Kişisel Veri Envanteri ve Saklama-İmha Politikası: Zorunlu Unsurlar

Kişisel veri saklama ve imha politikası hazırlamış olmak, verilerin hukuka uygun işlendiği anlamına gelmez. Yönetmelik bunu açık bir hükümle söyler. Politika bir sonuç belgesi değil, işleyen bir düzenin yazılı hâlidir.

1) Üçlü Yapı

Yönetmelik bu sırayı açıkça kurar: politika, kişisel veri işleme envanterine uygun olarak hazırlanır.

Envanter olmadan hazırlanan bir politika, hangi veriyi ne kadar sakladığını bilmeyen bir metin olur.

Üçüncü satır ise ilk ikisini anlamlı kılar; yazılan sürelerin fiilen işletilmesi gerekir. Silme talebinin nasıl ileri sürüleceği için ilgili kişi başvurusu incelememize bakabilirsiniz.

2) Kim Politika Hazırlamakla Yükümlü?

Kanunun 16 ncı maddesi gereğince Veri Sorumluları Siciline kayıt olmakla yükümlü olan veri sorumluları, kişisel veri işleme envanterine uygun olarak kişisel veri saklama ve imha politikası hazırlamakla yükümlüdür.

Birinci satır yükümlülüğü Sicile kayıt şartına bağlar; herkes politika hazırlamak zorunda değildir.

Üçüncü satır ise politikanın serbestçe değil, envantere uygun yazılacağını gösterir. Dış hizmet alınan hâller için veri işleyen sözleşmesi incelememize bakabilirsiniz.

3) Politika Hazırlamak Yeterli Değildir

Kişisel veri saklama ve imha politikası hazırlanmış olması; kişisel verilerin Kanuna ve Yönetmeliğe uygun biçimde saklandığı, silindiği, yok edildiği veya anonim hale getirildiği anlamına gelmez.

Bu hüküm, uygulamadaki en yaygın yaklaşımı doğrudan reddeder.

Politika bir taahhüt metnidir; uygunluk ise o taahhüdün yerine getirilmesiyle doğar.

Bu nedenle bir incelemede politikanın varlığı değil, politikada yazan sürelerin işletilip işletilmediği sorulur.

Yükümlü olmayanlar serbest mi?

Kişisel veri saklama ve imha politikası hazırlama yükümlülüğü altında bulunmayan veri sorumlularının, Kanun ve bu Yönetmelik uyarınca kişisel verileri saklama, silme, yok etme veya anonim hale getirme yükümlülükleri devam eder.

İkinci satır bu bölümün özüdür: imha yükümlülüğü herkes için vardır.

Değişen yalnızca bu yükümlülüğün yazılı bir politikaya bağlanıp bağlanmadığıdır.

Ve aşağıda görüleceği üzere, politikası olmayanlar için Yönetmelik daha kısa bir süre öngörür.

4) İmha Yükümlülüğü Ne Zaman Doğar?

Birinci satırdaki “tamamının” ibaresi belirleyicidir: tek bir işleme şartı ayakta kaldığı sürece imha yükümlülüğü doğmaz.

Bu nedenle bir silme talebi karşısında yapılacak ilk iş, verinin başka bir şarta dayanıp dayanmadığını test etmektir.

Açık rıza geri alınmış olsa dahi, örneğin bir hukuki yükümlülük ayakta ise veri silinmez.

5) İki Ayrı Süre Rejimi

Kişisel veri saklama ve imha politikası hazırlamış olan veri sorumlusu, yükümlülüğün ortaya çıktığı tarihi takip eden ilk periyodik imha işleminde kişisel verileri siler, yok eder veya anonim hale getirir.

Periyodik imhanın gerçekleştirileceği zaman aralığı, veri sorumlusu tarafından politikada belirlenir. Bu süre her halde altı ayı geçemez.

Politika hazırlama yükümlülüğü olmayan veri sorumlusu, yükümlülüğün ortaya çıktığı tarihi takip eden üç ay içinde kişisel verileri siler, yok eder veya anonim hale getirir.

