Şirket incelemelerinde (due diligence) açtığımız her KVKK uyum klasöründe “kişisel veri saklama ve imha politikası” başlıklı bir belge vardır. Çoğu, VERBİS kaydından bir hafta önce şablondan üretilmiş, şirketin sistemleriyle kimsenin karşılaştırmadığı saklama süreleri sıralayan ve bugüne kadar tek bir silme işlemi tetiklememiş belgelerdir. Bu, işin tersten kurulmasıdır. 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (KVKK) 7. maddesine dayanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (RG 28.10.2017/30224; değişiklik RG 28.4.2019/30758) bir belge istemez; işleme şartlarının tamamı ortadan kalkan verinin, şirketin kendi belirlediği ve uyduğunu kanıtlayabildiği bir takvimle silindiği, yok edildiği veya anonim hale getirildiği işleyen bir döngü ister. Bu yazı politikanın kim için zorunlu olduğunu, asgari içeriğini, saklama tablosunun envanterden nasıl türetildiğini, altı aylık ve üç aylık süreleri, ilgili kişi talebinde ne olduğunu ve üç yıl saklanan imha kayıtlarının denetçinin ya da Kurulun isteyeceği kanıta nasıl dönüştüğünü anlatıyor. İlgili kişi başvuruları ve anonimleştirme rehberlerimizle birlikte okunmalı.
Politika kim için zorunlu, silme kim için zorunlu
Yönetmeliğin 5/1. maddesi, Kanunun 16. maddesi gereğince Veri Sorumluları Siciline kayıt olmakla yükümlü olan veri sorumlularını, kişisel veri işleme envanterine uygun bir saklama ve imha politikası hazırlamakla yükümlü kılar. İki belge tasarım gereği birbirine bağlıdır: envanter her işleme faaliyetini amacı, hukuki sebebi, veri kategorileri, alıcıları ve azami saklama süresiyle listeler; politika ise bu süreleri silme olaylarına çeviren kural kitabıdır. 5/2. madde sürekli göz ardı edilen bir uyarı ekler: politikanın hazırlanmış olması, verilerin Kanuna ve Yönetmeliğe uygun saklandığı ya da imha edildiği anlamına gelmez. 5/3. madde de kayıt eşiklerinin altındaki şirketler için kaçış yolunu kapatır: politika hazırlama yükümlülüğü olmayan veri sorumlusunun Kanun ve Yönetmelik uyarınca saklama, silme, yok etme veya anonim hale getirme yükümlülüğü devam eder. VERBİS’ten muaf on kişilik bir SaaS şirketi de silmek zorundadır; yalnızca süresi farklıdır; buna aşağıda değiniyoruz.
Politikanın asgari içeriği
6. madde asgari içeriği belirler ve her kalem, bir denetçinin ya da alıcının soracağı bir soruya karşılık gelir. Politika; hazırlanma amacını, düzenlediği kayıt ortamlarını (kişisel verinin gerçekten yaşadığı veri tabanları, SaaS araçları, dosya sunucuları, e-posta, kâğıt arşiv ve yedekler; şablonların “elektronik ortam” diye geçiştirerek ilk yanlışı yaptığı yer burasıdır), kullanılan hukuki ve teknik terimlerin tanımlarını, saklamayı ve imhayı gerektiren hukuki, teknik ya da diğer sebepleri (Vergi Usul Kanunu ve TTK’daki defter saklama süreleri, iş ve sosyal güvenlik kayıtları, 5651 sayılı Kanun trafik kayıtları, sektör kuralları ve sona eren amaçlar), verinin güvenli saklanması ile hukuka aykırı işlenmesinin ve erişimin önlenmesi için alınan teknik ve idari tedbirleri, hukuka uygun imha için alınan teknik ve idari tedbirleri, saklama ve imha süreçlerinde yer alanların unvan, birim ve görev tanımlarını, saklama ve imha sürelerini gösteren tabloyu, periyodik imha sürelerini ve varsa güncelleme bilgisini içerir. Bunlardan ikisi ayrı başlık hak ediyor.
