Veri Sorumluları Sicil Bilgi Sistemine kayıt, birçok kurumda tek seferlik bir formalite gibi ele alınır. Oysa sicildeki beyan ile şirketin gerçekte yaptığı işleme faaliyeti arasındaki uyumsuzluk, bir denetim ya da şikâyet hâlinde ilk gündeme gelen başlıktır. Bu rehber, 6698 sayılı Kanun çerçevesinde sicil kaydı ile silme, yok etme ve anonim hâle getirme yükümlülüğü arasındaki bağı uygulama gözüyle ele alır.
Sicil Beyanı Envanterle Uyumlu Olmalı
Kayıt sırasında beyan edilen veri kategorileri, işleme amaçları, aktarım alıcı grupları ve saklama süreleri, kişisel veri işleme envanterinden türetilir. Envanter güncellenmeden yeni bir yazılım devreye alınması ya da yeni bir tedarikçiyle çalışılması, beyanla gerçeğin ayrışmasına yol açar.
- Yeni işe alınan araç ve uygulamaların envantere işlenmesi
- Yurt dışına aktarım varsa bunun ayrıca gösterilmesi
- Özel nitelikli veri işleniyorsa ek tedbirlerin kayıt altına alınması
- İrtibat kişisi bilgilerinin güncel tutulması
Saklama Süresi Bittiğinde Ne Yapılmalı
Saklama ve imha politikası, sürelerin yalnızca yazıldığı bir belge değil, periyodik imha işlemlerinin fiilen yürütüldüğünü gösteren bir sistem olmalıdır. Uygulamada en sık rastlanan usul hatası, politikada altı aylık periyot öngörülmesine rağmen imha tutanaklarının hiç düzenlenmemesidir. Silme, yok etme ve anonim hâle getirme yöntemleri birbirinden farklıdır ve veri türüne göre seçilmelidir.
- Verinin hangi sistemde, kaç kopya hâlinde bulunduğunun tespiti
- Yedekleme ortamlarındaki kopyalar için ayrı yöntem belirlenmesi
- İşlemin tarih, kapsam ve sorumluyu gösteren tutanakla kayda geçirilmesi
- Anonimleştirmenin geri döndürülemez olduğunun test edilmesi
İlgili Kişi Başvurusu Geldiğinde Süre İşler
Veri sahibinin silme talebiyle başvurması hâlinde veri sorumlusunun kanunda öngörülen süre içinde yanıt vermesi gerekir. Cevapsız bırakılan ya da gerekçesiz reddedilen başvurular, Kurula şikâyet yolunu açar. Talebin kısmen reddedilmesi gerekiyorsa, saklamayı zorunlu kılan hukuki sebebin başvurana açıkça yazılması sonraki aşamada savunmanın temelini oluşturur.
Sicil Kaydı Tek Başına Koruma Sağlamaz
Kayıt yükümlülüğünün yerine getirilmiş olması, aydınlatma yükümlülüğü, açık rıza yönetimi ve veri güvenliği tedbirleri bakımından ayrıca sorumluluk doğmayacağı anlamına gelmez. Bu başlıkların her biri ayrı belge seti ister ve tek bir metinle karşılanamaz.
Buradaki değerlendirmeler genel niteliktedir; kurumun büyüklüğü, sektörü ve işlediği veri türleri yükümlülüklerin kapsamını değiştirir. Denetim ya da şikâyetle karşılaşmadan önce belgelerin hukuki gözle gözden geçirilmesi yerinde olur.