Kişisel Veri Envanteri, Saklama ve İmha Politikası Nasıl Hazırlanır?

1. Konunun Genel Çerçevesi

Kişisel verilerin korunması mevzuatına uyumun ilk adımı, işletmenin elinde hangi verilerin bulunduğunu bilmektir. Kişisel veri envanteri bu ihtiyaca cevap veren belgedir. Envanter; iş süreçleri esas alınarak hangi kişi grubuna ait hangi verilerin, hangi amaçla ve hangi hukuki sebebe dayanılarak işlendiğini, kimlere aktarıldığını ve ne kadar süre saklandığını göstermektedir.

Saklama ve imha politikası ise envanterde belirlenen saklama sürelerinin nasıl uygulanacağını, sürenin dolması hâlinde verilerin hangi yöntemle silineceğini veya anonim hâle getirileceğini düzenleyen iç belgedir. Bu iki belge birlikte, veri sorumlusunun hesap verebilirliğini somut olarak ortaya koymaktadır.

2. Hukuki Dayanak

• KVKK m.4: Kişisel verilerin işlenmesinde genel ilkeler; özellikle verilerin işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi ilkesi
• KVKK m.7: Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesi
• KVKK m.12: Veri güvenliğine ilişkin yükümlülükler
• KVKK m.16: Veri Sorumluları Sicili ve sicile bildirilecek bilgiler
• Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik
• Veri Sorumluları Sicili Hakkında Yönetmelik (kişisel veri envanteri tanımı)

3. Kanundaki Düzenleme

Envanterin Niteliği

Veri Sorumluları Sicili Hakkında Yönetmelik, kişisel veri envanterini; veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirdikleri kişisel veri işleme faaliyetlerini, işleme amaçları ve hukuki sebebi, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek detaylandırdıkları envanter olarak tanımlamaktadır. Envanterde ayrıca azami saklama süresi, yabancı ülkelere aktarımı öngörülen veriler ve veri güvenliği tedbirleri yer almaktadır.

Silme, Yok Etme ve Anonim Hâle Getirme

KVKK m.7 uyarınca, Kanun'a ve ilgili diğer kanunlara uygun olarak işlenmiş olsa da işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler, resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinmekte, yok edilmekte veya anonim hâle getirilmektedir. Yönetmelik bu üç yöntemi ayrı ayrı tanımlamaktadır:

• Silme: Verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesi
• Yok etme: Verinin hiç kimse tarafından erişilemez, geri getirilemez ve tekrar kullanılamaz hâle getirilmesi
• Anonim hâle getirme: Verinin başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemez hâle getirilmesi

Saklama ve İmha Politikası

Yönetmelik uyarınca sicile kayıt yükümlülüğü bulunan veri sorumluları, kişisel veri envanterine dayanarak saklama ve imha politikası hazırlamakla yükümlüdür. Politikada; kayıt ortamları, saklama ve imhaya ilişkin hukuki, teknik ve idari tedbirler, süreçte yer alan çalışanların unvanları ve görevleri, saklama ve imha süreleri ile periyodik imha süreleri yer almaktadır.

4. Uygulamada Süreç

1. Süreç haritalaması: İnsan kaynakları, satış, muhasebe, bilgi işlem, güvenlik ve müşteri hizmetleri gibi her birimle görüşülerek veri akışları çıkarılmaktadır.
2. Envanter tablosunun oluşturulması: Her işleme faaliyeti için veri kategorisi, veri konusu kişi grubu, amaç, hukuki sebep (KVKK m.5 veya KVKK m.6), alıcı grupları, yurt dışı aktarım durumu ve saklama süresi işlenmektedir.
3. Saklama sürelerinin belirlenmesi: Vergi, ticaret, iş ve sosyal güvenlik mevzuatı gibi özel kanunlardaki saklama yükümlülükleri ile zamanaşımı süreleri birlikte değerlendirilmektedir. Kanuni süre bulunmayan durumlarda amaçla sınırlı ve makul bir süre belirlenmektedir.
4. Politikanın yazılması: İmha yöntemleri, sorumlu personel, kayıt ortamları ve teknik tedbirler belgelenmektedir.
5. Periyodik imha: Saklama süresi dolan veriler, politikada belirlenen periyotlarla tespit edilerek imha edilmektedir. Yönetmelik uyarınca periyodik imha aralığı altı ayı aşamamaktadır.
6. Kayıt tutma: Silme, yok etme ve anonim hâle getirme işlemleri kayıt altına alınmakta ve bu kayıtlar, yönetmelikte öngörülen süre boyunca saklanmaktadır.
7. Güncelleme: Yeni bir ürün, yazılım veya iş süreci devreye girdiğinde envanter ve politika güncellenmekte; değişiklikler VERBİS kaydına da yansıtılmaktadır.

