Veri sorumluları için kayıt yükümlülüğü ile saklama ve imha politikası birbirini tamamlar. 6698 sayılı KVKK kapsamında VERBİS'e bildirilen işleme faaliyetleri ile fiilen yürütülen işlemeler arasındaki fark, denetimde ilk fark edilen uyumsuzluk başlığıdır. 5651 sayılı Kanun'dan doğan kayıt tutma yükümlülükleri de imha takviminde ayrıca dikkate alınmalıdır.
Kâğıt Üzerindeki Envanter ile Gerçek Sistem Aynı mı?
Uyum çalışmalarında en yaygın sorun, envanterin bir kez hazırlanıp güncellenmemesidir. Yeni bir insan kaynakları yazılımı devreye alındığında, bir pazarlama aracı eklendiğinde ya da bulut hizmet sağlayıcısı değiştiğinde envanter de değişmelidir. Bu nedenle envanter, bir belge değil sürekli güncellenen bir kayıt olarak ele alınmalıdır.
- Her veri kategorisi için işleme amacı ve hukuki sebebin ayrı yazılması
- Aktarım yapılan taraflar ile aktarım amacının eşleştirilmesi
- Saklama süresinin hangi mevzuata dayandığının belirtilmesi
- Yurt dışında barındırılan sistemlerin ayrıca işaretlenmesi
- Yedek ve arşiv ortamlarının envanter dışında bırakılmaması
Silme, Yok Etme ve Anonim Hale Getirme Arasındaki Fark
Bu üç kavram uygulamada birbirinin yerine kullanılır; oysa sonuçları farklıdır. Silme, verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve kullanılamaz hale getirilmesini; yok etme, verinin hiç kimse tarafından geri getirilemeyecek biçimde ortadan kaldırılmasını ifade eder. Anonim hale getirmede ise veri, kimliği belirli bir kişiyle ilişkilendirilemeyecek duruma getirilir. Politikada hangi veri tipine hangi yöntemin uygulanacağı açıkça yazılmalı ve yöntem teknik olarak uygulanabilir olmalıdır.
İmha Takviminde Sık Atlanan Noktalar
- Yedekleme ortamlarındaki kopyaların imha döngüsüne dahil edilmemesi
- Eski çalışanlara ait kayıtların ayrı bir saklama süresi olduğunun gözden kaçması
- Kâğıt arşivin dijital kayıtlarla aynı takvimde değerlendirilmemesi
- Hizmet sağlayıcıda kalan kopyaların sözleşmeyle güvence altına alınmaması
İlgili Kişi Başvurusu Geldiğinde İzlenecek Akış
Silme talebi ulaştığında önce verinin işlenmesini gerektiren hukuki sebebin devam edip etmediği değerlendirilir. Saklama yükümlülüğü sürüyorsa talep gerekçeli biçimde karşılanamaz; bu durumda cevabın hangi mevzuata dayandığı açıkça yazılmalıdır. Cevapsız bırakmak ya da genel ifadelerle yanıt vermek, şikâyet yoluna gidilmesi halinde kurumun konumunu zayıflatır.
Kurul Sürecinde Uzlaşma Alanı ile Yargı Yolu
Veri sorumlusu, ihlali fark ettiğinde eksiği hızlıca gidererek ilgili kişinin talebini karşılayabilir; bu, uyuşmazlığın idari aşamada sonlanmasını sağlayabilir. Buna karşılık kurumun hukuki sebebi bulunduğunu düşündüğü hallerde, verilecek idari karara karşı yargı yoluna başvurulması gündeme gelir. Bu tercihte, düzeltmenin maliyeti ile sürecin işletme üzerindeki yükü karşılaştırmalı olarak değerlendirilmelidir.
Bu rehber genel bilgilendirme amacıyla hazırlanmıştır; kurumun büyüklüğü, sektörü ve kullandığı sistemler yükümlülüklerin kapsamını değiştirir. Uyum çalışmasına başlamadan önce mevcut durumun bir hukukçu ve teknik ekiple birlikte tespit edilmesi tavsiye edilir.