1. Giriş
Kişisel verilerin yaşam döngüsü yönetimi, KVKK uyumunun kritik bileşenlerinden biridir. Veriler, işleme amaçları ortadan kalktığında veya yasal saklama süreleri dolduğunda silinmeli, yok edilmeli veya anonim hale getirilmelidir. Bu yükümlülük, hem veri koruma ilkelerinin bir gereği hem de ilgili kişilerin temel haklarının korunması açısından büyük önem taşımaktadır.
Dijital dönüşümle birlikte kurumların topladığı veri miktarı katlanarak artmaktadır. Bu durum, veri saklama ve imha süreçlerinin sistematik şekilde yönetilmesini zorunlu kılmaktadır. KVKK ve ilgili yönetmelikler, bu konuda veri sorumlularına açık yükümlülükler getirmiştir.
Almanya: BDSG, GDPR'ı tamamlayıcı hükümler içerir. Arşivleme ve istatistik amaçlı işlemelerde silme hakkına istisnalar getirilmiştir.
ABD: CCPA (California), tüketicilere silme hakkı tanırken; sektörel düzenlemeler (HIPAA, GLBA) saklama süreleri için farklı kurallar öngörür.
2. Yasal Çerçeve
KVKK'nın 7. maddesi, kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesini düzenlemektedir. Bu yükümlülük, veri minimizasyonu ilkesinin doğal bir uzantısıdır.
3. Temel Kavramlar
Silme, yok etme ve anonimleştirme kavramları birbirinden farklı hukuki ve teknik sonuçlar doğurmaktadır. Bu kavramların doğru anlaşılması, uygulamada yapılacak işlemlerin belirlenmesi açısından kritik öneme sahiptir.
| Kavram | Tanım | Sonuç |
|---|---|---|
| Silme | Verilerin bir daha kurtarılamayacak şekilde erişilemez hale getirilmesi | Veriler teknik olarak mevcut olabilir ama erişilemez |
| Yok etme | Verilerin fiziksel veya dijital olarak tamamen ortadan kaldırılması | Veriler hiçbir şekilde kurtarılamaz |
| Anonimleştirme | Verilerin hiçbir şekilde kimliği belirli veya belirlenebilir kişiyle ilişkilendirilemeyecek hale getirilmesi | Veriler artık kişisel veri değil, kullanılabilir |
Tabloda görüldüğü üzere, silme işlemi verinin erişilemez hale getirilmesini, yok etme ise tamamen ortadan kaldırılmasını ifade eder. Anonimleştirme ise verilerin kişisel veri niteliğini kaybetmesini sağlayarak kullanılmaya devam edilmesine imkân tanır.
4. Saklama Süreleri
Kişisel verilerin ne kadar süre saklanacağı, işleme amacı ve yasal yükümlülükler göz önünde bulundurularak belirlenir. KVKK'nın 4. maddesinde yer alan "işlendikleri amaç için gerekli olan süre kadar muhafaza edilme" ilkesi, saklama sürelerinin belirlenmesinde temel referans noktasıdır.
4.1. Yasal Saklama Süreleri
Çeşitli mevzuatlarda farklı veri türleri için saklama süreleri öngörülmüştür. Aşağıdaki tablo, en sık karşılaşılan yasal saklama sürelerini göstermektedir.
| Veri Türü | Süre | Dayanak |
|---|---|---|
| Ticari defter ve belgeler | 10 yıl | TTK m.82 |
| İş sözleşmesi belgeleri | 10 yıl (zamanaşımı) | İş Kanunu, Borçlar Kanunu |
| Bordro ve özlük dosyası | 10 yıl | SGK mevzuatı |
| Vergi belgeleri | 5 yıl | VUK m.253 |
| E-ticaret işlem kayıtları | 3 yıl | 6563 sayılı Kanun |
| Kamera kayıtları (genel) | İşleme amacına uygun süre | KVKK ilkeleri |
5. Silme ve Yok Etme Yöntemleri
Kişisel verilerin silinmesi veya yok edilmesi, veri depolama ortamına göre farklı yöntemlerle gerçekleştirilir. Seçilen yöntemin güvenlik düzeyi, verinin hassasiyetine ve yasal gerekliliklere uygun olmalıdır.
5.1. Dijital Ortamda İmha
Dijital ortamda saklanan veriler için çeşitli silme ve yok etme yöntemleri bulunmaktadır. Yöntem seçiminde verinin gizlilik düzeyi ve yeniden kurtarılma riski göz önünde bulundurulmalıdır.
| Yöntem | Açıklama | Güvenlik Düzeyi |
|---|---|---|
| Standart silme | İşletim sistemi silme komutu | Düşük (kurtarılabilir) |
| Güvenli silme (overwrite) | Verilerin üzerine rastgele veri yazma | Orta-Yüksek |
| Degaussing | Manyetik ortamların manyetik alanla silmesi | Yüksek |
| Fiziksel imha | Depolama cihazının fiziksel olarak parçalanması | En yüksek |
| Kriptografik silme | Şifreleme anahtarının yok edilmesi | Yüksek |
Özellikle hassas kişisel veriler için güvenli silme, degaussing veya fiziksel imha yöntemleri tercih edilmelidir. Standart silme işlemi, verilerin kurtarılabilir olması nedeniyle yeterli güvenlik sağlamamaktadır.
