Kişisel verilerin hukuka uygun olarak işlenmiş olması, bu verilerin süresiz biçimde saklanabileceği sonucunu doğurmaz. 6698 sayılı Kişisel Verilerin Korunması Kanunu m. 7 uyarınca, kanuna ve ilgili diğer mevzuat hükümlerine uygun işlenmiş verilerin işlenmesini gerektiren sebepler ortadan kalktığında, bu verilerin veri sorumlusu tarafından resen veya ilgili kişinin talebi üzerine silinmesi, yok edilmesi veya anonim hale getirilmesi zorunludur. Kanunun 7 nci maddesi ayrıca diğer kanunlarda yer alan özel hükümlerin saklı olduğunu ve imhaya dair usul ve esasların yönetmelikle düzenleneceğini öngörmüştür. Bu çerçevede hazırlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik 28.10.2017 tarihli ve 30224 sayılı Resmi Gazete'de yayımlanarak 01.01.2018 tarihinde yürürlüğe girmiştir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 7Kaynağı aç
Kişisel Verilerin Silinmesi Yöntemi ve Uygulama Esasları
Kişisel verilerin silinmesi, verilerin ilgili kullanıcı grubu bakımından hiçbir surette erişilemez ve yeniden kullanılamaz duruma getirilmesini ifade eder. Veri sorumlusu, silme işleminin ardından söz konusu verilerin ilgili kullanıcılar nezdinde erişim ve kullanım dışı kalmasını temin edecek her türlü teknik ve idari tedbiri almakla yükümlüdür.
Silme işleminin verinin bulunduğu ortama göre yürütülmesi gerekir. Kağıt ortamındaki verilerin mümkün olan durumlarda kesilmesi, bunun mümkün olmadığı hallerde ise teknolojik çözümlerle okunamayacak ve geri döndürülemeyecek biçimde sabit mürekkep kullanılarak karartılması icap eder. Bulut sistemlerinde silme komutu verilerek geri getirme yetkisinin kaldırılması, merkezi sunucularda silme komutunun tatbiki veya erişim haklarının kaldırılması, veritabanlarında ise silinen satırlar üzerinde kullanıcının yönetici yetkisine sahip olmamasına dikkat edilmesi öngörülen yöntemler arasındadır.
Kişisel Verilerin Yok Edilmesi ve Teknik Yöntemler
Kişisel verilerin yok edilmesi, bilgilerin hiç kimse tarafından hiçbir surette erişilemeyecek, geri çağrılamayacak ve yeniden kullanılamayacak konuma getirilmesidir. Veri sorumlusunun verilerin yok edilmesine ilişkin her türlü teknik ve idari önlemi alması kanuni zorunluluktur.
Yok etme işleminde ortamın niteliğine göre farklı teknik yöntemler uygulanır. Yerel sistemlerde bulunan veriler için de-manyetize etme, optik ve manyetik medyanın yakılması, eritilmesi veya toz haline getirilmesi gibi fiziksel imha usulleri ya da üzerine yazma yöntemleri tatbik edilebilir. Kağıt ortamındaki veriler ise imha veya kırpma makineleri vasıtasıyla geri birleştirilemeyecek şekilde küçük parçalara bölünmelidir. Ayrıca bulut bilişim hizmet ilişkisi sona erdiğinde, verileri kullanılır hale getirmek için gerekli şifreleme anahtarlarının tüm kopyalarının yok edilmesi gerekir.
Kişisel Verilerin Anonim Hale Getirilmesi
Anonim hale getirme işlemi, kişisel verilerin başka verilerle bir araya getirilmesi durumunda dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek duruma dönüştürülmesidir. Veri sorumlusu, anonimleştirme sürecinde bu ayrıştırmayı sağlayacak lüzumlu teknik ve idari tedbirleri eksiksiz uygulamakla yükümlüdür.
