Kişisel Veri Saklama ve İmha Politikası Zorunlu mu?

Kişisel Veri Saklama ve İmha Politikası Zorunlu mu?

İlgili hizmet sayfası → Fikri Mülkiyet Avukatı: Marka, telif, haksız rekabet ve dijital hukuk uyuşmazlıkları için hizmet sayfası.

Kısa cevap: VERBİS'e kayıt yükümlülüğü bulunan veri sorumluları için yazılı bir kişisel veri saklama ve imha politikası hazırlamak zorunludur. Bu yükümlülüğü taşımayan veri sorumluları politika hazırlamak zorunda değildir; ancak silme, yok etme ve anonim hale getirme işlemlerini ilgili yönetmeliğin öngördüğü usullere uygun yapmak yine zorunludur. Yani politika belgesinden muafiyet, imha yükümlülüğünden muafiyet anlamına gelmez.

Dayanak KVKK md. 7 ile Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'tir.

---

1. Yükümlülüğün Kaynağı

KVKK md. 7, kanuna uygun olarak işlenmiş olmasına rağmen işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel verinin resen veya ilgili kişinin talebi üzerine silineceğini, yok edileceğini veya anonim hale getirileceğini düzenler. Aynı madde usul ve esasların yönetmelikle belirleneceğini söyler¹.

Yönetmelik, sicile kayıt yükümlülüğü bulunan veri sorumlularına, kişisel veri işleme envanterine uygun bir saklama ve imha politikası hazırlama yükümlülüğü getirir. Politika envanterden bağımsız yazılamaz; envanter yoksa politika da gerçeği yansıtmaz. Kayıt yükümlülüğünün kapsamı VERBİS kaydı kimler için zorunlu sorusunda ayrıca açıklanır.

Önemli: Politika, internet sitesine konulan kısa bir metin değildir. İçinde her veri kategorisi için saklama süresi, hukuki dayanak, imha yöntemi ve sorumlu birim gösterilir. Bu ayrıntı yoksa belge denetimde uyum kanıtı sayılmaz.

---

2. Saklama Sürelerinin Mevzuatla Uyumlanması

Saklama süresi keyfi belirlenmez. Önce ilgili mevzuatta öngörülen bir süre var mı diye bakılır; yoksa işleme amacının gerektirdiği süre esas alınır.

Ticari defterler ve bunlara dayanak belgeler bakımından TTK md. 82, on yıllık saklama süresi öngörür. Vergi mevzuatı kendi zamanaşımı süresine bağlı bir saklama yükü getirir. İş mevzuatı ise özlük dosyaları ve iş ilişkisinden doğan alacaklar bakımından ayrı süreler üretir. Bu süreler çoğu zaman birbirinden farklıdır ve aynı belge birden çok rejime tabi olabilir.

Doğru yöntem, en uzun süreyi bütün veriye uygulamak değildir. Her veri kategorisi kendi süresine bağlanır. Bordro verisini on yıl tutmak zorunlu olabilirken, işe alınmayan adayın özgeçmişi için aynı süre savunulamaz; bu ayrımın ayrıntısı özgeçmiş saklama süresi sorusunda yer alır.

---

3. Periyodik İmha ve Kayıt Tutma

Yönetmelik, saklama süresi dolan verilerin belirli aralıklarla resen imha edilmesini öngörür ve periyodik imha aralığını azami altı ay olarak sınırlar. Politikada bu aralık açıkça yazılır ve fiilen uygulanır.

İmha işlemleri kayıt altına alınır. Silme, yok etme ve anonim hale getirme işlemlerine ilişkin kayıtlar, başka hukuki yükümlülükler saklı kalmak üzere en az üç yıl saklanır. Bu kayıtlar uyum denetiminde belirleyicidir: politika ne kadar iyi yazılmış olursa olsun, imha tutanağı yoksa yükümlülüğün yerine getirildiği ispatlanamaz.

İmha yöntemi de veri ortamına göre farklılaşır. Fiziksel evrakta kağıt imha, yerel sunucuda güvenli silme, bulut ortamında sağlayıcıyla kurulan silme prosedürü ve yedeklerde ayrı bir plan gerekir. Yedek ortamlar en sık atlanan noktadır: üretim ortamından silinen veri yedekte durmaya devam ediyorsa imha tamamlanmamıştır.

---

4. İlgili Kişinin Silme Talebi

İlgili kişi, KVKK md. 11 kapsamındaki hakları çerçevesinde verisinin silinmesini veya yok edilmesini isteyebilir. Talep veri sorumlusuna yapılır ve KVKK md. 13 uyarınca en geç otuz gün içinde sonuçlandırılır.

Talep her halde kabul edilmek zorunda değildir. Saklamayı gerektiren bir hukuki yükümlülük sürüyorsa veri korunur; ancak bu durumda gerekçe yazılı olarak bildirilir ve verinin işlenme amacı sınırlandırılır. Talep reddedilirse ilgili kişi Kurula şikayet yoluna gidebilir. Süreç işleyişi şirketten kişisel verilerimin silinmesini nasıl isterim sorusunda ayrıntılandırılmıştır.

---

Uygulamada

Politikanın en sık görülen kusuru, şablon metnin şirketin gerçek veri akışıyla eşleşmemesidir. Metinde sayılan veri kategorileri ile VERBİS bildiriminde beyan edilen kategoriler ve aydınlatma metninde verilen süreler birbirini tutmuyorsa, üç belge birbirinin aleyhine delil haline gelir. Kurul incelemesinde bu üçlü karşılaştırma rutin biçimde yapılır.

İkinci kusur, politikanın yazılıp uygulanmamasıdır. Periyodik imha aralığı belirlenir ama takvim işletilmez; bir yıl sonra imha edilmesi gereken veri sistemde durur. Bu durumda politika, ihlalin kendi ikrarını içeren belge olur. Politikayı yazan ekip ile imhayı uygulayacak bilgi işlem biriminin aynı masada oturması bu riski önler.

Üçüncü nokta anonim hale getirmedir. Kişiyi belirli veya belirlenebilir kılan tüm bağların koparılması gerekir; yalnızca ad ve soyadın silinmesi anonimleştirme sayılmaz. Kalan veri kümesi başka verilerle eşleştirilerek kişiye ulaşılabiliyorsa, işlem hala kişisel veri işleme rejimine tabidir.

---

İlgili içerikler için bkz. KVKK Aydınlatma Metni Rehberi, Başvuran Özgeçmişlerini Ne Kadar Süre Saklayabilirim?, Şirketten Kişisel Verilerimin Silinmesini Nasıl İsterim?, Haksız Rekabet.

Dipnotlar

1. 6698 sayılı Kişisel Verilerin Korunması Kanunu md. 7, md. 11, md. 13, RG 07.04.2016/29677. ↩