Kişisel Verilerin Silinmesi ve İmha Politikası

Kavramsal Yaklaşım ve Temel İlkeler​

Kişisel verilerin hukuka uygun olarak işlenmesi, saklanması ve gerektiğinde silinmesi veya imha edilmesi, çağdaş veri koruma hukukunun önemli yapı taşlarını oluşturur. Kişisel veri kavramının belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgi olarak tanımlandığı 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında, veri işleyenler ve veri sorumluları birçok hukuki ve teknik sorumluluk üstlenir. Bu sorumluluklardan biri de kişisel verilerin gereksiz yere muhafaza edilmesinin önüne geçmek ve kanuni gereklilikler ya da işleme amaçları ortadan kalktığında ilgili verileri uygun yöntemlerle silmek veya yok etmektir.

Kişisel verilerin toplanması, işlenmesi ve muhafazası süreçlerinde “minimum veri ilkesi” büyük önem taşır. Gerek KVKK gerekse uluslararası düzenlemeler (Avrupa Birliği Genel Veri Koruma Tüzüğü - GDPR gibi) özellikle veri işleme amaçlarının somut ve meşru olmasını, amaçla bağlantılı ölçülülük ve sınırlılık prensiplerine uygun şekilde hareket edilmesini aramaktadır. Veri saklama sürelerinin net olarak belirlenmesi, saklama süresinin bitiminde ya da amacın ortadan kalkması durumunda verilerin silinmesi ve imha edilmesi, bu prensipler doğrultusunda geliştirilmesi gereken bir politikayı zorunlu kılar.

Veri işleme döngüsünün son aşaması olan silme ve imha süreci, kişisel verilerin kullanılamaz hale getirilmesini sağlayarak veri sorumlusunun riskleri azaltmasına yardımcı olur. Böylece herhangi bir veri ihlali, yetkisiz erişim veya yanlış kullanım söz konusu olduğunda, saklanma süresi dolmuş veya artık işlenme amaçları kalmamış verilerin hukuka aykırı bir şekilde kullanılmasının önüne geçilir. Bu kapsamda, “Kişisel Verilerin Silinmesi ve İmha Politikası” başlığı altında, kanuni dayanaklar, yöntemler, teknik ve idari tedbirler, uygulama esasları ve denetim süreçleri gibi temel noktalar incelenmelidir.

Kişisel Verilerin Silinmesi ve İmha Kavramları​

Kişisel verilerin silinmesi, ilgili verinin kullanılamaz hale getirilmesi veya erişilemeyecek bir biçimde ortadan kaldırılması anlamına gelir. İmha ise veri taşıyıcısının (fiziksel ya da dijital) herhangi bir şekilde tekrar onarılmasına, geri getirilebilmesine imkân vermeyecek yöntemlerle verinin bertaraf edilmesidir. Bu iki kavram çoğu zaman eş anlamlı gibi kullanılsa da teknik açıdan bazı farklılıkları içerir:

• Silme: Verinin saklandığı ortamda artık erişilemeyecek şekilde yok edilmesi. Örneğin bir veritabanındaki kaydın silinmesi veya yapılandırılmış verilerin diskten kalıcı olarak silinmesi.
• İmha: Daha çok fiziksel ortamlar için kullanılan ve dijital medyalar dahil olmak üzere fiziksel ortamı da ortadan kaldıran bir süreçtir. Örneğin manyetize etme (degaussing), fiziksel parçalama, yakma veya geri döndürülemez yazma metotları.
• Anonim hale getirme: Her ne kadar bir “silme” yöntemi olarak değerlendirilmese de, kişisel verilerin herhangi bir surette belirli veya belirlenebilir kişiyle ilişkilendirilemeyecek şekilde dönüştürülmesi de silme ve imha politikalarının bir parçası olabilir.

KVKK kapsamında veri sorumlusunun yükümlülükleri arasında, verilerin işlenme amaçlarının ortadan kalkmasıyla birlikte verilerin silinmesi veya yok edilmesi zorunluluğu yer alır. Bu zorunluluk, verilerin yasal saklama süresinin sona erdiği veya ilgili kişinin açık rızasının geri çekildiği durumlarda devreye girebilir. Burada esas olan, veri sorumlusunun veri minimizasyonu ilkesine uygun hareket ederek, verilerin yalnızca gerekli süre boyunca saklanması ve sürenin sonunda bir politika çerçevesinde güvenli şekilde yok edilmesidir.

Mevzuat ve Yükümlülükler​

Kişisel verilerin silinmesi ve imhası süreci ulusal ve uluslararası çeşitli hukuk metinleri ile düzenlenir. Türkiye’de temel kaynak, 6698 sayılı KVKK olup, bu kanun çerçevesinde yayımlanan ikincil düzenlemeler, Kişisel Verileri Koruma Kurulu kararları ve rehberler de veri sorumluları için bağlayıcı veya yol gösterici niteliktedir. Ayrıca sektörel düzenlemeler (bankacılık, sağlık, telekomünikasyon vb.) de veri saklama ve imha süreleri konusunda ek yükümlülükler getirebilir.

Kişisel Veri İşlemenin Sınırları​

KVKK, veri işlemenin belirli ve meşru amaçlarla sınırlı yapılmasını öngörür. Veri işleme faaliyeti ancak ilgili kişinin açık rızası veya kanunda açıkça belirtilen hukuki sebepler çerçevesinde mümkündür. Bu çerçevede:

• Veriler toplanırken hangi amaçla işleneceği ilgili kişiye bildirilmelidir.
• Kullanım amaçlarının dışına çıkılması, ihlal teşkil edebilir.
• İşleme süresi boyunca verilerin doğruluğu ve güncelliği sağlanmalıdır.
• İşleme amacı ortadan kalktığında veya kanuni saklama süresi sona erdiğinde veriler silinmeli ya da imha edilmelidir.