Saklama tablosu
Tablo politikanın kalbidir ve kopyalanmak yerine şirketin gerçek işleme faaliyetlerinden türetilmesi gereken kısmıdır. Her süreç ya da veri kategorisi için saklama süresini ve imha süresini gösterir. Saklama süresi, verinin amaç için gerekli olduğu azami süre ile bir kanunun dayattığı asgari süreden uzun olanıdır; imha süresi, bunu izleyen ilk periyodik imhadır. Pratik kurulum süreç süreç ilerler: müşteri hesap verisi sözleşme süresi artı Borçlar Kanunu’ndaki zamanaşımı; fatura ve muhasebe kayıtları VUK ve TTK’nın öngördüğü süreler; aday özgeçmişleri pozisyon dolduktan sonra kısa ve belirtilmiş bir süre (yetenek havuzu için açık rıza alınmadıysa); personel dosyaları iş ve sosyal güvenlik mevzuatının fesih sonrası öngördüğü süreler; kamera kayıtları yıllar değil günler ya da haftalar; sunucu ve erişim logları 5651 uygulandığı ölçüde kanuni süre. Kurulun karar verdiği konularda (örneğin kamera ölçülülüğü ve biyometrik veri kararlarında) tablo karara uyar. Tablo sonra sistemlere işlenmelidir: CRM’in uygulayamadığı ve kimsenin elle çalıştırmadığı bir saklama süresi, politikanın verdiği ve şirketin tutmadığı bir sözdür.
Silme, yok etme ve anonim hale getirme üç ayrı işlemdir
7/1. madde tetikleyiciyi söyler: Kanunun 5 ve 6. maddelerindeki işleme şartlarının tamamı ortadan kalktığında veri, veri sorumlusu tarafından resen veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hale getirilir. Üç yöntem ayrı ayrı tanımlanır. Silme (m.8), verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesidir; veri fiziksel olarak durabilir ama kullanabilecek hiç kimse ulaşamaz, bu yüzden erişim yetkisi yönetimi silmenin parçasıdır. Yok etme (m.9), verinin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesidir; depolama ortamı için güvenli silme ya da fiziksel imha demektir. Anonim hale getirme (m.10), verinin başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir; 10/2. madde ölçütün, veri sorumlusunun, alıcının ya da alıcı gruplarının kayıt ortamı ve faaliyet alanına uygun tekniklerle geri döndürebilmesi olduğunu açıkça söyler; takma adlı analitik tabloları anonim değildir. 7/5. madde uyarınca veri sorumlusu resen hareket ederken uygun yöntemi seçer (Kurul aksine karar vermedikçe); ilgili kişinin talebinde ise yöntemi gerekçesini açıklayarak seçer. 7/4. madde kullanılan yöntemlerin politika ve prosedürlerde açıklanmasını ister.
Süreler: altı ay, üç ay, otuz gün
11. madde resen imhanın takvimini kurar. Politika hazırlamış veri sorumlusu, yükümlülüğün ortaya çıktığı tarihi takip eden ilk periyodik imha işleminde veriyi siler, yok eder veya anonim hale getirir (11/1); periyodik imha aralığı politikada belirlenir ve her halde altı ayı geçemez (11/2). Politika hazırlama yükümlülüğü olmayan veri sorumlusu ise yükümlülüğün ortaya çıktığı tarihi takip eden üç ay içinde hareket eder (11/3); VERBİS’ten muaf küçük şirketin gerçekte yaşadığı süre budur ve politika sahibininkinden uzun değil, kısadır. Kurul, telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık hâlinde bu süreleri kısaltabilir (11/4). 12. madde talepleri düzenler: ilgili kişi Kanunun 11 ve 13. maddelerine dayanarak silme veya yok etme talep ettiğinde ve işleme şartlarının tamamı ortadan kalkmışsa veri sorumlusu veriyi siler, yok eder veya anonim hale getirir, talebi en geç otuz gün içinde sonuçlandırır ve ilgili kişiye bilgi verir; veri üçüncü kişilere aktarılmışsa durumu üçüncü kişiye bildirir ve gerekli işlemlerin yapılmasını temin eder; işleme şartları tamamen ortadan kalkmamışsa talep Kanunun 13/3. maddesi uyarınca gerekçesi açıklanarak reddedilebilir ve ret en geç otuz gün içinde yazılı ya da elektronik ortamda bildirilir. Otuz günlük süre tüm ilgili kişi başvurularını yöneten süreyle aynıdır; dolayısıyla silme iş akışı ayrı bir belge değil, başvuru prosedürünün bir dalı olmalıdır.
