Kişisel Veri Envanteri ve Saklama-İmha Politikası: Zorunlu Unsurlar

Envanter Nedir? Yönetmeliğin Tanımı Neyi Zorunlu Kılıyor?

Kişisel veri envanteri, uyum programının temelidir; diğer bütün belgeler ondan türer. Aydınlatma metni, VERBİS kaydı ve saklama-imha politikası envantere dayanmıyorsa, hepsi birbirinden kopuk metinlere dönüşür.

28/10/2017 tarihli ve 30224 sayılı Resmî Gazete’de yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmeliğin 4. maddesi (28/4/2019 tarihli değişiklikle) envanteri şöyle tanımlar: veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirdikleri kişisel veri işleme faaliyetlerini;

• Kişisel veri işleme amaçları ve hukuki sebebi
• Veri kategorisi
• Aktarılan alıcı grubu
• Veri konusu kişi grubu

ile ilişkilendirerek oluşturdukları ve şunları açıklayarak detaylandırdıkları envanterdir:

• Kişisel verilerin işlendikleri amaçlar için gerekli olan azami muhafaza edilme süresi
• Yabancı ülkelere aktarımı öngörülen kişisel veriler
• Veri güvenliğine ilişkin alınan tedbirler

Tanımın işaret ettiği yöntem açıktır: envanter bir veri listesi değil, iş süreci haritasıdır. İşe alım, bordro, satın alma, müşteri hizmetleri, kamera kaydı, pazarlama — her süreç ayrı ayrı ele alınır ve her biri için yukarıdaki yedi başlık doldurulur.

Saklama ve İmha Politikası Kimin İçin Zorunlu?

Bu soru uygulamada sıkça yanlış cevaplanır. Yönetmeliğin 5. maddesi nettir: Kanunun 16. maddesi gereğince Veri Sorumluları Siciline kayıt olmakla yükümlü olan veri sorumluları, kişisel veri işleme envanterine uygun olarak kişisel veri saklama ve imha politikası hazırlamakla yükümlüdür.

Buradaki bağ önemlidir: politika, envantere uygun hazırlanmak zorundadır. Envanter olmadan hazırlanan bir politika, dayanağı bulunmayan bir metindir.

Aynı maddenin ikinci ve üçüncü fıkraları iki yaygın yanılgıyı ortadan kaldırır:

• Politika hazırlanmış olması, kişisel verilerin Kanuna ve Yönetmeliğe uygun biçimde saklandığı, silindiği, yok edildiği veya anonim hale getirildiği anlamına gelmez. Yani belge tek başına koruma sağlamaz; denetimde bakılan, politikanın fiilen uygulanıp uygulanmadığıdır.
• Politika hazırlama yükümlülüğü altında bulunmayan veri sorumlularının, Kanun ve Yönetmelik uyarınca kişisel verileri saklama, silme, yok etme veya anonim hale getirme yükümlülükleri devam eder. Sicile kayıt zorunluluğu olmamak, imha yükümlülüğünden muafiyet değildir.

Sicile kayıt yükümlülüğü ve kapsamı için: VERBİS Kaydı.

Silme, Yok Etme, Anonim Hale Getirme: Üçü Aynı Şey Değil

Yönetmelik üç ayrı işlem tanımlar ve aralarındaki fark, hangi yöntemin seçileceğini belirler:

• Silme: kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesi.
• Yok etme: kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesi.
• Anonim hale getirme: kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi.

Ayrımın pratik sonucu şudur: bir kaydı veri tabanında “pasif” işaretlemek silme değildir; sistem yöneticisi hâlâ erişebiliyorsa yok etme hiç değildir. Anonimleştirme ise en yanıltıcı olanıdır — ad ve soyadın çıkarılması tek başına anonimleştirme sayılmaz; başka verilerle eşleştirme yoluyla kimliğe ulaşılabiliyorsa veri hâlâ kişisel veridir.

