Kişisel Veri Saklama ve İmha Politikası

Saklama ve İmha Yükümlülüğünün Dayanağı Nedir?

KVKK m.4/2-d uyarınca kişisel veriler, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmelidir. Bu ilke, her veri için bir saklama süresi belirlenmesini ve sürenin sonunda verinin imha edilmesini zorunlu kılar.

KVKK m.7’ye göre hukuka uygun olarak işlenmiş olsa bile, işlenmesini gerektiren sebepler ortadan kalktığında kişisel veriler resen veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hâle getirilir. Usul ve esaslar, 28.10.2017 tarihli Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik ile düzenlenmiştir.

Bu nedenle saklama ve imha politikası yalnızca bir belge değil, verinin yaşam döngüsünü yöneten bir iç düzenlemedir. Yönetmelik de politikanın hazırlanmış olmasının, verilerin mevzuata uygun saklandığı veya imha edildiği anlamına gelmediğini açıkça belirtir (Yönetmelik m.5/2).

Kimler Politika Hazırlamak Zorunda?

Yönetmelik m.5/1 uyarınca KVKK m.16 gereğince Veri Sorumluları Siciline (VERBİS) kayıt olmakla yükümlü veri sorumluları, kişisel veri işleme envanterine uygun olarak saklama ve imha politikası hazırlamak zorundadır.

Sicile kayıt zorunluluğundan istisna edilen veri sorumluları politika hazırlamak zorunda değildir; ancak saklama, silme, yok etme ve anonim hâle getirme yükümlülükleri aynen devam eder (Yönetmelik m.5/3). Bu veri sorumluları, imha yükümlülüğünün doğduğu tarihten itibaren üç ay içinde verileri imha etmelidir (Yönetmelik m.11/3).

Sicile kayıt bildirimi, kişisel verilerin işlendikleri amaç için gerekli olan azami süreyi de içerir (KVKK m.16/3-f). Bu nedenle VERBİS’e bildirilen süreler ile politikadaki saklama süreleri tablosu birbiriyle uyumlu olmalıdır.

Politikada Neler Yer Almalı?

Yönetmelik m.6 politikanın asgari içeriğini sayar: politikanın amacı, kapsadığı kayıt ortamları, kullanılan hukuki ve teknik terimlerin tanımları, saklama ve imhayı gerektiren hukuki, teknik veya diğer sebepler, güvenli saklama ve hukuka uygun imha için alınan teknik ve idari tedbirler.

Politikada ayrıca saklama ve imha süreçlerinde görev alanların unvan, birim ve görev tanımları, saklama ve imha sürelerini gösteren tablo, periyodik imha süreleri ve politikada yapılan güncellemeler yer almalıdır (Yönetmelik m.6/f-h).

Saklama süreleri belirlenirken önce özel mevzuattaki süreler (örneğin ticari defter ve belgeler, iş ve sosyal güvenlik kayıtları, vergi belgeleri) esas alınır; özel süre yoksa işleme amacı için gerekli azami süre belirlenir. Kişisel veri işleme envanteri, hangi veri kategorisinin hangi amaçla ve ne kadar süre tutulduğunu gösteren temel belgedir (Yönetmelik m.4/1-e).

İmha Yöntemleri ve Süreler

Yönetmelik üç imha yöntemi tanımlar: silme, verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesi; yok etme, verinin hiç kimse tarafından erişilemez, geri getirilemez ve tekrar kullanılamaz hâle getirilmesi; anonim hâle getirme ise verinin başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek hâle getirilmesidir (Yönetmelik m.8-10).

Politika hazırlayan veri sorumlusu, imha yükümlülüğünün doğduğu tarihi izleyen ilk periyodik imhada verileri imha eder. Periyodik imha aralığı politikada belirlenir ve her hâlde altı ayı geçemez (Yönetmelik m.11/1-2).

Silme, yok etme ve anonim hâle getirme ile ilgili bütün işlemler kayıt altına alınır ve bu kayıtlar, diğer hukuki yükümlülükler hariç en az üç yıl saklanır (Yönetmelik m.7/3). Kurul, telafisi güç zarar ve açık hukuka aykırılık hâlinde bu süreleri kısaltabilir (Yönetmelik m.11/4).

