Kişisel veri saklama ve imha politikası olan kurumların çoğu politikayı bir kez yazdı ve dosyaya kaldırdı. Oysa politikanın asıl yükümlülüğü metinde değil takvimde: saklama süresi dolan veriyi düzenli aralıklarla imha etmek ve bunu kanıtlamak.
Bu yazı takvimin ne dediğini, bir imha turunun neye benzediğini ve imhanın kanıtının ne olduğunu anlatıyor.
Yönetmelik ne diyor
Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik üç sayı veriyor:
| Konu | Kural |
|---|---|
| Periyodik imha aralığı | Politikada belirlenir, her hâlde altı ayı geçemez |
| Politika yükümlülüğü olmayan veri sorumlusu | Yükümlülüğün doğduğu tarihi izleyen üç ay içinde imha eder |
| İmha işlemlerinin kaydı | En az üç yıl saklanır |
Altı aylık aralık, kurumların çoğunun politikasında Haziran ve Aralık olarak yazılmış olmasının sebebi. Tarih zorunlu değil, aralık zorunlu; ama takvimi yıl ortasına ve yıl sonuna oturtmak yaygın bir tercih.
Üçüncü satır en çok atlanan madde. İmha ettiğinizi üç yıl boyunca gösterebilmeniz gerekiyor. Kaydı olmayan bir imha, denetim açısından gerçekleşmemiş sayılır.
Neden çoğu kurumda çalışmıyor
Politika yazmak bir günlük iş. Takvimi işletmek şunları gerektiriyor ve takıldığı yerler genelde aynı:
Saklama süresi veri türüne bağlı, ama dosyalar türe göre ayrılmamış. Ortak klasörde özlük dosyası, sözleşme, fatura ve sunum yan yana duruyor. "Süresi dolanları sil" komutu verilecek bir yer yok.
Süreyi kim takip edecek belli değil. Uyum ekibi hangi dosyanın ne zaman dolduğunu bilmiyor, dosyayı bilen departman da saklama süresini bilmiyor.
Silmek riskli görünüyor. Bir dosyanın hâlâ gerekli olup olmadığından emin olamayan kimse onu silmek istemiyor. Sonuç, hiçbir şeyin silinmemesi.
İmha edildiğinde geriye kanıt kalmıyor. Dosya silindi, kaydı da silindi. Altı ay sonra "bunu imha ettik" demenin bir yolu yok.
Bir imha turu neye benzer
Dört adım. İlk turda üç gün sürer, sonrakiler yarım gün.
- Kapsamı çıkarın. Hangi veri türleri var ve her birinin saklama süresi nedir? Süreler kanundan geliyor: ticari defter ve belgeler Türk Ticaret Kanunu'na, vergi belgeleri Vergi Usul Kanunu'na, özlük dosyası İş Kanunu ve ilgili mevzuata bağlı. Kişisel veri tarafında ise süre ya mevzuattan ya da işleme amacından türüyor; amaç ortadan kalktığında saklama gerekçesi de kalkıyor.
- Süresi dolanları listeleyin. Silme değil, liste. Bu adımın çıktısı bir karar listesi olmalı, bir silme işlemi değil.
- Listeyi onaya sunun. Hukuk ya da uyum sorumlusu bakar. Devam eden bir dava ya da denetim varsa, o kapsamdaki kayıtlar saklama süresi dolmuş olsa bile tutulur. Bu, hukuki muhafaza dediğimiz durumdur ve saklama süresini ezer.
- İmha edin ve kaydedin. Kaydın içeriği önemli: ne, ne zaman, hangi yöntemle imha edildi ve kim onayladı.
Silme, yok etme, anonim hale getirme
Yönetmelik üç yöntem tanımlıyor ve aralarındaki fark pratikte önemli.
Silme, verinin ilgili kullanıcılar için hiçbir şekilde erişilemez hale getirilmesi. Yok etme, verinin hiç kimse tarafından hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi. Anonim hale getirme ise verinin başka verilerle eşleştirilse dahi kimliği belirli bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi.