Veri sorumlusu, anonim hale getirmeyle ilgili gerekli her türlü teknik ve idari tedbiri almakla yükümlüdür. Ayrıca, verilerin silinmiş sayılması için gereken koşulların nasıl sağlandığı ilgili politika ve prosedürlerde açıklanmalıdır.

Süreler: Altı Ay mı, Üç Ay mı?

İmha süreleri, politikanız olup olmamasına göre değişir. Yönetmeliğin 11. maddesi iki ayrı rejim öngörür:

Politika hazırlamış olan veri sorumlusu: silme, yok etme veya anonim hale getirme yükümlülüğünün ortaya çıktığı tarihi takip eden ilk periyodik imha işleminde verileri imha eder. Periyodik imhanın gerçekleştirileceği zaman aralığı politikada belirlenir ve her hâlde altı ayı geçemez.

Politika hazırlama yükümlülüğü olmayan veri sorumlusu: yükümlülüğün ortaya çıktığı tarihi takip eden üç ay içinde verileri siler, yok eder veya anonim hale getirir.

Dikkat edilmesi gereken nokta: periyodik imha re’sen yapılır. İlgili kişinin talebi beklenmez; işleme şartlarının tamamı ortadan kalktığında yükümlülük kendiliğinden doğar.

İmha yükümlülüğünü doğuran başlıca hâller

• İşlemeye esas mevzuatın değişmesi veya ilgası
• İşlemeye esas sözleşmenin sona ermesi veya hükümsüzlüğü
• İşlenme amaç ve şartlarının ortadan kalkması
• İşleme faaliyetinin dürüstlük kuralına veya hukuka aykırı olması
• Açık rızaya bağlı işleme faaliyetlerinde rızanın geri alınması
• İlgili kişinin başvurusu ve bu başvurunun kabulü

İkinci sıradaki hâl özellikle önemlidir: sözleşme bittiğinde imha yükümlülüğü doğar. Dış hizmet ilişkilerinde bunun sözleşmeye yazılmaması ağır sonuçlar doğurur — bkz. Veri İşleyen Sözleşmesi (DPA) ve Veri Sorumlusu ve Veri İşleyen Kimdir?

Politikanın Asgari İçeriği ve Kayıt Yükümlülüğü

Denetime elverişli bir saklama ve imha politikasında bulunması gerekenler:

1. Politikanın hazırlanma amacı ve kapsamı
2. Kayıt ortamlarının ve tanımların açıklanması
3. Kişisel verilerin saklanmasını ve imhasını gerektiren hukuki, teknik ya da diğer sebeplere ilişkin açıklamalar
4. Kişisel verilerin güvenli biçimde saklanması ile hukuka aykırı işlenmesi ve erişilmesinin önlenmesi için alınmış teknik ve idari tedbirler
5. Saklama ve imha sürelerini gösteren tablo — süreler süreç ve veri kategorisi bazında ayrı ayrı belirlenir
6. Periyodik imha süreleri
7. Süreçleri yönetecek kişilerin unvan, birim ve görev tanımları
8. Politikanın güncellenme periyodu

Kayıt tutma yükümlülüğü ayrıca vardır: silme, yok etme ve anonim hale getirmeyle ilgili yapılan bütün işlemler kayıt altına alınır ve bu kayıtlar saklanır. Denetimde “imha ettik” beyanının karşılığı bu kayıtlardır; kayıt yoksa imha ispatlanamaz.

Politikanın oluşturulabilmesi için kurum içindeki tüm departmanların hangi kişisel veriyi hangi amaçla ne kadar süreyle sakladığının ve neden imha edileceğinin belirlenmesi gerekir. Bu, tek bir hukuk biriminin masa başında hazırlayabileceği bir belge değildir.

İhmalin Sonuçları: İdari ve Cezai Boyut

Envanter ve politika eksikliği, denetimde iki yönlü sonuç doğurur.

İdari boyut. Envanteri bulunmayan veya envanteriyle fiilî uygulaması örtüşmeyen bir veri sorumlusunun, teknik ve idari tedbirlerinin yeterli sayılması güçtür. Çünkü hangi veriyi işlediğini bilmeyen bir yapının, o veriyi koruduğunu ileri sürmesi tutarlı değildir. Bu tespit, bir veri ihlali incelemesinde doğrudan aleyhe delil hâline gelir.