5. Görevli ve Yetkili Mahkeme veya Merci

Envanter ve politika yükümlülüklerine uyumun denetimi, Kişisel Verileri Koruma Kurulu tarafından yapılmaktadır. Kurul, ilgili kişinin şikâyeti üzerine veya resen inceleme yapabilmekte, aykırılık tespit ettiğinde düzeltilmesine karar verebilmekte ve KVKK m.18 kapsamında idari para cezası uygulayabilmektedir.

Kurul tarafından verilen idari para cezalarına karşı, 01.06.2024 tarihinden itibaren idare mahkemesinde dava açılabilmektedir. Silme talebi reddedilen ilgili kişi ise önce veri sorumlusuna, ardından Kurul'a başvurabilmektedir. Uğranılan zararın tazmini için genel hükümler çerçevesinde görevli ve yetkili hukuk mahkemesinde dava açılması da mümkündür.

6. Süreler ve Dikkat Edilecek Hususlar

• İlgili kişinin silme talebi, Yönetmelik uyarınca kural olarak 30 gün içinde sonuçlandırılmakta ve ilgili kişiye bildirilmektedir.
• Periyodik imha aralığı altı ayı geçmemelidir; politikada daha kısa bir süre de belirlenebilmektedir.
• Yedekleme sistemleri, e-posta arşivleri, kâğıt dosyalar ve bulut ortamları envanterin dışında bırakılmamalıdır. Uygulamada en sık gözden kaçan kayıt ortamları bunlardır.
• Anonimleştirme, verinin geri döndürülemez biçimde kişiyle ilişkilendirilemez hâle gelmesini gerektirmektedir. Yalnızca isimlerin maskelenmesi her durumda yeterli olmamaktadır.
• Saklama süresi belirlenirken her veri için en uzun süreyi seçmek, amaçla sınırlılık ve ölçülülük ilkelerine aykırılık oluşturabilmektedir.
• Kayıt yükümlüsü olmayan veri sorumluları da KVKK m.7 kapsamındaki silme yükümlülüğüne tabidir. Bu nedenle yazılı bir politika hazırlanması, ispat bakımından fayda sağlamaktadır.

7. Sonuç

Kişisel veri envanteri ve saklama-imha politikası, veri koruma uyumunun omurgasını oluşturmaktadır. VERBİS kaydı, aydınlatma metinleri ve ilgili kişi başvurularına verilecek cevaplar bu belgelerden beslenmektedir. Belgelerin gerçek iş süreçlerini yansıtması ve düzenli olarak güncellenmesi, denetim ve şikâyet süreçlerinde veri sorumlusunun konumunu doğrudan etkilemektedir.

Somut olayın özelliklerine göre ayrıca değerlendirme yapılması gerekmektedir.

8. Akademik Kaynaklar

Bu konuya ilişkin akademik çalışmalara aşağıdaki kaynaklar üzerinden ulaşabilirsiniz. Tez ve makalelerin içeriği bu sitede çoğaltılmamaktadır.

Bu yazı genel bilgilendirme amaçlıdır; hukuki görüş niteliği taşımamaktadır.

← Kişisel Verilerin Korunması ve Veri Uyumu