Kişisel veriler, yalnızca işlendikleri amaç için gerekli olduğu süre boyunca saklanmalı; amaç ortadan kalktığında ise silinmeli, yok edilmeli veya anonim hâle getirilmelidir. Bu ilke, KVKK'nın "ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme" kuralının doğrudan bir yansımasıdır. VERBİS'e kayıtlı veri sorumlularının bir Kişisel Veri Saklama ve İmha Politikası hazırlaması beklenir. Bu yazıda politikanın hangi unsurları içermesi gerektiğini, örnek bir süre tablosunu ve pratik bir imha akışını adım adım ele alıyoruz.
Saklama ve İmha Politikası Nedir?
Saklama ve imha politikası, bir kurumun hangi kişisel veriyi ne kadar süreyle sakladığını, saklama süresi dolduğunda bu veriyi hangi yöntemle imha edeceğini ve bu süreçlerin nasıl yönetileceğini yazılı olarak tanımlayan bir belgedir. Politika, hem hesap verebilirliği belgelemek hem de operasyonel bir yol haritası sunmak açısından kritik öneme sahiptir.
Politikanın İçermesi Gereken Unsurlar
İyi yapılandırılmış bir saklama ve imha politikası asgari olarak şu bölümleri içermelidir:
- Politikanın amacı ve kapsamı
- Tanımlar (kişisel veri, imha, veri sorumlusu vb.)
- Kayıt ortamları (fiziksel ve elektronik)
- Saklamayı ve imhayı gerektiren hukuki, teknik ve operasyonel sebepler
- Veri kategorilerine göre saklama süreleri tablosu
- İmha yöntemleri ve teknikleri
- Periyodik imha süresi ve sorumlu birimler
- Politikanın güncellenme esasları
İmha Ne Anlama Gelir? Üç Yöntem
KVKK terminolojisinde "imha", verinin geri döndürülemez biçimde işleme dışı bırakılmasını ifade eder ve üç yöntemi kapsar:
- Silme: Verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesi.
- Yok etme: Verinin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve kullanılamaz hâle getirilmesi (örneğin fiziksel medyanın fiziksel olarak imhası).
- Anonim hâle getirme: Verinin başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek hâle getirilmesi.
Örnek Saklama Süresi Tablosu
Aşağıdaki tablo örnek amaçlıdır; her kurum kendi faaliyetine ve tabi olduğu mevzuata göre süreleri belirlemelidir. Süreler ilgili özel mevzuattan (örneğin ticaret ve vergi mevzuatı) doğabilir.
| Veri Kategorisi | Saklama Sebebi | İmha Yöntemi |
|---|---|---|
| Çalışan özlük dosyası | İş ve sosyal güvenlik mevzuatı | Silme / yok etme |
| Fatura ve mali kayıtlar | Ticaret ve vergi mevzuatı | Yok etme |
| Web sitesi ziyaretçi logları | Meşru menfaat / güvenlik | Silme |
| Pazarlama izni (geri alınan) | İzin geri alındığında amaç sona erer | Silme |
Tablodaki süreler, yükümlü olduğunuz mevzuat hükümlerine ve işleme amacınıza göre somutlaştırılmalıdır. Genel kural, amacın sona ermesiyle birlikte verinin ilk periyodik imha döneminde imha edilmesidir.
Periyodik İmha ve Adım Adım Akış
Saklama süresi dolan veriler, önceden belirlenmiş periyodik imha döngülerinde düzenli olarak imha edilmelidir. Aşağıdaki akış pratik bir uygulama önerisidir:
- Envanteri güncelleyin: Kişisel veri işleme envanterinizi güncel tutun ve her kategorinin saklama süresini işaretleyin.
- Süresi dolanları tespit edin: Periyodik imha döneminde saklama süresi dolmuş verileri listeleyin.
- İstisnaları kontrol edin: Devam eden bir hukuki uyuşmazlık veya yasal saklama yükümlülüğü var mı diye doğrulayın.
- Uygun yöntemi seçin: Veri ortamına göre silme, yok etme veya anonimleştirme yöntemini belirleyin.
- İmhayı gerçekleştirin ve belgeleyin: İmha işlemini yürütün ve kimin, ne zaman, hangi veriyi, hangi yöntemle imha ettiğini kayıt altına alın.
- Tutanakları saklayın: İmha kayıtlarını hesap verebilirlik için muhafaza edin.
Örnek Senaryo
Bir yazılım şirketi, açık pozisyonlar için gelen özgeçmişleri değerlendiriyor. Şirket, olumsuz sonuçlanan başvurular için özgeçmişleri meşru menfaat kapsamında sınırlı bir süre aday havuzunda tutuyor.
Bu süre dolduğunda periyodik imha döneminde ilgili özgeçmişler tespit ediliyor. Adaydan gelecek başvurular için istatistik üretmek isteyen İK ekibi, kişisel verileri silmek yerine bazı verileri anonim hâle getirmeyi tercih ediyor: ad, iletişim ve kimliklendirici alanlar kalıcı olarak kaldırılıyor, yalnızca kimliği belirlenemeyecek toplu istatistik (örneğin başvuru sayısı, pozisyon dağılımı) saklanıyor. Aktif hukuki uyuşmazlık bulunan başvurular ise istisna olarak imha dışında tutuluyor. Tüm işlemler bir imha tutanağıyla kayıt altına alınıyor.
Sık Sorulan Sorular
Saklama ve imha politikası kimler için zorunlu?
VERBİS'e kayıtla yükümlü veri sorumlularının bir saklama ve imha politikası hazırlaması beklenir. Kayıt yükümlülüğü olmayan kurumlar için de böyle bir politikaya sahip olmak güçlü bir iyi uygulamadır.
Saklama sürelerini kim belirler?
Süreler öncelikle ilgili özel mevzuattan (ticaret, vergi, iş ve sosyal güvenlik gibi) doğar. Mevzuatta açık bir süre yoksa, veri sorumlusu işleme amacına uygun ve ölçülü bir süre belirlemelidir.
Silme ile anonim hâle getirme arasındaki fark nedir?
Silme, veriyi ilgili kullanıcılar için erişilemez kılar; anonim hâle getirme ise veriyi hiçbir şekilde bir kişiyle ilişkilendirilemeyecek hâle getirerek kişisel veri olmaktan çıkarır ve istatistiksel kullanıma imkân tanır.
İmha işlemlerini belgelemek gerekli mi?
Evet. İmha işlemlerinin kim tarafından, ne zaman ve hangi yöntemle yapıldığının tutanakla kayıt altına alınması, hesap verebilirlik ilkesinin bir gereğidir.
Bu içerik yalnızca genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz.
Saklama süreleri tablonuzu oluşturmak ve periyodik imha süreçlerinizi otomatik hatırlatmalarla yönetmek için JUS. demo talep edebilirsiniz.