Amaç sınırlılığı ve ölçülülük ilkeleri, saklama ve imha politikalarının temelini oluşturur. Veri sorumlusu, topladığı her türlü kişisel veri için, hangi süre boyunca ve hangi hukuki gerekçeyle saklama yapacağını belirlemelidir. Süre bitiminde, kişisel verilerin güncel durumunu da göz önüne alarak ilgili veriyi sistematik biçimde yok etmelidir.

Veri Sorumlularının Yükümlülükleri​

Kişisel verilerin işlenmesi noktasında veri sorumlusu, aşağıdaki temel yükümlülüklere sahiptir:

1. Veri İşleme Envanterinin Hazırlanması: Hangi verilerin hangi amaçlarla ve hangi hukuki dayanakla toplandığı, saklama süresi ve erişim yetkileri gibi bilgiler bir envanter üzerinde tutulmalıdır.
2. Aydınlatma Yükümlülüğü: Veri sorumlusu, ilgili kişiye verilerin niçin toplandığı, saklanma süresi, işleme amacı ve veri sahibinin hakları hakkında bilgi vermelidir.
3. Teknik ve İdari Tedbirlerin Alınması: KVKK’nın öngördüğü idari yaptırımların önlenmesi ve verilerin güvenliğinin sağlanması için şifreleme, erişim kontrolü, yetki matrisi gibi teknik; sözleşme düzenlemeleri, personel eğitimi gibi idari tedbirler eksiksiz uygulanmalıdır.
4. Periyodik İmha: Kanun ve yönetmelikler gereği, verilerin belirlenen saklama süresi sonunda silinmesi, yok edilmesi veya anonim hale getirilmesi için periyodik olarak gözden geçirme ve imha prosedürleri hayata geçirilmelidir.
5. İlgili Kişi Talebine Cevap: İlgili kişinin talepte bulunması üzerine, hukuki saklama yükümlülükleri yoksa veya veri işleme amacı ortadan kalkmışsa veriler silinmeli veya imha edilmelidir.

Bu yükümlülükler, veri sorumlularının kişisel verileri işleme süreçlerinin her aşamasında belirli bir disiplin ve kontrol mekanizması kurmasını gerektirir. Uygun bir “Kişisel Verilerin Silinmesi ve İmha Politikası” olmaksızın, hangi verilerin ne zaman silineceği, imha edileceği veya anonimleştirileceği gibi kritik konular belirsizlik taşıyabilir ve KVKK kapsamında yaptırımlara yol açabilir.

İlke Temelli Yaklaşım​

Kişisel verilerin silinmesi ve imha edilmesi meselesi, yalnızca teknik bir işlem olarak düşünülmemelidir. Aynı zamanda hukuksal, etik ve kurumsal ilkeleri barındıran bir yönetim sürecidir. Bu çerçevede dört temel ilke öne çıkar:

Meşruluk ve Hukuka Uygunluk​

Her veri işleme faaliyeti gibi silme ve imha süreci de hukuka uygun temellere oturmalıdır. Veri sorumlusu, veriyi silme veya imha etme işlemine karar verirken KVKK hükümlerine, ilgili kurum rehberlerine ve diğer mevzuat hükümlerine riayet etmelidir. Hukuka uygunluk, hem silme/imha zamanlamasını hem de seçilen yöntemi kapsar.

Şeffaflık​

Veri sahipleri, hangi verilerinin ne kadar süreyle saklandığı ve hangi yöntemlerle imha edileceği konusunda açıkça bilgilendirilmelidir. Şeffaflık, veri sorumlusuna olan güveni artırır. Kurum içi prosedürler de çalışanlar tarafından anlaşılır ve uygulanabilir olmalıdır.

Güvenlik​

Silme ve imha süreçlerinin güvenli yöntemlerle yapılması, tekrar geri getirilme veya yetkisiz erişim ihtimalini ortadan kaldırır. Basit bir şekilde “delete” veya “format” işleminin yapılması, verilerin kalıcı olarak silindiği anlamına gelmez. Bu nedenle güvenlik, teknik tedbirlerin doğru biçimde uygulanmasını gerektirir.

Sorumluluk ve Denetlenebilirlik​

Veri sorumlusu, uyguladığı silme ve imha politikalarının kaydını tutmalı ve bu süreçleri düzenli denetlemelidir. İç denetim veya dış denetim mekanizmaları sayesinde, muhtemel ihlaller veya ihmaller erkenden tespit edilebilir. Denetlenebilirlik, veri sorumlusunun yasal ve kurumsal sorumluluğunun bir parçasıdır.

Teknik ve İdari Tedbirler​

Kişisel verilerin güvenli biçimde silinmesi ve imha edilmesi, teknik ve idari önlemlerin birlikte uygulanmasını gerektirir. Aksi halde veriler, tekrar kurtarılabilecek şekilde disklerde veya sunucularda iz bırakabilir. Bu durum hem hukuki hem de güvenlik açısından ciddi riskler doğurur.

Teknik Tedbirler​

Veri sorumlusu, kendi altyapısına uygun teknik tedbirleri seçmeli ve uygulamalıdır. Bunlar arasında:

• Güvenli Silme Yazılımları: Sabit diskler, taşınabilir bellekler veya sunuculardaki verilerin kalıcı olarak silinmesini sağlayan özel yazılımlar.
• Şifreleme: Duyarlı verilerin saklanması esnasında şifreleme yöntemleri kullanarak, veri sızıntıları yaşansa bile içeriklerin okunamaz hale gelmesi.
• Degaussing (Manyetik Alan Uygulaması): Manyetik depolama birimlerinde bulunan verilerin manyetik alanla bozulması.
• Fiziksel Parçalama: CD, DVD, sabit disk vb. fiziksel ortamların kırılması, parçalanması veya öğütülmesi.
• Anonimleştirme Teknikleri: Veri setini, tekrar bir gerçek kişiyle ilişkilendirilemeyecek hale getiren maskeleme, takma isimlendirme (pseudonymization) ya da toplulaştırma (aggregation) uygulamaları.

