Kişisel Verilerin Silinmesi, Yok Edilmesi ve Anonimleştirilmesi Yükümlülüğü Nedir?

KVKK m. 7'ye göre bu Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler, veri sorumlusunun kararına veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hâle getirilir. Bu yükümlülük, verinin işlenme sürecinde hiçbir usulsüzlük bulunmasa dahi, işleme amacı sona erdiğinde kendiliğinden doğar.

Kişisel Verileri Koruma Kurulu, sicile kayıt yükümlülüğü altında olan veri sorumlularının kişisel veri saklama ve imha politikası hazırlaması gerektiğini belirlemiştir. Bu politika, hangi veri kategorisinin ne kadar süreyle saklanacağını, saklama süresi sona erdiğinde hangi yöntemle (silme, yok etme veya anonimleştirme) imha edileceğini ve bu işlemlerin ne sıklıkla periyodik olarak gerçekleştirileceğini önceden belirlemeyi amaçlar.

Bu üç kavram birbirinden farklı teknik ve hukuki sonuçlar doğurur:

• Silme: Kişisel verinin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz hâle getirilmesidir. Silinen veri, sistem içinde farklı bir ortamda (örneğin yedekte) fiilen var olmaya devam edebilir; ancak yetkisiz erişime kapatılmıştır.
• Yok etme: Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hâle getirilmesi işlemidir. Bu, verinin fiziksel veya dijital ortamdan tamamen kaldırılmasını ifade eder.
• Anonimleştirme: Kişisel verinin, başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesidir. Anonimleştirilen veri, artık KVKK anlamında kişisel veri sayılmadığından, bu veri üzerinde istatistiksel veya araştırma amaçlı işlemler kişisel veri işleme rejimine tabi olmadan yürütülebilir.

Hangi yöntemin uygulanacağı, verinin niteliğine, saklandığı ortama ve veri sorumlusunun ihtiyaçlarına göre belirlenir. Örneğin ileride istatistiksel analiz yapılması amaçlanan bir veri kümesi için anonimleştirme; artık hiçbir amaca hizmet etmeyen bir veri için yok etme tercih edilebilir.

Saklama süresinin belirlenmesinde temel ölçüt, verinin işlenme amacının gerektirdiği süredir. Bu süre belirlenirken:

• ilgili mevzuatta öngörülen asgari saklama süreleri (örneğin ticari defter ve belgelerin saklanmasına ilişkin süreler, iş hukukuna ilişkin belge saklama süreleri),
• olası bir hukuki uyuşmazlıkta zamanaşımı ve hak düşürücü süreler,
• verinin işlenme amacının fiilen ne zaman sona erdiği

birlikte değerlendirilir. Örneğin bir iş sözleşmesi sona erdikten sonra çalışana ait bazı belgelerin, olası bir iş davası ihtimaline karşı belirli bir süre daha saklanması gerekebilir; ancak bu süre sınırsız değildir ve genel zamanaşımı süreleri esas alınarak makul bir sınırla belirlenmelidir.

Uygulamada özellikle VERBİS'e kayıtlı veri sorumluları, kişisel veri saklama ve imha politikası hazırlamaktadır. Bu politika genel olarak şu unsurları içerir:

• veri kategorileri ve bu kategorilere ilişkin saklama süreleri,
• saklama süresinin hesaplanma yöntemi ve dayanağı,
• periyodik imha süreçlerinin ne sıklıkla (örneğin yılda bir veya iki kez) yapılacağı,
• imha yönteminin (silme, yok etme veya anonimleştirme) veri türüne göre nasıl belirleneceği,
• imha işleminin kaydının nasıl tutulacağı.

Bu politikanın yazılı hâle getirilmiş olması, hem iç süreçlerin standartlaştırılmasını sağlar hem de bir Kurul denetiminde veri sorumlusunun yükümlülüğünü yerine getirdiğini gösteren somut bir belge işlevi görür.