Dosya tarafında dikkat edilecek nokta şu: bir yapılandırılmış veritabanı kaydında anonimleştirme anlamlı bir işlem. Keyfi bir ikili dosyada, örneğin taranmış bir sözleşme PDF'inde, anonimleştirmenin dürüst bir karşılığı yok. Belgeyi kimliksizleştirdiğinizi iddia etmek yerine yok etmek doğru cevap ve yok etme de geçerli bir imha yöntemi.
İmhanın kanıtı nedir
Silinen dosyanın kendisi kanıt olamaz, çünkü artık yok. Kanıt, imha eyleminin kaydıdır.
İyi bir imha kaydı şunları taşır: hangi kayıt ya da kayıt grubu imha edildi, hangi tarihte, hangi yöntemle, hangi gerekçeyle (mevzuat süresi mi, amaç süresi mi), ve kim onayladı. Kaydın kendisinin sonradan değiştirilememesi de gerekiyor; imha kaydını değiştirebilen biri, imhanın kendisini de değiştirebilir demektir.
Üç yıllık saklama yükümlülüğü tam olarak bu kayıt için geçerli.
Aralık öncesi kontrol listesi
- Politikanızda yazan periyodik imha aralığı nedir ve son imha ne zaman yapıldı?
- Saklama süreleri veri türüne bağlı mı, yoksa politikada genel bir cümle mi var?
- Süresi dolan kayıtları listeleyebiliyor musunuz, yoksa elle mi taranıyor?
- Devam eden dava ya da denetim kapsamındaki kayıtları imhadan ayırabiliyor musunuz?
- Son imhanın kaydı nerede ve içinde ne var?
Üçüncü ve dördüncü soruya "hayır" diyorsanız imha turu her seferinde bir proje olarak yürüyecek demektir, ve altı ayda bir tekrarlanan projeler bir süre sonra tekrarlanmamaya başlar.
Veyro'da durum
Veyro'da saklama politikası bir klasöre, bir dosya türüne ya da bir gizlilik etiketine bağlanabiliyor. Klasöre bağlandığında alt ağaca miras kalıyor ve bağlandığı anda o klasördeki mevcut dosyaları da kapsıyor. Birden fazla kural aynı dosyaya denk geldiğinde en uzun saklama süresi kazanıyor; en özgül kuralın kazanması, hukukun genel koyduğu bir süreyi dar bir klasör kuralıyla ezip eksik saklamaya yol açabilirdi.
Süre dolduğunda kayıt kendiliğinden yok olmuyor. İmha kuyruğuna düşüyor ve onay bekliyor. Onaylandığında ne olacağı politikada seçiliyor: kaydı çöpe taşımak ve otuz gün geri alma penceresi bırakmak, dosyayı saklayıp yalnızca saklama kilidini kaldırmak, ya da yok etmek. Yok etmede geri alma penceresi yok, çünkü silme yükümlülüğüyle çelişirdi.
Hukuki muhafaza ayrı bir kavram olarak duruyor: dava referansına bağlanıyor, saklama süresini eziyor ve alt ağacın tamamını kapsıyor. Muhafaza altındaki bir kayıt imha kuyruğuna düşmüyor.
İmhanın kanıtı düğüm satırı değil, hash zincirli denetim kaydı. Kimin neyi ne zaman ve hangi gerekçeyle imha ettiği orada duruyor ve kayıt sonradan değiştirilirse bu tespit edilebiliyor.
İlgili yazılar: KVKK kurul kararlarında dosya paylaşımı ve ISO 27001 denetiminde dosya tarafı.
Bu yazı bilgilendirme amaçlıdır, hukuki görüş değildir. Saklama süreleri sektöre ve veri türüne göre değişir; kendi kurumunuz için hukuk biriminizle doğrulayın.