İdari Tedbirler​

Teknik çözümler, işletme genelinde tutarlı bir idari politika ve farkındalıkla desteklenmezse sonuç vermez. İdari tedbirler şunları içerir:

• Yetki ve Rol Tanımları: Hangi personelin hangi veriye erişebileceği, hangi işlemleri yapabileceği açıkça belirlenmeli, silme ve imha prosedürlerinde kimlerin sorumluluğu olduğu tanımlanmalıdır.
• Eğitim Programları: Çalışanların veri güvenliği ve kişisel verilerin imhası konusundaki farkındalıklarını artırmak amacıyla düzenli eğitimler verilmelidir.
• Sözleşmesel Düzenlemeler: Tedarikçilerle, dış kaynak hizmet sağlayıcılarla veya bulut sunucu hizmeti alınan şirketlerle yapılan sözleşmelerde veri imha yükümlülüklerine ilişkin hükümler açıkça yer almalıdır.
• Politika ve Prosedürler: Kurum içi yönetmelikler ve talimatlar, verilerin ne zaman ve hangi yöntemlerle imha edileceğini, kimlerin bu işlemden sorumlu olacağını düzenlemelidir.
• Düzenli Denetim ve Raporlama: Silme ve imha süreçleri belirli periyotlarda gözden geçirilmeli, raporlanmalı ve varsa eksikler giderilmelidir.

Silme ve İmha Yöntemleri​

Kişisel verilerin silinmesi ve imhası süreçlerinde tercih edilebilecek çeşitli yöntemler mevcuttur. Bu yöntemlerin seçimi, verinin türüne, kullanılan depolama ortamına ve kuruluşun teknik altyapısına göre değişebilir.

Dijital Ortamlarda Silme ve İmha​

Dijital ortamlarda yer alan dosya veya veritabanı kayıtlarının standart bir “sil” komutuyla kaldırılması, çoğu zaman veriyi gerçek anlamda ortadan kaldırmaz. Veri kurtarma yazılımları veya laboratuvar teknikleriyle bu tür veriler geri getirilebilir. Bu nedenle kalıcı silme yöntemleri önem kazanır:

• Dosya Bazlı Kalıcı Silme: Özel silme yazılımları aracılığıyla dosya içeriği bir veya birden fazla kez üzerine rastgele veriler yazılarak yok edilir.
• Tam Disk Silme: Diskin tamamının üzerine rastgele verilerin yazıldığı “wipe” işlemi, geri getirilemeyecek şekilde veri silmeyi sağlar.
• Degaussing: Manyetik depolama aygıtlarının (örneğin manyetik bantlar veya klasik sabit diskler) güçlü manyetik alan uygulanarak veri içeriğinin bozunması.
• SSD (Katı Hal Diski) Özelleştirilmiş Yöntemler: SSD’ler veri saklama mantığı olarak farklı yapılar kullandığından, güvenli silme için üretici tarafından sunulan özel komutlar (örn. Secure Erase) tercih edilebilir.

Fiziksel Ortamlarda İmha​

Fiziksel ortamlar (kâğıt belgeler, mikrofişler vb.) de kişisel veriler içerebilir. Bu ortamlardaki verilerin yok edilmesi, genellikle dosyaların veya belgelerin geri döndürülemeyecek şekilde parçalanması ya da yakılması suretiyle olur:

• Kağıt İmhası: Kağıt öğütücüler (shredder) kullanılarak belgeler küçük parçalar haline getirilir.
• Yakma: Güvenli bir alanda, yüksek ısıda belgelerin yakılarak geri dönüştürülemez hale getirilmesi.
• Kimyasal Parçalama: Belirli kimyasallarla kâğıt ortamının dönüşüme uğratılması ve tekrar okunamayacak hale getirilmesi.

Fiziksel imha yöntemlerinin seçimi, belge yoğunluğuna, maliyete ve pratiklik derecesine göre şekillenir. Bazı kuruluşlar, kağıt belge imhası hizmeti sunan profesyonel şirketlerle çalışır ve söz konusu şirketlerin güvenilirliği, gizlilik taahhütleri ve sertifikasyonları göz önünde bulundurulur.

Anonimleştirme​

Kişisel verilerin anonimleştirilmesi, doğrudan bir silme veya imha yöntemi sayılmasa da, imha yükümlülüğünün alternatif bir yolu olabilir. Verinin anonimleştirilmesi halinde, artık belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez ve böylece veri, KVKK kapsamında “kişisel veri” niteliğini kaybeder. Anonimleştirmede dikkat edilmesi gereken konular:

• Tekrar Kimliklendirme Olasılığı: Anonimleştirilen veriler, ek veri setleri veya gelişmiş analiz yöntemleriyle tekrar kimliklendirilebilecek hale getirilememelidir.
• Toplulaştırma: Büyük veri setlerinde bireyleri ayırt edemeyecek düzeyde toplayarak anonim hale getirme.
• Maskeleme veya Şifreleme: Hassas veri kısımlarının saklanması veya çok sınırlı erişim prosedürlerine tabi tutulması.

Anonimleştirme, veri sorumluları için büyük veri analitiği veya istatistiki çalışmalar yaparken, KVKK yükümlülüklerine uygun hareket etmeyi sağlayan etkili bir yöntemdir.