İki rejim farklı mantıkla kurulmuştur: birincisi düzenli bir çevrime, ikincisi sabit bir süreye dayanır.

İlginç sonuç şudur: politikası olmayan veri sorumlusu için süre, altı aylık tavana göre daha kısadır.

Politika hazırlamanın sağladığı esneklik, bu yönüyle bir avantaj da oluşturur.

Altı aylık tavan

Birinci satır bir takdir alanı tanır; aralık üç ay, dört ay veya altı ay olarak belirlenebilir.

Üçüncü satırdaki “her halde” ibaresi ise bu takdire kesin bir sınır koyar.

Yılda bir kez yapılacak bir imha çevrimi, doğrudan aykırılık oluşturur.

Kurulun süre kısaltma yetkisi

Kurul, telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık olması hâlinde, bu maddede belirlenen süreleri kısaltabilir.

İki şart birlikte aranır; yalnızca zararın ağırlığı veya yalnızca aykırılık yeterli değildir.

Bu yetki, altı ve üç aylık sürelerin mutlak olmadığını gösterir.

Somut bir olayda Kurul, imhanın çok daha kısa sürede yapılmasına karar verebilir.

6) Talep Üzerine İmha

İlgili kişi, Kanunun 11 inci ve 13 üncü maddelerine istinaden veri sorumlusuna başvurarak kendisine ait kişisel verilerin silinmesini veya yok edilmesini talep ettiğinde; kişisel verileri işleme şartlarının tamamı ortadan kalkmışsa, veri sorumlusu talebe konu kişisel verileri siler, yok eder veya anonim hale getirir.

Birinci satır, bu Yönetmeliği ilgili kişinin başvuru hakkına bağlar.

Üçüncü satır ise talebin otomatik olarak kabul edilmeyeceğini gösterir; şartlar ayakta ise talep gerekçeli olarak reddedilebilir.

Bu yönüyle talep üzerine imha, resen imhadan farklı değil; yalnızca tetikleyicisi farklıdır.

7) Kayıt Tutma ve Üç Yıllık Saklama

Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesiyle ilgili yapılan bütün işlemler kayıt altına alınır ve söz konusu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az üç yıl süreyle saklanır.

Burada ilginç bir denge vardır: veri imha edilir, ancak imhanın kaydı tutulur.

Üçüncü satırdaki süre asgarîdir; dördüncü satır ise daha uzun saklama gerektiren hâlleri saklı tutar.

Bu kayıt, bir denetimde imha yükümlülüğünün yerine getirildiğini gösteren yegâne delildir.

Kayıtta ne bulunmalı?

Üçüncü satır olmadan, imhanın süresinde yapıldığı gösterilemez.

Beşinci satır ise resen imhanın hangi olguya dayandığını belgelendirir.

Bu beş kalem, periyodik imha tutanağının asgarî içeriğini oluşturur.

8) Üç İmha İşlemi

Üç işlem de aynı yükümlülüğü karşılar; veri sorumlusu duruma uygun olanı seçer.

Üçüncü satırdaki anonim hale getirme, verinin kullanılmaya devam edilmesini mümkün kılan tek seçenektir.

Bu nedenle istatistik veya analiz ihtiyacı bulunan hâllerde tercih edilir.

Yöntemlerin açıklanması

Veri sorumlusu, kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi işlemiyle ilgili uyguladığı yöntemleri ilgili politika ve prosedürlerinde açıklamakla yükümlüdür.

Bu hüküm, politikayı soyut bir metin olmaktan çıkarır.

“Verileriniz güvenli biçimde imha edilir” gibi bir cümle, yöntem açıklaması sayılmaz.

Fiziksel ve elektronik ortamlar için uygulanan yöntemler ayrı ayrı gösterilmelidir.

Anonim hale getirmede sorumluluk

Veri sorumlusu, kişisel verilerin anonim hale getirilmesiyle ilgili gerekli her türlü teknik ve idari tedbirleri almakla yükümlüdür.