Yapıldığını kanıtlayan kayıt
7/3. madde, silme, yok etme ve anonim hale getirmeyle ilgili bütün işlemlerin kayıt altına alınmasını ve bu kayıtların diğer hukuki yükümlülükler hariç en az üç yıl saklanmasını ister. Kanıt katmanı budur. İmha kayıt defteri, her periyodik imha ve her talebe bağlı işlem için tarihi, ilgili veri kategorilerini ve kayıt ortamlarını, kullanılan yöntemi, işlemi yapanı ve onaylayanı ve varsa istisnayı (kanuni süre ya da derdest uyuşmazlık nedeniyle saklanan veri, gerekçesiyle) göstermelidir. 7/2. madde her işlemi Kanunun 4. maddesindeki genel ilkelere, 12. maddedeki teknik ve idari tedbirlere, Kurul kararlarına ve politikanın kendisine bağlar; politikadan sapan bir imha, veri gerçekten silinmiş olsa bile kendi başına aykırılıktır. Envanter, VERBİS kaydı, aydınlatma metinleri ve başvuru kaydıyla birlikte imha defteri, bir KVKK uyum denetiminin ya da alıcının due diligence ekibinin okuduğu şeydir; yılda dört beş tarihli periyodik imha gösterebilen şirketin uyum programı vardır, yalnızca politikayı gösterebilenin ise sadece bir belgesi vardır.
Yedeklerimiz her şeyi bir yıl tutuyor. Bu ihlal mi?
Politika yedekleri kayıt ortamı olarak adlandırıyor, saklama süresini belirliyor ve geri yüklenen verinin yeniden silinmesini sağlıyorsa kendi başına değil. Kurul yedeklerin döngünün dışında değil içinde olmasını bekler. Silme yolu olmayan süresiz yedek saklama ihlaldir.
Analitik için silmek yerine anonimleştirebilir miyiz?
Sonuç 10. maddeyi karşılıyorsa, yani sizin ya da alıcıların elindeki başka verilerle eşleştirilse bile ilişkilendirilemiyorsa evet. Toplulaştırılmış istatistikler genellikle geçer; hash’lenmiş kimlikli kullanıcı düzeyi tablolar geçmez. Yöntemi ve değerlendirmeyi kayda alın.
VERBİS eşiklerinin altındayız. Politikaya hiç ihtiyacımız var mı?
Politikaya değil, silmeye. 11/3. madde yükümlülüğün doğduğu tarihten itibaren üç ay verir, periyodik imha tamponu yoktur ve 7/3. madde üç yıllık kaydı yine ister. Çoğu şirket kısa bir politikanın tek tek üç aylık süreleri izlemekten kolay olduğunu görür.
İlgili: VERBİS · kişisel veri işleme envanteri · anonimleştirme · veri işleyen sözleşmeleri.
Kaynak. 6698 sayılı Kişisel Verilerin Korunması Kanunu (m.4–7, 11–13, 16); Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (RG 28.10.2017/30224; değişiklik RG 28.4.2019/30758), m.5–12; Kişisel Verileri Koruma Kurumu, silme, yok etme ve anonim hale getirme rehberi.
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır ve hukuki tavsiye niteliği taşımaz. Somut bir durumun değerlendirilmesi için hukuki destek alınmalıdır.