İmha Politikası Hazırlanması ve Uygulama Süreci​

Verilerin sistematik şekilde imha edilmesi, kurumların sadece teknik değil, aynı zamanda bütüncül bir yönetim yaklaşıma sahip olmasını gerektirir. Kişisel Verilerin Silinmesi ve İmha Politikası, kurumun hangi verilere sahip olduğunu, hangi amaçlarla işlediğini, yasal saklama sürelerini, imha yöntemlerini ve sorumluluk dağılımını belirten yazılı bir doküman olmalıdır.

Politika İçeriğinde Bulunması Gereken Temel Unsurlar​

Kişisel Verilerin Silinmesi ve İmha Politikasının kapsamı, kuruma özgü risk analizleri ve veri işleme faaliyetleri dikkate alınarak hazırlanır. Tipik olarak şu unsurlar yer alır:

• Kapsam ve Amaç: Hangi verilerin, hangi koşullarda silineceğinin veya imha edileceğinin belirlenmesi.
• Roller ve Sorumluluklar: Silme ve imha sürecinden hangi departmanların ve hangi unvanlardaki personelin sorumlu olduğu.
• Yöntem Seçimi Kriterleri: Dijital ortamlarda hangi yazılımların veya donanım yöntemlerinin kullanılacağı, fiziksel belgelerin nasıl imha edileceği.
• Periyodik Gözden Geçirme Takvimi: Hangi aralıklarla saklanan verilerin gözden geçirileceği ve imha işlemlerinin gerçekleştirileceği.
• İstisnai Durumlar: Yasal süreçler veya resmi makamların talepleri nedeniyle saklanması zorunlu verilerin durumunun nasıl ele alınacağı.
• Kayıt ve Raporlama: Gerçekleştirilen silme ve imha işlemlerine ilişkin kayıtların nasıl tutulacağı, hangi sürelerle saklanacağı ve denetim mekanizmaları.

Bu unsurların net olarak tanımlanması, uygulamada belirsizlikleri ve olası hataları minimize eder. Politika, kurum içi paydaşlar tarafından anlaşılır ve kolayca erişilebilir olmalıdır.

Uygulama Sürecinin Adımları​

Kişisel verilerin silinmesi ve imha politikası, stratejik ve operasyonel düzeyde adımların atılmasını gerektirir:

1. Envanter Çıkartma: Kurumun veri envanteri, hangi veri türlerinin nerelerde saklandığını, hangi sistemler üzerinde tutulduğunu, kâğıt ortamda ne kadar verinin bulunduğunu ortaya koyar.
2. Risk Değerlendirmesi: Verilerin içerdikleri hassasiyet derecesine göre gruplandırılması, olası ihlal senaryolarının incelenmesi ve imha yöntemlerinin risk odaklı seçimi.
3. Politika Geliştirme: Kapsam, yöntem, sorumluluk ve denetim süreçlerini tanımlayan politikaların hazırlanması. Gerektiğinde hukuk, bilişim ve idari birimlerin ortak çalışması.
4. Onay ve Duyuru: Üst yönetim tarafından onaylanan silme ve imha politikası, ilgili tüm çalışanlara ve paydaşlara duyurulur. İlgili kişileri aydınlatmak için de ek tedbirler alınabilir.
5. Teknik Uygulama: Seçilen yöntemlerin uygulanması, sistem konfigürasyonları, yazılım lisansları, fiziksel imha ekipmanlarının temini ve personel eğitimi.
6. Belgeleme ve Raporlama: Her imha veya silme işlemi, yasal gereklilikleri karşılayacak biçimde belge altına alınmalı ve saklanmalıdır.
7. Denetim ve Sürekli İyileştirme: Düzenli iç veya dış denetimlerle, politikanın güncel tehditlere ve yasal düzenlemelere uygunluğunu koruması sağlanır.

Kişisel Veri İşleme Envanteri ve Saklama Süreleri​

Veri işleme envanteri, veri sorumlusunun hangi tür kişisel verileri, hangi hukuki sebeple, hangi iş süreçlerinde işlediğini ve saklama sürelerini belirlediği temel dokümandır. Bu dokümanda ayrıca verilerin işlenme amaçları, aktarım yapılan üçüncü taraflar ve ilgili teknik/idari tedbirlerin neler olduğu da gösterilir. Veri saklama sürelerinin belirlenmesi, imha politikasının kalbi niteliğindedir. Çünkü saklama süresi dolduğunda veya işleme amacı bittiğinde veri silme veya imha işlemi gerçekleşmelidir.

Kanunlar ve alt mevzuatlar bazı veri türleri için zorunlu saklama süreleri getirebilir. Örneğin,


Bu tablo örnektir ve her kurumun kendi yasal gerekliliklerine, sektörel düzenlemelerine ve iş ihtiyaçlarına göre detaylandırılmalıdır. Belirlenen saklama süreleri, imha politikası açısından bağlayıcıdır. Dolayısıyla, saklama süresi sona eren kayıtlar ya da işleme amacı ortadan kalkan veriler, belirlenen yönteme uygun şekilde silinmeli veya imha edilmelidir.

Veri İhlalleri ve Yaptırımlar​

Silme ve imha politikalarının olmaması ya da etkin uygulanmaması, veri ihlali riskini artırır. Bir veri ihlali, kişisel verilerin yetkisiz kişilerce ele geçirilmesi, ifşa edilmesi veya veriye erişilemez hale gelmesi gibi durumları ifade eder. KVKK, veri ihlallerine karşı önleyici tedbirler almadığı veya ihlali Kişisel Verileri Koruma Kurumu’na ve veri sahiplerine zamanında bildirmediği için veri sorumlularına idari para cezası dâhil çeşitli yaptırımlar öngörür.