Bu hüküm, anonimleştirmenin gerçekten sağlanmasını gerektirir; eksik bir anonimleştirme imha sayılmaz.

Veriden kimliğe geri dönülebiliyorsa, ortada anonim veri değil hâlâ kişisel veri vardır.

9) İmhada Uyulacak Kurallar

Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesinde Kanunun 4 üncü maddesindeki genel ilkeler ile 12 nci maddesi kapsamında alınması gereken teknik ve idari tedbirlere, ilgili mevzuat hükümlerine, Kurul kararlarına ve kişisel veri saklama ve imha politikasına uygun hareket edilmesi zorunludur.

Beşinci satır dikkat çekicidir: veri sorumlusu, kendi yazdığı politikaya da uymak zorundadır.

Yani politikada belirlenen süre veya yöntem, sonradan keyfî olarak değiştirilemez.

Dördüncü satır ise Kurul kararlarını doğrudan bir uygunluk ölçütü hâline getirir.

10) Politikanın İçeriği

Yönetmelik, saklama ve imha politikasında yer alması gereken hususları sayar. Doğrudan metinde geçen bazı kalemler şunlardır:

Üçüncü satır çoğu politikada eksiktir; oysa sorumluluğun kime ait olduğu açıkça gösterilmelidir.

Dördüncü satır ise politikanın canlı bir belge olduğunu gösterir; değişiklikler metne işlenir.

İlk iki satır birbirinden ayrıdır: saklama güvenliği ile imha güvenliği farklı tedbirler gerektirir.

11) Yönetmeliğin Kapsamı

İkinci satır kapsamı belirler ve KVKK’nın genel uygulama alanıyla örtüşür.

Dağınık ve sistemsiz tutulan kayıtlar, veri kayıt sisteminin parçası olmadıkları ölçüde bu kapsam dışında kalabilir.

Üçüncü satır ise yükümlülüğü veri sorumlusuna bağlar; veri işleyen bakımından sorumluluk sözleşme ilişkisi üzerinden kurulur.

12) Uygulama Adımları

İkinci adım en çok emek isteyen kısımdır; her veri türünün hangi işleme şartına dayandığı ayrı ayrı tespit edilir.

Üçüncü adım bu tespite dayanır: şart ne kadar sürerse, saklama da o kadar sürer.

Altıncı ve yedinci adım olmadan ilk beş adım yalnızca bir metin olarak kalır.

Saklama süresi nasıl belirlenir?

Birinci satır en güvenli dayanaktır; mevzuatta açık bir süre varsa tartışma kalmaz.

İkinci satır KVKK m.4’teki gerekli olan süre kadar saklama ilkesiyle doğrudan bağlantılıdır.

Üçüncü satır ise hukuki bir menfaate dayanır ve gerekçesinin politikada gösterilmesi isabetlidir.

13) Denetimde Sorulanlar

Dördüncü ve beşinci satır, politikanın işletilip işletilmediğini gösteren tek somut delildir.

İlk üç satır belge düzeyinde cevaplanabilir; son üçü ise uygulama ister.

Yönetmeliğin “politika hazırlanmış olması yeterli değildir” hükmü tam da bu ayrımı hedefler.

14) Sık Karıştırılan Kavramlar

Beşinci satır sıkça karıştırılır: aydınlatma metni dışa, politika ise içe dönük bir belgedir.

Aydınlatma metninde saklama süresine yer verilmesi, ayrıca bir politika hazırlanmış olduğu anlamına gelmez.

Dördüncü satır ise çoğu kurumda hiç üretilmez; oysa kayıt yükümlülüğünün karşılığı budur.

15) Mevzuat Haritası

Üçüncü satır imha yükümlülüğünün tetikleyicisidir; şartların tamamı ortadan kalkmadıkça yükümlülük doğmaz.

Altıncı satır ise politika hazırlama yükümlülüğünün kapsamını belirler.

⚠️ Uyarı: Veri Sorumluları Siciline kayıt yükümlülüğünün kapsamı ve istisnaları Kurul kararlarıyla belirlenmekte ve değişebilmektedir. Politika hazırlama yükümlülüğü buna bağlı olduğundan, somut bir durumda güncel Kurul kararları ve Kurum duyuruları teyit edilmelidir.

