Kişisel Verilerin İmhasını Gerektiren Haller ve Üç İmha Yöntemi
Kişisel veriler, işlenme amacı ortadan kalktığında ve saklama için başka bir hukuki sebep kalmadığında imha edilmek zorundadır. KVKK'nın 7. maddesi ile Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, imhayı gerektiren halleri, üç imha yöntemini ve periyodik imha yükümlülüğünü düzenler. Veri sorumlusu, imhayı ilgili kişinin talebi olmadan da kendiliğinden yapmakla yükümlüdür.
İmhayı gerektiren haller
- İşleme amacının ortadan kalkması. İş başvurusu değerlendirilip sonuçlandıysa, sipariş teslim edilip yasal saklama süresi dolduysa amaç sona ermiştir.
- Hukuki sebebin ortadan kalkması. Sözleşme sona erdi ve saklamayı gerektiren mevzuat hükmü yoksa.
- Açık rızanın geri alınması. İşleme yalnız rızaya dayanıyorsa, rıza geri alındığında dayanak kalmaz. Ayrıntı: rızanın geri alınması.
- İlgili kişinin talebi. Silme veya yok etme talebi kabul edilirse veri imha edilir; veri sorumlusu 30 gün içinde yanıt verir.
- İşlemenin hukuka aykırı olduğunun tespiti. Kurul kararı veya kendi tespitiyle.
- Saklama süresinin dolması. Envanterde tanımlanan azami süre dolduğunda.
Silme talebi her durumda kabul edilmek zorunda değildir: verinin saklanmasını gerektiren bir kanun hükmü varsa (vergi mevzuatı, iş hukuku, elektronik ticaret mevzuatı) talep gerekçeli olarak reddedilir ve gerekçe ilgili kişiye bildirilir.
Üç imha yöntemi
| Yöntem | Ne demek | Örnek |
|---|---|---|
| Silme | Veri ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir | Veri tabanı kaydının silinmesi, dosyanın kalıcı kaldırılması, erişim yetkilerinin tamamen kapatılması |
| Yok etme | Veri hiç kimse için erişilemez, geri getirilemez hale gelir | Diskin fiziksel olarak imhası, kağıt evrakın kıyılması veya yakılması, de-manyetize etme |
| Anonim hale getirme | Veri, başka verilerle eşleştirilse dahi hiçbir kişiyle ilişkilendirilemez | Maskeleme, toplulaştırma, veri türetme. Geri döndürülebiliyorsa anonim sayılmaz |
Sık karıştırılan nokta: kaydı "pasif" işaretlemek veya arşive taşımak imha değildir; veri erişilebilir durumda kaldığı sürece işleme devam ediyor sayılır.
Saklama ve imha politikası
VERBİS'e kayıtlı veri sorumluları yazılı bir Kişisel Veri Saklama ve İmha Politikası hazırlamak zorundadır. Politikada bulunması gerekenler:
- Politikanın amacı, kapsamı, dayanağı ve tanımlar
- Kayıt ortamları (sunucu, bulut, kağıt, taşınabilir bellek)
- Saklamayı ve imhayı gerektiren hukuki, teknik ve diğer sebepler
- Alınan teknik ve idari tedbirler
- Veri kategorisi bazında saklama süreleri tablosu
- Periyodik imha süresi ve sorumlular
- Güncelleme kaydı
Kayıtlı olmayan veri sorumluları için politika zorunlu değildir; ancak imha yükümlülüğü onlar için de geçerlidir ve denetimde saklama sürelerinin nasıl belirlendiği sorulur.
Periyodik imha
Politikası olan veri sorumluları, imha koşulu oluşan verileri düzenli aralıklarla imha etmekle yükümlüdür. Periyodik imha aralığı en fazla 6 aydır. Her imha işlemi tutanakla kayıt altına alınır ve bu kayıtlar, aksi mevzuatta öngörülmedikçe en az 3 yıl saklanır.
Web sitesi verileri için pratik saklama süreleri
| Veri | Tipik dayanak | Not |
|---|---|---|
| İletişim formu kayıtları | Meşru menfaat veya rıza | Talep kapandıktan sonra makul bir süre; süresiz saklanmamalı |
| Bülten aboneliği | Açık rıza | Rıza geri alınınca imha |
| Sunucu logları | Kanuni yükümlülük | Mevzuatın öngördüğü süre |
| Analitik ve pazarlama çerezleri | Açık rıza | Çerez ömrü politikada beyan edilen süreyle uyumlu olmalı; GA4'te veri saklama ayarı buna göre seçilir |
| Rıza kayıtları | İspat yükümlülüğü | Rıza sona erdikten sonra da makul süre saklanır |
Çerezlerin gerçek ömrünü ve sayısını görmek için ücretsiz tarama yapabilirsiniz; tarama çıktısı politikanızdaki tablonun kaynağı olur.
Sıkça sorulan sorular
Yedeklerdeki veriyi de silmek zorunda mıyım?
Yedekteki veri derhal silinemiyorsa erişim kapatılır ve yedek geri yüklendiğinde imhanın uygulanacağı taahhüt edilir; bu durum politikada belirtilir.
Anonimleştirdim, artık KVKK kapsamı dışında mı?
Gerçekten geri döndürülemezse evet. Tek yönlü olmayan maskeleme veya az sayıda kayıt üzerinde yapılan toplulaştırma, kişiyi belirlenebilir bıraktığı için anonim sayılmaz.
Müşteri silme talebinde bulundu ama faturası duruyor, ne yapmalıyım?
Vergi mevzuatı gereği fatura saklanır; talep bu veri için gerekçeli olarak reddedilir, saklamayı gerektirmeyen diğer veriler imha edilir. Yanıt 30 gün içinde verilir.
Periyodik imhayı yapmazsam ne olur?
Saklama disiplini bozulur ve gereksiz veri birikir; düzenli periyodik imha, hem güvenlik yükünü hem de denetimde yanıtlanacak soru sayısını azaltır.
.jpg)