Silme ve imha politikası doğru uygulandığında, ihlallerin etkisi de sınırlı kalır. Saklama süresi dolmuş verilerin gereksiz tutulması halinde ortaya çıkan ihlal, kapsam olarak daha büyük olur. Buna ek olarak, gereksiz saklanan veriler, kurumun mevzuata uyum riskini artırır ve düzenleyici otorite tarafından yapılacak denetimlerde ek yaptırımlarla karşılaşma olasılığı yükselir.

İhlal Bildirimi ve Kriz Yönetimi​

Bir veri ihlali tespit edildiğinde, KVKK madde 12 gereğince derhal Kişisel Verileri Koruma Kurulu’na ve ilgili kişilere bildirim yapılması zorunludur. Veri ihlali durumunda izlenecek adımlar:

• İhlalin Kapsamını Belirleme: Hangi verilerin sızdığı, kaç kişinin etkilendiği ve hangi sistemlerin etkilendiği analiz edilmelidir.
• İhlal Nedeni ve Sorumluluk: İhlalin kaynağı (iç tehdit, dış saldırı vb.) ve ihmali bulunan birim veya personel varsa tespit edilmelidir.
• Hızlı Aksiyon Planı: İhlali sınırlamak için sunucuları kapatma, ağ bağlantılarını kesme, şifre değiştirme gibi teknik tedbirler alınabilir.
• Bildirim: Yasal süre içinde (mümkün olan en kısa sürede) Kurum’a ve etkilenen veri sahiplerine bilgilendirme yapılmalıdır.
• Düzeltici Faaliyetler: İhlal sonrasında tekrar yaşanmasını önlemek için politika güncellemeleri, ek güvenlik önlemleri ve personel eğitimi gibi çalışmalar yürütülmelidir.

Denetim Mekanizmaları ve Uygulama Kontrolü​

Kişisel Verilerin Silinmesi ve İmha Politikası, bir kere hazırlanıp rafa kaldırılacak bir belge değildir. Kurumun faaliyet alanı, teknolojik altyapısı, personel değişimleri ve mevzuat güncellemeleri gibi faktörler, politikanın periyodik olarak gözden geçirilmesini zorunlu kılar. Düzenli denetim ve kontrol mekanizmaları, politikanın etkinliğini sürdürmesini sağlar.

İç Denetim​

Kurum bünyesinde denetim birimleri veya sorumlu ekipler, silme ve imha faaliyetlerinin politika ve mevzuatla uyumlu şekilde yapıldığını inceleyebilir. İç denetim kapsamında şu noktalar ele alınır:

• Silme ve imha kayıtlarının tutulup tutulmadığı.
• Personelin belirlenen prosedürlere uygun davranıp davranmadığı.
• Teknik ve idari tedbirlerin etkin biçimde uygulanıp uygulanmadığı.
• Mevzuat veya Kurum rehberlerindeki güncellemelerin takibi.

Dış Denetim​

Bazı sektörler veya büyük ölçekli işletmeler, bağımsız denetim kuruluşlarından ya da uluslararası standart akreditasyon kurumlarından (ISO 27001 gibi) periyodik denetim hizmeti alır. Dış denetim raporları, kuruma objektif bir bakış sunar ve politika eksiklerini veya güvenlik açıklarını daha net şekilde ortaya koyabilir.

Kurum İçi Sorumluluk Dağılımı​

Kişisel verilerin silinmesi ve imha edilmesi görev ve sorumlulukları, çoğu zaman birkaç farklı departman ve pozisyon arasında paylaştırılır. Özellikle büyük ölçekli organizasyonlarda veri koruma ekibi veya KVKK uyum ekibi, bilişim teknolojileri bölümü, hukuk departmanı ve insan kaynakları gibi birimler bu süreçlerde aktif rol üstlenir.

Veri Koruma Görevlisi (DPO) veya KVKK Uyum Sorumlusu​

Kurumlarda, özel nitelikli verilerin yönetimi ve KVKK uyumluluğu için bir Veri Koruma Görevlisi (DPO) atanması uluslararası alanda yaygın bir uygulamadır. Türkiye’de de giderek yaygınlaşan bu model çerçevesinde DPO:

• Mevzuat takibi ve iç politika geliştirme.
• Çalışanları ve yöneticileri farkındalık konusunda bilgilendirme.
• Veri işlemeye ilişkin risk analizlerinin koordine edilmesi.
• Şikâyet ve talep yönetimi, Kurum’la iletişim noktası olma.
• Silme ve imha işlemlerinin hukuka uygunluğunu sağlama.

Bilgi İşlem veya Bilişim Teknolojileri Departmanı​

Teknik yöntemlerin uygulanması, yazılımların seçimi ve donanımın yönetilmesi bilişim departmanının sorumluluğundadır. Özellikle veri tabanlarının yedeklenmesi, yedek verilerin saklama süresi, sunucuların fiziksel güvenliği ve silme/imha araçlarının kullanımı bu departmanın uzmanlığını gerektirir.

Hukuk Departmanı​

Hukuk birimi, yasal saklama sürelerinin tespiti, KVKK hükümlerine uygunluk, olası dava süreçleri veya cezai sorumluluk alanları konusunda rehberlik sunar. Ayrıca sözleşmelerde yer alan veri imha yükümlülüklerinin düzenlenmesi ve kontrolü de hukuk departmanının iş birliğini gerektirir.

İnsan Kaynakları Departmanı​

Çalışan verileri, işe alım süreçlerinden performans değerlendirmelerine, özlük işlemlerine kadar geniş yelpazede işlenir. İK departmanı, çalışan verilerinin ne zaman ve nasıl imha edileceği konusunu ilgili politika ve mevzuat hükümleriyle uyumlu hale getirmekle yükümlüdür. Ayrıca personel eğitimi, gizlilik sözleşmeleri ve farkındalık kampanyaları da İK yönetiminin görevleri arasındadır.