Anonim hale getirmedeki temel amaç, veri ile bu verinin tanımladığı kişi arasındaki bağın koparılmasıdır. Veri kayıt sistemindeki kayıtlara uygulanan otomatik olan veya olmayan gruplama, maskeleme, türetme, genelleştirme ve rastgele hale getirme gibi yöntemlerle yürütülen bağ koparma işlemlerinin bütünü anonim hale getirme yöntemleri kapsamındadır.
Kişisel Veri Saklama ve İmha Politikası
6698 sayılı Kanun m. 16/3-f hükmü uyarınca, Veri Sorumluları Siciline kayıt başvurusunda kişisel verilerin işlendikleri amaç için gerekli azami saklama süresinin gösterilmesi zorunludur. Veri Sorumluları Siciline kayıt yükümlülüğü bulunan veri sorumlularının kişisel veri işleme envanteriyle uyumlu bir saklama ve imha politikası düzenlemesi aranmaktadır. Bununla birlikte söz konusu politikanın hazırlanmış bulunması, kişisel verilerin mevzuata uygun şekilde saklandığı veya imha edildiği sonucunu tek başına doğurmaz. Politikayı hazırlama zorunluluğu altında olmayan veri sorumlularının da verileri saklama, silme, yok etme ya da anonim hale getirme yönündeki kanuni yükümlülükleri aynen devam eder.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 16Kaynağı aç
Kişisel veri saklama ve imha politikasının asgari olarak politikanın hazırlanma amacını, düzenlenen kayıt ortamlarını, hukuki ve teknik terimlerin tanımlarını, verilerin saklanmasını ve imhasını gerektiren hukuki ve teknik sebepleri, güvenli saklama ve hukuka aykırı erişimi önleme adına alınan teknik ve idari tedbirleri, görev tanımlarını, saklama ve imha sürelerini gösteren tabloyu, periyodik imha sürelerini ve varsa değişiklik bilgilerini içermesi aranır.
İmha Süreleri ve Kayıtların Saklanması
Kişisel veri saklama ve imha politikası hazırlayan veri sorumluları, verileri silme, yok etme veya anonim hale getirme yükümlülüğünün doğduğu tarihi izleyen ilk periyodik imha uygulamasında bu işlemi yerine getirir. Periyodik imhanın hangi aralıklarla yürütüleceği politikada gösterilmekle birlikte bu süre hiçbir surette altı ayı aşamaz. Politika hazırlama zorunluluğu bulunmayan veri sorumluları ise imha yükümlülüğünün ortaya çıktığı andan itibaren üç ay içinde gerekli silme, yok etme veya anonimleştirme işlemlerini tamamlamak zorundadır.
Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesiyle ilgili yapılan bütün işlemler kayıt altına alınır. Diğer hukuki yükümlülükler saklı kalmak üzere, söz konusu imha kayıtlarının en az üç yıl süreyle muhafaza edilmesi yasal zorunluluktur.
İlgili kişinin kişisel verilerin silinmesi veya yok edilmesi talebi ne kadar sürede sonuçlandırılır?
Veri sorumlusu, ilgili kişinin talebini en geç otuz gün içinde sonuçlandırır ve kişiye bilgi verir. Kişisel verileri işleme şartlarının tamamı ortadan kalkmış ve veriler üçüncü kişilere aktarılmışsa veri sorumlusu durumu üçüncü kişiye bildirerek gerekli işlemlerin yapılmasını temin eder. İşleme şartlarının tamamı ortadan kalkmamışsa veri sorumlusu talebi gerekçesini açıklayarak reddedebilir ve ret cevabı en geç otuz gün içinde ilgili kişiye yazılı olarak ya da elektronik ortamda bildirilir.
Periyodik imha süresi en fazla ne kadar belirlenebilir?
Kişisel veri saklama ve imha politikası hazırlamış olan veri sorumluları için periyodik imha süresi veri sorumlusu tarafından belirlenmekle birlikte bu aralık hiçbir halde altı ayı geçemez.
İmha işlem kayıtları ne kadar süre saklanmak zorundadır?
Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesiyle ilgili tutulan bütün işlem kayıtları, diğer hukuki yükümlülüklere ilişkin süreler saklı tutulmak kaydıyla en az üç yıl muhafaza edilir.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy