicile bildirilen kategoriler ile fiilen işlenen veriler arasındaki farktır. Kayıt bir kez yapılıp unutulduğunda, yeni bir hizmet başlatıldığında ya da yeni bir yazılım devreye alındığında envanter geride kalır. Bu nedenle şu kontroller dönemsel olarak yapılmalıdır:
- İşlenen veri kategorileri, alıcı grupları ve aktarım yapılan taraflar güncel mi?
- Her işleme faaliyeti için dayanılan hukuki sebep açıkça belirlenmiş mi?
- Yurt dışına aktarım varsa buna ilişkin şartlar karşılanmış mı?
- Saklama süreleri veri kategorisi bazında tanımlanmış mı?
Saklama ve İmha Politikasını Çalışır Hâle Getirmek
Yazılı bir politika, uygulanmadığı sürece koruma sağlamaz. İmha süreci; periyodik tarama, sorumlu birim ve yöntem üçlüsüne bağlanmalıdır. Fiziki evrakta imha yöntemi, dijital ortamda ise geri döndürülemez silme yönteminin belgelenmesi gerekir. Yedeklerde kalan kopyalar sıkça atlanır; oysa yedek ortamında duran veri de işlenmeye devam eden veridir.
İlgili Kişi Başvurusu ve Tebligat Gecikmesi
Verisi işlenen kişi, silinmesini veya yok edilmesini talep ederek veri sorumlusuna başvurabilir. Veri sorumlusunun cevap vermesi için tanınan süre başvurunun ulaştığı tarihte başlar; cevapsız kalan ya da geç cevaplanan başvurular Kurul'a şikâyet yolunu açar.
- Başvuruların ulaştığı kanal tek bir kayıt defterinde toplanmalı, geliş tarihi damgalanmalıdır.
- Kurumsal elektronik tebligat ve KEP adresleri günlük kontrol edilmelidir.
- Cevap yazısının gönderim tarihi ve yöntemi delillendirilmelidir.
- Kurul'dan gelen bilgi ve belge talebi yazıları için ayrı bir takip takvimi kurulmalıdır.
Tebligatın geç fark edilmesi, yalnızca bir gecikme değildir; yükümlülüğün hiç yerine getirilmediği izlenimi doğurur ve idari süreçte aleyhe değerlendirilir.
Aydınlatma ile Açık Rızayı Ayrı Tutmak
Aydınlatma yükümlülüğü her işleme faaliyetinde yerine getirilmesi gereken bir bilgilendirmedir; açık rıza ise ancak başka bir hukuki sebep bulunmadığında devreye giren istisnai bir dayanaktır. İkisinin tek bir metinde birleştirilmesi, rızanın özgür iradeyle verildiği tartışmasını doğurur ve tüm işleme faaliyetini sakatlar. 5651 sayılı Kanun kapsamındaki trafik kaydı yükümlülükleri ile KVKK'nın saklama sınırları da ayrı ayrı değerlendirilmelidir.
Bu metin genel bilgilendirme niteliğindedir. Sektör, işlenen verinin hassaslığı ve kurum büyüklüğü uyum gereklerini değiştirir; kendi süreçleriniz için bağımsız bir hukuki inceleme yaptırmanız yerinde olur.