Politikaların Güncellenmesi ve Sürdürülebilirlik​

Teknoloji ve mevzuat sürekli değişim halindedir. Bulut bilişim hizmetlerinin yaygınlaşması, mobil cihaz kullanımının artması, yapay zekâ temelli veri işleme faaliyetlerinin gelişmesi gibi etkenler, kişisel veri yönetimindeki riskleri de dönüştürür. Bu nedenle, Kişisel Verilerin Silinmesi ve İmha Politikası sabit ve değişmez bir belge olmaktan ziyade “canlı” bir doküman olarak değerlendirilmelidir.

Güncelleme Kriterleri​

Politikanın güncellenmesini gerektiren bazı durumlar şunlardır:

• Yeni mevzuat veya Kurul kararları: KVKK kapsamına giren ek yönetmelikler veya Kurul’un yaptığı yeni düzenlemeler, politikada değişiklik gerektirebilir.
• Teknolojik yenilikler: Yeni silme/imha teknolojileri veya veri saklama yöntemlerinin devreye alınması, politika güncellenmesine yol açabilir.
• Organizasyonel değişiklikler: Kurum birleşmeleri, devralmalar, yeni bir departman kurulması veya görev değişiklikleri sonucunda sorumluluk dağılımlarının değişmesi.
• Denetim veya ihlal sonuçları: İç/dış denetim raporları veya yaşanan veri ihlali sonrasında ortaya çıkan eksiklerin giderilmesi ve iyileştirmelerin yapılması.

Güncellemeler, kurumun veri koruma farkındalığını canlı tutar ve çalışanlara düzenli olarak duyurulmalıdır. Her güncellemenin amacı, kişisel verilerin korunmasını güçlendirmek ve riskleri azaltmaktır.

Eğitim ve Farkındalık​

Sürdürülebilir bir imha politikası, sadece üst düzey belgelerin varlığıyla sağlanamaz. Kurumun tüm çalışanlarının, kişisel verilerin silinmesi ve imha edilmesinin önemini anlaması ve bu alandaki prosedürleri uygulayabilmesi gerekir. Eğitim ve farkındalık faaliyetleri, şu unsurları içerir:

• Veri Sızıntısı Senaryoları: Gerçek veya kurguya dayalı örnek olaylar üzerinden, veri ihlallerinin sonuçları ve çalışanların dikkat etmesi gereken noktalar anlatılabilir.
• Politika İçeriği: Hangi verilerin ne zaman silineceği ve nasıl imha edileceği, hangi durumlarda kiminle iletişime geçileceği gibi somut bilgiler.
• Hukuki Sonuçlar: KVKK ve diğer mevzuat çerçevesinde sorumluluklar, idari para cezaları ve itibar kaybı riskleri vurgulanmalıdır.
• Düzenli Testler ve Tatbikatlar: Farklı veri ihlali senaryolarına karşı önceden hazırlık yapmak amacıyla tatbikatlar düzenlenebilir.

Eğitimler, kurum kültürünün bir parçası haline geldiğinde, veri koruma ve imha politikaları daha etkin biçimde uygulanır.

İmha Prosedürlerinin Belgelenmesi​

Her veri silme veya imha işlemi, hangi verilerin ne zaman ve hangi yöntemle ortadan kaldırıldığı, sorumlu kişilerin kimler olduğu ve işlemin yasal dayanakları gibi bilgileri içeren kayıtlarla belgelenmelidir. Belgelenme, mevzuat yükümlülüklerinin ispatı ve denetim süreçlerinin sağlıklı işlemesi açısından önemlidir. Örneğin, periyodik imha işlemleri için şu tür kayıtlar tutulabilir:


Buna ek olarak, anonimleştirme süreçleri de benzer biçimde kayıt altına alınmalıdır. Böylece bir verinin hangi tarihte anonimleştirildiği ve bu işlem sonrasında kişisel veri niteliğinin ortadan kalktığı ispatlanabilir. Belgeler, denetimlerde referans noktasını oluşturur ve kurumsal hafızanın korunmasını sağlar.

Sektörel Farklılıklar​

Her sektörün kendine özgü risk faktörleri ve mevzuat yükümlülükleri bulunur. Örneğin sağlık sektöründe, hastaların tıbbi kayıtları özel nitelikli kişisel veridir ve daha sıkı koruma gerektirir. Benzer şekilde bankacılık sektöründe finansal bilgilerin saklanma ve imha süreçleri, Bankacılık Düzenleme ve Denetleme Kurumu (BDDK) düzenlemeleriyle şekillenir. Bu nedenle Kişisel Verilerin Silinmesi ve İmha Politikası, sadece genel mevzuata değil, sektörel düzenlemelere de entegre olmalıdır. Aşağıda bazı örnekler yer alır:

• Sağlık: Hastaneler ve klinikler, tıbbi kayıtların saklanma sürelerini Sağlık Bakanlığı yönergelerine göre belirlemeli, özel nitelikli verilerin imhasını da hassas yöntemlerle yapmalıdır.
• Bankacılık ve Finans: Müşteri bilgileri, hesap hareketleri, kredi kayıtları gibi veriler BDDK ve MASAK (Mali Suçları Araştırma Kurulu) düzenlemeleri uyarınca belirlenen sürelerde saklanır.
• Telekomünikasyon: İletişim kayıtları, abone bilgileri vb. sektör düzenlemelerine tabidir. Veri saklama süreleri çoğu zaman yasal zorunluluklarla çakışır.
• E-Ticaret: Müşterilerin alışveriş geçmişi, ödeme bilgileri ve iletişim verileri, Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve ilgili yönetmeliklerle örtüşecek şekilde saklanmalı ve imha edilmelidir.

