6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında veri sorumluları, kişisel verilerin işlenme amacı ortadan kalktığında bu verileri silmek, yok etmek veya anonim hale getirmekle yükümlüdür. Bu yazıda kişisel veri silme ve imha politikası hakkında genel bilgi verilmekte, silme, yok etme ve anonimleştirme kavramları ile dikkat edilmesi gereken hususlar özetlenmektedir. Bu metin hukuki danışmanlık yerine geçmez.
KVKK'da Silme ve İmha Yükümlülüğü
KVKK madde 7, kişisel verilerin işlenme amaçlarının ortadan kalkması halinde verilerin silinmesi, yok edilmesi veya anonim hale getirilmesini öngörmektedir. Ayrıca ilgili kişinin talebi halinde, Kanunun 11. maddesi kapsamında silme talebine yanıt verilmesi gerekmektedir. Veri sorumlusu, hem kendi inisiyatifiyle hem de ilgili kişi talebi üzerine bu işlemleri gerçekleştirmekle yükümlüdür.
Silme ve imha politikası, veri sorumlusunun bu yükümlülüğü nasıl yerine getireceğini belirleyen dokümandır. Politika hazırlanırken işlenen veri türleri, saklama süreleri, silme/imha/anonimleştirme yöntemleri ve sorumlu kişiler belirlenmelidir. Veri saklama süreleri politikası ile uyumlu olması önerilir.
Silme, Yok Etme ve Anonimleştirme
KVKK ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik kapsamında bu üç kavram farklı anlamlar taşımaktadır:
Silme
Silme, kişisel verilerin ilgili kişiyle ilişkilendirilemeyecek şekilde ortadan kaldırılmasıdır. Veri, geri getirilemeyecek biçimde sistemden çıkarılır. Yazılım veya veritabanı tabanlı sistemlerde silme işlemi kalıcı olmalı; geçici silme veya "çöp kutusu" benzeri ara adımlar tek başına yeterli sayılmayabilir.
Yok Etme
Yok etme, kişisel verilerin fiziksel olarak imha edilmesidir. Kâğıt belgeler, CD, disket, hard disk gibi fiziksel ortamlarda bulunan veriler için geçerlidir. Parçalama, yakma, manyetik silme veya kimyasal işlemler uygun yöntemler arasında sayılabilir. Veri taşıyan cihazın fiziksel imhası, Kurul tarafından belirlenen kriterlere uygun yapılmalıdır.
Anonim Hale Getirme
Anonimleştirme, kişisel verilerin başka verilerle eşleştirilerek dahi kimliği belirli veya belirlenebilir gerçek kişiye ulaşılmasının mümkün olmadığı hale getirilmesidir. Veri, istatistik veya bilimsel amaçlarla kullanılabilir ancak kişiye özgü bilgi taşıyamaz. Toplulaştırma, maskeleme veya veri türetme gibi teknikler kullanılabilir.
Politika Oluştururken Dikkat Edilecekler
Veri silme ve imha politikası hazırlanırken aşağıdaki unsurların belirlenmesi genel çerçevede önerilir:
- Veri türleri: Hangi veri kategorilerinin işlendiği ve her biri için uygun yöntem.
- Saklama süreleri: Saklama süreleri ile uyumlu silme zamanlaması.
- İşlem yöntemleri: Dijital veriler için silme, fiziksel ortamlar için yok etme prosedürleri.
- Sorumlular: Silme/imha işlemlerini yapacak kişi veya birimler.
- Belge tutma: İşlemin gerçekleştirildiğine dair kayıt veya tutanak.
İlgili Kişi Talebi ve Silme Hakkı
KVKK 11. madde kapsamında ilgili kişi, kişisel verilerinin silinmesini talep edebilir. Veri sorumlusu, talebin reddi için Kanunda öngörülen istisnalar dışında silme işlemini gerçekleştirmekle yükümlüdür. Örneğin vergi mevzuatı gereği saklama zorunluluğu varsa, bu süre dolana kadar silme reddedilebilir. Detaylı bilgi için ilgili kişi hakları rehberimizi inceleyebilirsiniz.
Veri sorumlusu, silme talebine en geç 30 gün içinde yazılı veya elektronik ortamda cevap vermekle yükümlüdür. Talebin reddi halinde gerekçe belirtilmelidir.
Veri İşleyenler ve Silme
Veri sorumlusu adına veri işleyen üçüncü taraflar (hosting, bulut hizmeti, e-posta sağlayıcısı vb.) da silme sürecine dahil edilmelidir. Veri işleyen sözleşmelerinde silme talebinin iletilmesi ve işleyen tarafından yerine getirilmesi hükme bağlanması önerilir. Yedekler, cache veya dağıtık sistemlerdeki kopyaların da silinmesi unutulmamalıdır.
Sonuç
Kişisel veri silme ve imha politikası, KVKK uyum sürecinin önemli bir parçasıdır. Veri sorumlularının bu politikayı hazırlaması, güncellemesi ve uygulaması genel olarak tavsiye edilir. Somut durumunuza uygun politika ve prosedürler için hukuk danışmanınıza başvurmanız önerilir.