Sayıların tamamı bir arada

İlk iki satır birer üst sınır, üçüncü satır ise bir alt sınır koyar.

Bu üç sayı, uygulamadaki denetimlerin adeta omurgasını oluşturur.

Tek cümlelik özet

Önce envanter, sonra politika, ardından fiilî imha ve mutlaka kayıt.

16) Yönetmeliğin Kelime Kelime Okunması

Beşinci satır ters yönde okunmalıdır: imha için şartların tamamının kalkması gerektiğinden, tek bir şartın ayakta kalması saklamayı meşru kılar.

İkinci ve üçüncü satır birlikte, uygulamadaki iki zıt yanılgıyı aynı anda düzeltir: belge sahibi olmak yetmez, belge sahibi olmamak da muaf kılmaz.

Yedinci satırdaki “en az” ibaresi ise diğer mevzuattan doğan daha uzun sürelerin saklı olduğunu gösterir.

En çok atlanan üç ibare

Üç ibare de Yönetmeliğin caydırıcı yanını oluşturur ve doğrudan denetim ölçütüne dönüşür.

Bir uyum çalışmasında bu üçü baştan kontrol maddesi hâline getirilmelidir.

17) Üç Senaryo

Üçüncü satır önemlidir: politika hazırlama yükümlülüğü bulunmayan bir veri sorumlusu, imhayı süresinde yapmışsa bu yönden bir aykırılık doğmaz.

İlk satır ise en sık karşılaşılan hâldir; metin hazırlanmış ancak çevrim hiç işletilmemiştir.

İkinci satırdaki hata ise tek bir sayının düzeltilmesiyle giderilebilir.

18) Kapanış

Dördüncü satır bu yazının ana tezidir ve Yönetmeliğin açık hükmüne dayanır.

Beşinci ve altıncı satır ise uygunluğun gösterilebilmesini sağlar; yapılan ama kaydedilmeyen bir imha, yapılmamış gibi değerlendirilir.

Tek cümlelik özet

Politika bir vaat, periyodik imha o vaadin yerine getirilmesi, tutanak ise bunun ispatıdır; üçü birlikte olmadan uygunluk doğmaz.

19) Envanterin Yapısı

Altıncı sütun envanter ile politikayı birleştiren halkadır; politika bu süreleri devralır.

Dördüncü sütun ise imha yükümlülüğünün tetikleyicisini gösterir: şart ortadan kalktığında imha gündeme gelir.

Beşinci sütun, silme yapıldığında bunun kimlere bildirileceğini belirlemekte kullanılır.

Envanter neden önce gelir?

Üç satır da aynı sonuca çıkar: envantersiz bir politika, uygulanamaz bir metindir.

Yönetmeliğin politikayı envantere bağlaması da bu nedenle bir şekil şartı değil, işlevsel bir zorunluluktur.

Nitekim hüküm, politikanın envantere uygun olarak hazırlanmasını arar.

20) Fiziksel ve Elektronik Ortam

Birinci satır uygulamadaki en sık eksikliktir: ana sistemden silinen bir veri yedeklerde kalmaya devam edebilir.

Yönetmelik, uygulanan yöntemlerin politika ve prosedürlerde açıklanmasını aradığından, yedekler bakımından izlenen usulün de gösterilmesi beklenir.

Üçüncü satır ise aktarım yapılan taraflardaki kopyaları hedefler; bu, ilgili kişinin bildirim hakkıyla da doğrudan bağlantılıdır.

İkinci satırda ise imha yöntemi tamamen farklıdır ve politikada ayrıca tanımlanmalıdır.

Yedekler nasıl ele alınır?

Üçüncü satır sıkça gözden kaçar: imha edilmiş bir verinin yedekten geri gelmesi, imhayı fiilen ortadan kaldırır.

Bu nedenle geri yükleme sonrasında izlenecek usulün de politikada tanımlanması isabetlidir.