İlgili Kişinin Silme Talebi ve Yaptırımlar

İlgili kişi, KVKK m.7 çerçevesinde verilerinin silinmesini veya yok edilmesini isteme hakkına sahiptir (KVKK m.11/1-e). İşleme şartlarının tamamı ortadan kalkmışsa veri sorumlusu talebi en geç otuz gün içinde sonuçlandırır; şartlar devam ediyorsa talebi gerekçesini açıklayarak reddeder (Yönetmelik m.12; KVKK m.13/2).

Silinmesi talep edilen veriler üçüncü kişilere aktarılmışsa, veri sorumlusu durumu üçüncü kişiye bildirir ve orada da gerekli işlemlerin yapılmasını sağlar (Yönetmelik m.12/1-b). Ret veya cevapsız kalma hâlinde ilgili kişi Kurula şikâyet yoluna gidebilir.

KVKK m.7’ye aykırı olarak kişisel verileri silmeyen veya anonim hâle getirmeyenler, TCK m.138 uyarınca bir yıldan iki yıla kadar hapis cezası ile cezalandırılır (KVKK m.17/2). Ayrıca VERBİS kayıt yükümlülüğüne aykırılık ve Kurul kararlarına uymama idari para cezası gerektirir (KVKK m.18).

Adım Adım: Politika Hazırlama Süreci

1. Envanteri çıkarın: Her birimin işlediği veri kategorilerini, işleme amacını, hukuki sebebini, aktarıldığı alıcıları ve kayıt ortamlarını (sunucu, bulut, e-posta, fiziksel arşiv) listeleyin. Politika, envanterle uyumlu olmak zorundadır.

2. Süreleri belirleyin ve tabloya dökün: Her veri kategorisi için özel mevzuattaki saklama süresini veya işleme amacına göre azami süreyi belirleyin; sürenin başlangıç anını (ilişkinin sona ermesi, işlemin tarihi gibi) açıkça yazın. Periyodik imha aralığını altı ayı aşmayacak şekilde seçin.

3. Uygulamayı kayda bağlayın: İmha yöntemini her kayıt ortamı için tanımlayın, görevli personeli belirleyin, imha tutanaklarını en az üç yıl saklayın ve politikayı VERBİS bildirimiyle birlikte düzenli olarak güncelleyin.

Sıkça Sorulan Sorular

Saklama ve imha politikası hazırlamak zorunlu mu?

VERBİS’e kayıt yükümlüsü olan veri sorumluları için zorunludur (Yönetmelik m.5/1).

VERBİS kaydı gerekmeyen şirket veri imha etmek zorunda mı?

Evet; politika hazırlamasa da imha yükümlülüğü devam eder ve imha üç ay içinde yapılmalıdır (Yönetmelik m.5/3, m.11/3).

Periyodik imha ne sıklıkta yapılmalı?

Aralık politikada belirlenir; her hâlde altı ayı geçemez (Yönetmelik m.11/2).

Silme ile yok etme arasındaki fark nedir?

Silmede veri ilgili kullanıcılar için erişilemez olur; yok etmede ise hiç kimse tarafından geri getirilemez hâle gelir (Yönetmelik m.8-9).

İmha kayıtları ne kadar saklanır?

İmha işlemlerine ilişkin kayıtlar en az üç yıl saklanır (Yönetmelik m.7/3).

Silme talebine kaç günde cevap verilmeli?

Talep en geç otuz gün içinde sonuçlandırılır (KVKK m.13/2, Yönetmelik m.12).

Verileri silmemek suç mu?

KVKK m.7’ye aykırı olarak verileri silmeyen veya anonim hâle getirmeyenler TCK m.138’e göre cezalandırılır (KVKK m.17/2).

Politikada hangi başlıklar zorunlu?

Amaç, kayıt ortamları, tanımlar, saklama ve imha sebepleri, teknik ve idari tedbirler, görevliler, süre tablosu ve periyodik imha süreleri zorunludur (Yönetmelik m.6).

Anonim hâle getirilen veri kişisel veri sayılır mı?

Başka verilerle eşleştirilse dahi kişiyle ilişkilendirilemeyecek hâle getirilmişse artık kişisel veri niteliği taşımaz (KVKK m.3/1-b, Yönetmelik m.10).