İlgili kişi, KVKK m. 11 kapsamındaki başvuru hakkını kullanarak, işlenme amacı ortadan kalkmış olduğunu düşündüğü verisinin silinmesini veya yok edilmesini talep edebilir. Veri sorumlusu, bu talebi değerlendirirken:

• verinin gerçekten işleme amacının ortadan kalkıp kalkmadığını,
• mevzuattan doğan bir saklama zorunluluğunun devam edip etmediğini,
• devam eden bir hukuki süreç bakımından verinin ispat aracı olarak gerekli olup olmadığını

incelemelidir. Talebin haklı bulunması hâlinde en geç KVKK m. 13'teki genel yanıt süresi içinde işlem yapılmalı ve ilgili kişiye sonuç bildirilmelidir. Talebin reddi hâlinde, ret gerekçesinin somut ve hukuki dayanağa uygun olması gerekir.

Saklama süresi dolmasına rağmen verinin silinmemesi, yok edilmemesi veya anonimleştirilmemesi, KVKK m. 18 kapsamında idari para cezasını gerektiren bir kabahat oluşturabilir. Ayrıca gereksiz yere saklanmaya devam eden veri, bir veri ihlali (sızıntı, yetkisiz erişim) yaşanması hâlinde ihlalin kapsamını da genişletir; zira artık hiçbir amaca hizmet etmeyen ancak silinmemiş veri de ihlalden etkilenen veri kapsamına girer.

Uygulamada sıkça tartışılan bir konu, yedekleme (backup) sistemlerinde tutulan verilerin imha yükümlülüğü kapsamında olup olmadığıdır. Silme işlemi, verinin aktif sistemlerden kaldırılmasını ifade etse de, yedeklerde veri bir süre daha varlığını sürdürebilir. Veri sorumlusunun saklama ve imha politikasında, yedekleme sistemlerindeki verinin ne zaman ve nasıl imha edileceğinin de ayrıca düzenlenmesi, tutarlı bir uygulama için önemlidir.

Kişisel verilerin silinmesi, yok edilmesi veya anonimleştirilmesi işlemlerinin gerçekleştirildiğine dair kayıt tutulması, hem iç denetim hem de bir Kurul incelemesinde ispat aracı olarak önemlidir. Uygulamada bu kayıtlar genellikle bir imha tutanağı biçiminde düzenlenir ve tutanakta imha edilen veri kategorisi, imha yöntemi, imha tarihi ve işlemi gerçekleştiren kişi veya birim yer alır. Böyle bir kaydın bulunmaması, veri sorumlusunun saklama ve imha politikasını fiilen uyguladığını ispatlamasını güçleştirir.

İmha yükümlülüğü yalnız dijital verilerle sınırlı değildir; kağıt ortamında tutulan kişisel veri içeren belgelerin de saklama süresi dolduğunda güvenli biçimde (kâğıt imha makinesi, güvenli imha hizmeti gibi) yok edilmesi gerekir. Belgelerin sıradan çöpe atılması, hem KVKK m. 12'deki veri güvenliği yükümlülüğüne hem de m. 7'deki imha yükümlülüğüne aykırılık oluşturabilir.

• Saklama süresini hiç belirlememek ve veriyi süresiz olarak tutmaya devam etmek,
• artık hiçbir işleme amacına hizmet etmeyen eski müşteri veya çalışan verilerini silmemek,
• imha yönteminin (silme, yok etme, anonimleştirme) veri türüne uygun seçilmemesi,
• yedekleme sistemlerindeki verileri imha politikasının kapsamı dışında bırakmak,
• ilgili kişinin silme talebini mevzuattan doğan saklama zorunluluğunu araştırmadan reddetmek veya kabul etmek,
• periyodik imha süreçlerinin kaydını tutmamak.

Kişisel verilerin silinmesi, yok edilmesi veya anonimleştirilmesi yükümlülüğü, veri toplama ve işleme süreçlerinin doğal ve zorunlu bir uzantısıdır. Bu yükümlülüğün göz ardı edilmesi, hem gereksiz veri birikimine hem de olası bir ihlalde sorumluluğun artmasına yol açar. Saklama sürelerinin somut mevzuata ve işleme amacına göre belirlenmesi, imha süreçlerinin belgelenmesi, işletmenin hem Kurul denetimlerinde hem de ilgili kişi başvurularında güçlü bir konum almasını sağlar.

Kişisel veri saklama ve imha politikanızın hazırlanması veya mevcut uygulamalarınızın KVKK m. 7'ye uygunluğunun değerlendirilmesi için Günser + Partners ile iletişime geçebilirsiniz.