Veri envanteri ile imha politikası çoğu kurumda birbirinden kopuk yürütülür. Oysa 6698 sayılı Kanun bakımından VERBİS bildirimi, kurumun kendi beyanıdır; bir denetim başladığında ilk karşılaştırma bu beyan ile fiilî durum arasında yapılır. Beyanda yer alan saklama süresi ile sistemde duran verinin yaşı uyuşmuyorsa, imha eksikliği kendi kendini ihbar eder. 5651 sayılı Kanun kapsamındaki trafik kaydı yükümlülükleri de bu tabloya ayrı bir katman ekler.
Envanterden İmhaya Uzanan Zincir
Doğru kurgu şu sırayla ilerler: kişisel veri işleme envanteri çıkarılır, her veri kategorisi için hukuki sebep ve saklama süresi belirlenir, bu süreler VERBİS bildirimine yansıtılır ve saklama ile imha politikasında aynı sürelerle ifade edilir. Zincirin herhangi bir halkasında farklı bir süre yazılıysa, geri kalan tüm dokümantasyonun ispat gücü düşer.
Silme, Yok Etme ve Anonim Hâle Getirme Aynı Şey Değildir
- Silme: verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesidir.
- Yok etme: verinin hiç kimse tarafından hiçbir şekilde erişilemez ve kullanılamaz hâle getirilmesidir; fiziksel ortamlarda donanımın imhasını kapsar.
- Anonim hâle getirme: verinin başka verilerle eşleştirilse dahi kimliği belirli bir kişiyle ilişkilendirilemeyecek duruma getirilmesidir.
Yedek ortamlar bu üçlünün en zayıf noktasıdır. Ana sistemden silinen kaydın yedekte durması, silme yükümlülüğünün yerine getirilmediği anlamına gelir; bu nedenle yedeğin ilk geri yükleme anında imha kuralının uygulanacağı prosedüre bağlanması gerekir.
Periyodik İmha ve Talebe Bağlı İmha
Saklama süresi dolan veriler için re-sen işleyen periyodik imha süreci, mevzuatta altı ayı aşmayacak aralıklarla öngörülmüştür. İlgili kişinin talebi üzerine yapılacak imha ise ayrı bir yoldur ve daha kısa bir yanıt takvimine tabidir. Kurumların sık düştüğü hata, talebe bağlı istemi bir sonraki periyodik imha dönemine bırakmaktır; bu, yükümlülüğün süresinde yerine getirilmemesi sonucunu doğurur.
Yanlış Mercie Başvuru Riski İki Yönlüdür
İlgili kişi açısından risk, veri sorumlusuna başvurmadan doğrudan Kurula gitmektir; bu durumda şikâyet esasa girilmeden reddedilir. Kurum açısından risk ise, hakkında verilen idari yaptırım kararına karşı yanlış yargı yoluna başvurmaktır. Kurul kararlarına karşı izlenecek yargı yolu mevzuat değişiklikleriyle güncellenmiş olduğundan, itiraz mercii ve süresi kararın tarihindeki düzenlemeye göre belirlenmelidir. Kararın tebliğ zarfı ve tebliğ tarihi bu nedenle dosyanın en değerli belgesidir.
Denetime Hazırlık Kontrol Listesi
- VERBİS beyanı ile envanterin kategori ve süre bazında karşılaştırılması.
- İmha kayıtlarının tarih, yöntem ve sorumlu bilgisiyle tutulması.
- Yedek ortam ve arşiv sistemlerinin politikaya dahil edilmesi.
- Aydınlatma metni ile açık rıza metinlerinin ayrı ayrı tutulması.
- Veri işleyenlerle imzalanan sözleşmelerde imha yükümlülüğünün yazılı olması.
Kurum yapısına göre yükümlülüklerin kapsamı değişebilir. Bu yazı genel bilgilendirme sunar; uyum çalışmasının kendi süreçlerinize göre bir hukukçuyla yapılandırılması yerinde olacaktır.