5.2. Fiziksel Ortamda İmha
Kağıt belgeler ve fiziksel depolama ortamları için aşağıdaki imha yöntemleri uygulanabilir.
| Yöntem | Açıklama |
|---|---|
| Kağıt imha (shredding) | Belgelerin parçalanması (cross-cut önerilir) |
| Yakma | Kontrollü koşullarda yakılması |
| Kimyasal imha | Kimyasal maddelerle okunmaz hale getirme |
6. Anonimleştirme
Anonimleştirme, verilerin işlenmesine devam edilmesini mümkün kılan ancak kişisel veri niteliğini ortadan kaldıran bir yöntemdir. Anonim hale getirilen veriler, KVKK kapsamı dışına çıkar ve istatistik, araştırma gibi amaçlarla serbestçe kullanılabilir.
6.1. Anonimleştirme Teknikleri
Verilerin anonim hale getirilmesi için çeşitli teknikler kullanılabilir. Her tekniğin etkinliği ve uygulama alanı farklıdır.
| Teknik | Açıklama |
|---|---|
| Değer genelleştirme | Kesin değerleri aralıklarla değiştirme (yaş: 35 → 30-40) |
| Maskeleme | Tanımlayıcı bilgilerin gizlenmesi (TC: ***123****) |
| Toplulaştırma (aggregation) | Bireysel veriler yerine istatistiksel değerler |
| Veri karıştırma | Kayıtlar arasında değerlerin karıştırılması |
| Gürültü ekleme | Verilere rastgele sapma ekleme |
| K-anonimlik | Her kayıt en az k-1 başka kayıtla ayırt edilemez |
Anonimleştirme tekniği seçilirken, verinin kullanım amacı ve yeniden kimlik tespiti riski değerlendirilmelidir. K-anonimlik gibi ileri teknikler, özellikle hassas veriler için tercih edilmektedir.
6.2. Anonimleştirme ve Takma Adlandırma Karşılaştırması
Anonimleştirme ile takma adlandırma (pseudonymization) sıklıkla karıştırılmaktadır. Bu iki kavram arasındaki temel farklar aşağıda açıklanmaktadır.
| Özellik | Anonimleştirme | Takma Adlandırma (Pseudonymization) |
|---|---|---|
| Geri dönüşüm | Mümkün değil | Ek bilgiyle mümkün |
| KVKK kapsamı | KVKK kapsamı dışında | KVKK kapsamında kişisel veri |
| Kullanım alanı | İstatistik, araştırma | Güvenlik tedbiri olarak |
Tabloda görüldüğü üzere, takma adlandırma işlemi kişisel veri niteliğini ortadan kaldırmaz ve KVKK kapsamında değerlendirilmeye devam eder. Anonimleştirme ise geri dönüşümsüz olduğundan, veriler KVKK kapsamı dışına çıkar.
7. Periyodik İmha
KVKK'nın 7/3. maddesi uyarınca çıkarılan Yönetmelik, periyodik imha yükümlülüğü getirmiştir. Veri sorumluları, işleme şartları ortadan kalkan verileri düzenli aralıklarla imha etmekle yükümlüdür.
8. İlgili Kişi Talebi Üzerine İmha
İlgili kişi, KVKK'nın 11/e-f maddeleri kapsamında verilerinin silinmesini talep edebilir. Bu hak, kişisel verilerin korunması hakkının temel unsurlarından biridir. Veri sorumlusu, talebi değerlendirmek ve 30 gün içinde yanıt vermekle yükümlüdür.
| Talep Kabul Edilir | Talep Reddedilebilir |
|---|---|
| İşleme amacı ortadan kalkmış | Yasal saklama yükümlülüğü devam ediyor |
| Rıza geri alınmış ve başka dayanak yok | Hukuki uyuşmazlık için gerekli |
| İşleme hukuka aykırı | İfade özgürlüğü kapsamında işleme |
Talep reddedildiğinde, veri sorumlusu ret gerekçesini ilgili kişiye açıkça bildirmekle yükümlüdür. İlgili kişi, ret kararına karşı Kurul'a şikâyette bulunabilir.
9. Veri Saklama ve İmha Politikası
VERBİS'e kayıt yükümlülüğü bulunan veri sorumluları, "Kişisel Veri Saklama ve İmha Politikası" hazırlamak zorundadır.
Politika İçeriği
- Hazırlanma amacı ve kapsamı
- Tanımlar ve kısaltmalar
- Kişisel veri işleme faaliyetleri ve amaçları
- Her veri kategorisi için saklama süreleri
- Periyodik imha süresi
- Silme, yok etme ve anonimleştirme yöntemleri
- Sorumluluklar
10. Sonuç
Kişisel verilerin yaşam döngüsü yönetimi, KVKK uyumunun kritik bir bileşenidir. Veriler, işleme amaçları ortadan kalktığında veya yasal saklama süreleri dolduğunda silinmeli, yok edilmeli veya anonim hale getirilmelidir.
Veri sorumluları, her veri kategorisi için saklama sürelerini belirlenmeli, periyodik imha süreçlerini kurmalı ve ilgili kişi taleplerini değerlendirmek için prosedürler oluşturmalıdır. İmha işlemlerinin belgelenmesi ve güvenli yöntemlerle yapılması da göz ardı edilmemelidir.
Bu serinin devamında, KVKK ihlallerine uygulanacak cezalar ve yaptırımlar ile KVKK ve GDPR karşılaştırması konuları ele alınacaktır.