Sektörel farklılıklar, politikaların daha spesifik düzenlemeler içermesine yol açar. Her kurum, kendi faaliyet alanını analiz ederek KVKK çerçevesinde “özel” gerekliliklerini belirlemeli ve politika kapsamını bu doğrultuda genişletmelidir.

Politika Uygulama Örnekleri ve Organizasyonel Entegrasyon​

Kişisel verilerin silinmesi ve imhasına yönelik politikaların pratikte uygulanabilmesi, kurumun tüm departmanlarının koordinasyonunu gerektirir. Örneğin bir e-ticaret şirketinde müşteriye ait hesap bilgilerinin silinmesi talebi geldiğinde, bu bilgilere satış departmanı, pazarlama departmanı, müşteri ilişkileri ve teknik destek gibi farklı bölümlerin erişimi olabilir. Bu nedenle merkezi bir sistem üzerinden yetkili personel tarafından veri silme işleminin tek seferde gerçekleştirilmesi veya ilgili tüm birimlere otomatik bildirim yapılması gerekebilir.

Teknik Altyapı Entegrasyonu​

Bütünleşik bilgi sistemleri, veri imha ve silme politikalarının uygulanmasında büyük kolaylık sağlar:

• Merkezi Kimlik Yönetimi: Kullanıcıların rollerine göre veriye erişimini düzenleyen ve gerekli olduğunda sistemden otomatik olarak veri silmeyi başlatan yapılar.
• Loglama ve Kayıt Sistemleri: Her silme veya imha işleminin sistem tarafından otomatik kaydedilmesi; işlem tarihi, kullanıcısı, veri türü gibi bilgilerin tutulması.
• Veri Etiketleme (Classification): Verilerin hassasiyet derecesine göre etiketlenmesi, imha prosedürlerinin bu derecelendirmeye göre otomatik tetiklenmesi.
• Yedek Yönetimi: Yedek sistemlerdeki verilerin de ana sistemlerle eş zamanlı olarak silinmesi. Aksi halde yedeklerde tutulan veriler, asıl sistemden silinse dahi varlığını sürdürebilir.

Üst Yönetim Desteği​

Politikaların hazırlanması ve uygulanması, üst yönetimin desteği olmadan eksik kalır. Bütçe ayrılması, gerekli teknolojik yatırımın yapılması, personel eğitimlerinin düzenlenmesi ve kurumsal kültürün oluşturulması, üst yönetimin stratejik kararlarıyla doğrudan ilişkilidir. Yöneticilerin, kişisel veri koruma ve imha politikalarına “zorunlu bir yasal prosedür” olarak değil, kurumsal itibar ve rekabet avantajı sağlayan bir yaklaşım olarak bakması gerekir.

Uluslararası Düzenlemelerle Uyumluluk​

Kişisel Verilerin Silinmesi ve İmha Politikası oluştururken, sadece ulusal mevzuata değil, varsa uluslararası veri koruma düzenlemelerine de uyum gözetilmelidir. Özellikle çok uluslu şirketler ve yurt dışı veri aktarımı yapan işletmeler açısından GDPR (Avrupa Birliği Genel Veri Koruma Tüzüğü) gibi düzenlemeler önem taşır. GDPR’de de “veri minimizasyonu” ve “saklama süresi sınırlılığı” ilkeleri ön plandadır:

• Verinin, yalnızca gerektiği kadar saklanması.
• Veri işleme amaçlarının ortadan kalkmasıyla birlikte verilerin silinmesi veya anonim hale getirilmesi.
• İlgili kişinin, verilerinin silinmesini talep etme hakkı (right to erasure / right to be forgotten).

Türkiye’de faaliyet gösteren ve AB ülkelerinde de veri işleyen kuruluşların, hem KVKK hem de GDPR hükümlerine uygun bir politikayı entegre biçimde uygulaması gerekebilir.

Otomasyon Sistemlerinin Önemi​

Elle yürütülen veri silme ve imha süreçleri, insan hatasına açıktır. Özellikle binlerce veya milyonlarca veri kaydı bulunan kuruluşlarda manuel yöntemler pratik ve güvenli olmaz. Bu nedenle otomasyon araçları geliştirilmesi veya mevcut kurumsal yazılımlara (ERP, CRM vb.) entegre imha modülleri kullanılması önerilir:

• Zamanlama Modülleri: Saklama sürelerini otomatik izleyen ve süresi dolan veriler için otomatik uyarı veya silme işlemi başlatan yazılımlar.
• Veri Keşfi (Data Discovery) Araçları: Kurum içindeki dağınık verileri tespit ederek, bu verilerin hassasiyet derecesini otomatik sınıflandırabilen çözümler.
• Raporlama ve Analitik: Silinen veya imha edilen veri türlerine ilişkin istatistiksel verileri, bölüm bazlı dağılımı, periyodik trend analizlerini sağlayan paneller.

Otomasyon sistemleri, denetimlerde de büyük kolaylık sağlar. Gerçekleştirilen her silme veya imha işlemi anlık olarak loglara kaydedilir, hangi kullanıcının hangi verileri ne zaman sildiği, hangi yöntemlerin uygulandığı geriye dönük olarak incelenebilir.

Ek Maliyet ve Yatırım Değerlendirmesi​

Veri koruma ve imha süreçleri, belirli bir maliyet ve emek gerektirir. Ancak, uzun vadede veri ihlallerinin önlenmesi, yasal yaptırım riskinin düşürülmesi ve kurumsal itibarın korunması gibi avantajlar düşünüldüğünde, bu yatırımın değeri yüksektir. Ayrıca gereksiz tutulan verilerin depolanması, yedeklenmesi ve yönetilmesi de ek maliyet yaratır. Gereksiz verileri silmek, depolama masraflarını ve sistem yükünü azaltarak kuruma ekonomik fayda da sağlar.