Yönetmelik bu konuda ayrı bir hüküm sevk etmemekle birlikte, uygulanan yöntemlerin açıklanması yükümlülüğü bu ayrıntıyı da kapsar.

Aynı mantık test ve geliştirme ortamlarına alınmış kopyalar için de geçerlidir; bu ortamlar envanterde görünmüyorsa imha çevrimi de onlara ulaşmaz.

Yönetmeliğin politikayı envantere bağlamasının pratik değeri tam olarak buradadır: envanterde olmayan bir ortam, politikada da yer almaz.

Bu nedenle envanter çalışması yalnızca veri kategorilerini değil, verinin bulunduğu tüm ortamları kapsamalıdır: üretim sistemleri, yedekler, arşivler, test ortamları ve fiziksel evrak.

Bu beş başlık gözden geçirildiğinde, imha çevriminin gerçekten eksiksiz işleyip işlemediği görülebilir.

Aksi hâlde politika yalnızca bir kısım veri için işler ve geri kalanı süresiz biçimde saklanmaya devam eder.

21) Sık Yapılan Sekiz Hata

• Politikayı yeterli sanmak. Yönetmelik aksini söyler.
• Envantersiz politika yazmak. Uygunluk aranır.
• Yükümlü olmayınca serbest sanmak. İmha devam eder.
• Altı ayı aşmak. Tavan kanunîdir.
• Üç aylık süreyi bilmemek. Politikasızlara uygulanır.
• İmhayı kayıt altına almamak. Zorunludur.
• Kayıtları erken silmek. Süre vardır.
• Yöntemleri yazmamak. Açıklama yükümlülüğü var.

22) Kontrol Listesi

• Sicile kayıt yükümlülüğünüzü tespit edin.
• Envanteri çıkarın.
• Saklama sürelerini belirleyin.
• Periyodik imha aralığını yazın.
• Yöntemleri tanımlayın.
• İmha kayıtlarını tutun.
• Kayıtları süresince saklayın.
• Politikayı güncel tutun.

İlgili incelemelerimiz: kişisel veri işleme şartları ve açık rıza (KVKK m.5), ilgili kişi başvurusu ve Kurula şikâyet (m.11-15) ve veri işleyen sözleşmesi (DPA).

Sıkça Sorulan Sorular

Saklama ve imha politikası hazırlamak zorunlu mu?

Kanunun 16 ncı maddesi gereğince Veri Sorumluları Siciline kayıt olmakla yükümlü olan veri sorumluları bu politikayı hazırlamakla yükümlüdür.

Politika neye göre hazırlanır?

Kişisel veri işleme envanterine uygun olarak.

Envanter neden önce gelir?

Yönetmelik politikanın envantere uygun hazırlanmasını aradığından, hangi verinin ne kadar saklandığı önce tespit edilmelidir.

Politika hazırlamış olmak yeterli mi?

Hayır. Yönetmelik, politika hazırlanmış olmasının kişisel verilerin Kanuna ve Yönetmeliğe uygun biçimde saklandığı, silindiği, yok edildiği veya anonim hale getirildiği anlamına gelmediğini açıkça belirtir.

Politika hazırlama yükümlülüğü olmayanlar ne yapar?

Bu veri sorumlularının Kanun ve Yönetmelik uyarınca kişisel verileri saklama, silme, yok etme veya anonim hale getirme yükümlülükleri devam eder.

Yani yükümlü olmamak serbest bırakır mı?

Hayır. Yalnızca politika hazırlama yükümlülüğü doğmaz; imha yükümlülüğü sürer.

Resen imha ne zaman yapılır?

Politika hazırlamış olan veri sorumlusu, yükümlülüğün ortaya çıktığı tarihi takip eden ilk periyodik imha işleminde siler, yok eder veya anonim hale getirir.

Periyodik imha aralığını kim belirler?

Veri sorumlusu, kişisel veri saklama ve imha politikasında belirler.

Bu aralığın üst sınırı var mı?

Evet. Bu süre her hâlde altı ayı geçemez.

Politikası olmayan veri sorumlusu için süre nedir?