İhlal bildirimi sürecinde envanterin rolü belirleyicidir: kapsamın (hangi veri kategorileri, kaç kayıt, hangi ilgili kişi grubu) hızla çıkarılabilmesi envantere bağlıdır. Bkz. KVKK Veri İhlali Bildirim Yükümlülüğü.

Cezai boyut. Kanunun 17. maddesi ceza hükümleri bakımından Türk Ceza Kanununa atıf yapar. Verilerin yok edilmemesi, Türk Ceza Kanununun 138. maddesinde ayrı bir suç olarak düzenlenmiştir. Kişisel verilere ilişkin diğer suçlar için: Kişisel Verilerin Hukuka Aykırı Kaydedilmesi Suçu (TCK 135).

İlgili kişi talepleri de doğrudan bu belgelere dayanır; silme talebine verilecek cevabın dayanağı politikadır: İlgili Kişi Başvurusu ve Kurula Şikâyet.

Kurumsal uyum programının bütünü için: Şirketler İçin KVKK Uyumu. Alanın bütünü: KVKK Rehberi (Ana Rehber).

Sıkça Sorulan Sorular

Kişisel veri envanteri nedir?

Yönetmeliğin 4. maddesine göre envanter; iş süreçlerine bağlı veri işleme faaliyetlerinin işleme amaçları ve hukuki sebebi, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirilerek oluşturulduğu; azami muhafaza süresi, yabancı ülkelere aktarımı öngörülen veriler ve alınan güvenlik tedbirlerinin açıklandığı belgedir.

Saklama ve imha politikası hazırlamak zorunda mıyım?

Kanunun 16. maddesi gereğince Veri Sorumluları Siciline kayıt olmakla yükümlü olan veri sorumluları, kişisel veri işleme envanterine uygun olarak bu politikayı hazırlamakla yükümlüdür.

Sicile kayıt yükümlülüğüm yoksa imha yükümlülüğüm de yok mu?

Hayır. Politika hazırlama yükümlülüğü altında bulunmayan veri sorumlularının da kişisel verileri saklama, silme, yok etme veya anonim hale getirme yükümlülükleri devam eder.

Periyodik imha aralığı ne kadar olabilir?

Aralık veri sorumlusu tarafından saklama ve imha politikasında belirlenir; ancak bu süre her hâlde altı ayı geçemez. Politika hazırlama yükümlülüğü olmayan veri sorumlusu ise yükümlülüğün doğduğu tarihi takip eden üç ay içinde imha eder.

Silme ile yok etme arasındaki fark nedir?

Silme, verilerin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz hâle getirilmesidir. Yok etme ise verilerin hiç kimse tarafından erişilemez ve tekrar kullanılamaz hâle getirilmesidir.

Ad ve soyadı çıkarmak anonimleştirme sayılır mı?

Hayır. Anonim hale getirme, verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesidir. Eşleştirme yoluyla kimliğe ulaşılabiliyorsa veri hâlâ kişisel veridir.

İmha yükümlülüğü hangi hâllerde doğar?

İşlemeye esas mevzuatın değişmesi veya ilgası, sözleşmenin sona ermesi veya hükümsüzlüğü, işlenme amaç ve şartlarının ortadan kalkması, işlemenin dürüstlük kuralına veya hukuka aykırı olması, açık rızanın geri alınması ve ilgili kişinin başvurusunun kabulü başlıca hâllerdir.

Politikam var, denetimde yeterli olur mu?

Yönetmelik açıkça belirtir: politikanın hazırlanmış olması, verilerin Kanuna ve Yönetmeliğe uygun saklandığı, silindiği veya anonim hale getirildiği anlamına gelmez. Denetimde bakılan, politikanın fiilen uygulanıp uygulanmadığı ve imha işlemlerinin kayıt altına alınıp alınmadığıdır.