Kurumsal Kültür ve Farkındalık Yaratma​

Kişisel veri güvenliği ve imha politikaları, sadece teknolojik ve hukuki bir konu olmaktan öte, kurumsal kültürün bir parçasıdır. Çalışanların, yöneticilerin ve paydaşların bu konuya aynı hassasiyetle yaklaşması sağlanmadığında, en gelişmiş teknolojik önlemler bile yetersiz kalabilir. Kişisel verileri korumak ve gerektiğinde imha etmek bir disiplin meselesidir ve bu disiplin, kurum içi iletişim ve sürekli eğitimle desteklenmelidir.

Uzaktan Çalışma ve Mobil Cihazlar​

Özellikle küresel ölçekte yaşanan uzaktan çalışma eğilimi, kişisel veri yönetimi ve imha politikalarını daha karmaşık hale getirir. Çalışanlar, evlerinden veya farklı lokasyonlardan kurumsal verilere erişmekte, mobil cihazlar üzerinden veri işleyebilmektedir. Bu durumda:

• Cihaz Yönetimi: Kişisel veya kurumsal mobil cihazlarda bulunan verilerin uzaktan silinmesi (remote wipe) gibi işlevler kullanılmalıdır.
• Şifreleme ve VPN: Erişim güvenliğinin artırılması, verilerin iletim sırasında korunması gerekir.
• Bulut Hizmetleri: Kurumsal verilerin bulut platformlarında saklanma koşulları, hangi veri merkezinde tutulduğu ve imha süreçlerinde bulut hizmet sağlayıcısının rolü değerlendirilmelidir.

Uzaktan çalışma modelinde, herhangi bir cihazın kaybolması veya çalınması halinde veri sızıntısı riski artar. Bu nedenle, politikalarda mobil cihazların imhası ve uzaktan silinmesi gibi konulara da özel yer verilmelidir.

Siber Güvenlik Boyutu​

Kişisel verilerin silinmesi ve imha edilmesi, geniş bir siber güvenlik şemsiyesi altında değerlendirilmelidir. Fidye yazılımları, phishing saldırıları, veritabanı ihlalleri gibi pek çok saldırı türü, veri sızıntısına yol açabilir. Eğer kurum verileri düzenli olarak imha etmez ve gereksiz veri yığınları oluşturursa, saldırganlar için daha geniş bir hedef alanı doğar. Bu açıdan bakıldığında:

• Güvenli Yedekleme: Yedeklerin de güncel ve şifreli biçimde saklanması ve imha politikalarına tabi olması kritik önem taşır.
• Saldırı Tespit/Önleme Sistemleri: Verinin yok edilmesi esnasında sisteme müdahaleye karşı da ek önlemler alınmalıdır.
• Erişim Kontrolü ve İki Faktörlü Kimlik Doğrulama: Yanlış kişilerin veri silme veya imha işlemi yapmasını önlemek için kimlik doğrulama yöntemleri kullanılmalıdır.

Birey Hakları ve Şeffaflık Talepleri​

KVKK, ilgili kişilere kendi verileri üzerinde geniş haklar tanır. Bu haklar arasında, verilerin silinmesini talep etme hakkı (right to erasure) da bulunur. Veri sorumlusu, ilgili kişinin talebini değerlendirmeli, hukuki saklama zorunluluğu veya meşru menfaati kalmamışsa, verileri gecikmeksizin silmelidir. Şeffaflık ilkesi gereğince de bu işlemin ne şekilde yapıldığını açıklamalıdır. Bireylerin bu talebi, kurum içindeki silme ve imha süreçlerinin hızla ve düzenli biçimde işletilmesini zorunlu kılar.

Etik Değerlendirmeler​

Hukuk kuralları, kurumsal politikalar için asgari çerçeveyi çizer. Ancak kişisel veriler aynı zamanda etik sorumluluk boyutu da taşır. Kurumlar, kişilerin mahremiyet hakkına saygı duymalı ve verilerin sadece yasalara uygun değil, aynı zamanda adil, ölçülü ve saygılı biçimde işlenmesini sağlamalıdır. Bu nedenle veri silme ve imha politikaları, hem hukuki hem de etik değerlere dayanmalı, bilhassa hassas verileri barındıran veri setlerinde daha sıkı bir süreç izlemelidir.

Sonraki Adımlara Dair İleri Düzey Öneriler​

Kişisel Verilerin Silinmesi ve İmha Politikasının etkili uygulanabilmesi için ileri düzeyde stratejik adımlar atılması faydalı olabilir:

• Sertifikasyon Programları: ISO 27001, ISO 27701 gibi bilgi güvenliği ve gizlilik yönetimi sertifikasyonları, politika kalitesini ve uygulama standardını yükseltir.
• Düzenli Kriz Simülasyonları: Veri ihlali veya yanlışlıkla silme gibi senaryoların canlandırılması, teknik ve idari ekibin hazır olmasını sağlar.
• Veri İmha Üzerine AR-GE: Yeni şifreleme ve imha teknolojileri, silinen verinin kurtarılmasını tamamen engelleyecek güncel yöntemlerin geliştirilmesi.
• Uluslararası İş Birliği: Sınır aşan veri akışında, yabancı mevzuatlarla da uyumu sağlayacak ortak projeler, konferanslar ve eğitimler düzenlenmesi.

Kurumsal stratejiyle uyumlu, teknolojik gelişmelere açık ve yasal gerekliliklerle paralel biçimde düzenlenen bir silme ve imha politikası, kurumların veri güvenliği alanında sağlam bir temel atmasını sağlar. Böylece gerek yasal uyum gerekse itibar açısından olumlu sonuçlar elde edilir ve kişilerin mahremiyet hakkına saygılı bir kurumsal kültür yerleşir.