Yükümlülüğün ortaya çıktığı tarihi takip eden üç ay içinde siler, yok eder veya anonim hale getirir.

İki süre neden farklı?

Politikası olanlar periyodik imha düzenine, olmayanlar ise sabit üç aylık süreye tabidir.

Kurul bu süreleri değiştirebilir mi?

Kurul, telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık olması hâlinde bu maddede belirlenen süreleri kısaltabilir.

İmha yükümlülüğü ne zaman doğar?

Kanunun 5 inci ve 6 ncı maddelerinde yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması hâlinde.

İlgili kişi silme talep ederse ne olur?

İlgili kişi, Kanunun 11 inci ve 13 üncü maddelerine istinaden veri sorumlusuna başvurarak silinmesini veya yok edilmesini talep edebilir.

İşleme şartları ortadan kalkmışsa?

Veri sorumlusu talebe konu kişisel verileri siler, yok eder veya anonim hale getirir.

İmhada hangi kurallara uyulur?

Kanunun 4 üncü maddesindeki genel ilkeler ile 12 nci maddesi kapsamında alınması gereken teknik ve idari tedbirlere, ilgili mevzuat hükümlerine, Kurul kararlarına ve saklama ve imha politikasına uygun hareket edilmesi zorunludur.

İmha işlemleri kayıt altına alınır mı?

Evet. Silme, yok etme ve anonim hale getirmeyle ilgili yapılan bütün işlemler kayıt altına alınır.

Bu kayıtlar ne kadar saklanır?

Diğer hukuki yükümlülükler hariç olmak üzere en az üç yıl süreyle.

Kullanılan yöntemler açıklanır mı?

Veri sorumlusu, silme, yok etme veya anonim hale getirme işlemiyle ilgili uyguladığı yöntemleri ilgili politika ve prosedürlerinde açıklamakla yükümlüdür.

Kaç imha yöntemi vardır?

Yönetmelik silme, yok etme ve anonim hale getirme olmak üzere üç işlemi düzenler.

Anonim hale getirmede sorumluluk kimdedir?

Veri sorumlusu, kişisel verilerin anonim hale getirilmesiyle ilgili gerekli her türlü teknik ve idari tedbirleri almakla yükümlüdür.

Politikada neler yer alır?

Yönetmelik, saklama ve imha politikasında bulunması gereken hususları sayar; bunlar arasında alınan teknik ve idari tedbirler ile süreçlerde görev alanların unvan, birim ve görev tanımları da bulunur.

Politikada güncelleme olursa ne yapılır?

Mevcut politikada güncelleme yapılmışsa söz konusu değişikliğe de politikada yer verilir.

Yönetmeliğin dayanağı nedir?

6698 sayılı Kanunun 7 nci maddesinin üçüncü fıkrası ile 22 nci maddesinin birinci fıkrasının (e) bendi.

Yönetmelik kimler hakkında uygulanır?

6698 sayılı Kanunun 7 nci maddesi uyarınca veri sorumluları hakkında uygulanır.

Hangi veriler kapsamdadır?

Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel veriler.

Sicile kayıt yükümlülüğü kimler için doğar?

Kapsam ve istisnalar Kurul kararlarıyla belirlenmekte olup güncel düzenlemelerin teyit edilmesi gerekir.

Envanter ile politika arasındaki fark nedir?

Envanter mevcut işleme faaliyetlerini gösterir; politika ise saklama sürelerini ve imha yöntemlerini belirler.

Politika tek başına savunma sağlar mı?

Hayır. Yönetmelik, politikanın varlığının uygunluk anlamına gelmediğini açıkça düzenler.

En kritik nokta nedir?

Politikada yazılı periyodik imha aralığının altı ayı aşmaması ve imha işlemlerinin kayıt altına alınması.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımaz. Kamu ihale mevzuatı ve Kamu İhale Genel Tebliği sık güncellenmektedir; somut ihalede ilan, ihale dokümanı ve işlem tarihinde yürürlükte olan hükümler esas alınmalıdır.