6698 sayılı Kişisel Verilerin Korunması Kanunu 7 Nisan 2016 tarihinde Resmî Gazete’de yayımlandı, ardından 28 Ekim 2017 tarihli ve 30224 sayılı Resmî Gazete’de yayımlanan Yönetmelik ile 1 Ocak 2018’den itibaren Veri Sorumluları Sicili’ne (VERBİS) kayıtlı binlerce şirket ve kurum için yeni bir yazılı belge zorunluluğu doğdu. Bu belgenin adı kişisel veri saklama ve imha politikası ve Yönetmelik, politika hazırlamakla yükümlü veri sorumlularının periyodik imhayı en geç altı aylık aralıklarla yapmasını; politika hazırlama yükümlülüğü bulunmayan veri sorumlularının ise imha yükümlülüğü doğduktan sonraki üç ay içinde imhayı tamamlamasını öngörüyor. Buna rağmen pek çok şirket bu belgeyi ya hiç hazırlamıyor ya da internetten bulduğu bir şablonu imzalayıp dosyaya kaldırıyor, kendi veri envanterine hiç uyarlamıyor.
Kişisel veri saklama ve imha politikası, VERBİS’e kayıt yükümlülüğü bulunan bir veri sorumlusunun kendi kişisel veri envanterine göre hazırladığı, hangi verinin hangi hukuki sebeple ne kadar süre saklanacağını, saklama süresi dolduğunda hangi yöntemle işlem yapılacağını ve bu süreçten kimin sorumlu olacağını düzenleyen yazılı bir belgedir. Yönetmeliğin 6. maddesi, politikanın amaç, kapsam, tanımlar, saklamayı ve imhayı gerektiren hukuki ve ticari sebepler, teknik ve idari tedbirler, görev ve sorumluluklar ile saklama ve imha süreleri gibi asgari başlıkları içermesini şart koşuyor.
Politikayı Hazırlama Yükümlülüğü Kimler İçin Geçerlidir?
Yönetmeliğin 5. maddesi bu yükümlülüğü açıkça VERBİS’e kayıt zorunluluğu bulunan veri sorumlularına bağlıyor. Yani önce cevaplanması gereken soru, şirketin veya kurumun Veri Sorumluları Sicili’ne kayıt olma zorunluluğu bulunup bulunmadığı. Kurul, çalışan sayısı ve yıllık mali bilanço büyüklüğü gibi ölçütlere göre istisnalar tanımlamış durumda; bu eşik değerleri zaman içinde güncellenebildiğinden, kayıt yükümlülüğünün olup olmadığını VERBİS üzerinden veya Kurum’un güncel duyurularından teyit etmek gerekiyor.
Örnek bir senaryo düşünelim. Kartal’da imalat yapan, yetmiş çalışanı olan bir KOBİ, müşteri siparişlerini, çalışan özlük dosyalarını ve tedarikçi sözleşmelerini elektronik ortamda tutuyor. Bu ölçekteki bir işletme büyük olasılıkla VERBİS’e kayıt yükümlülüğü eşiğinin üzerinde kalıyor ve bu durumda kişisel veri saklama ve imha politikası hazırlamak isteğe bağlı değil, Yönetmelikten doğan bir yükümlülük haline geliyor. Yönetmelik ayrıca, kayıt yükümlülüğü bulunmayan veri sorumlularının da Kanun ve Yönetmeliğin diğer hükümleriyle bağlı kalmaya devam ettiğini, yalnızca ayrı bir politika belgesi hazırlama zorunluluğunun aranmadığını belirtiyor.
Burada dikkat edilmesi gereken bir nokta var. Politikanın var olması, o şirketin kişisel verileri hukuka uygun işlediği anlamına gelmiyor; Yönetmelik bunu açıkça ayırıyor. Bir şirket çok kapsamlı görünen bir veri saklama ve imha politikası hazırlayıp duvara assa bile, fiilen envanterini çıkarmamış ve süreçlerini bu belgeye göre yürütmüyorsa, denetimde bu belge yalnızca kağıt üzerinde kalmış bir uyum görüntüsünden ibaret kalır.
Kanuni Dayanak: 6698 Sayılı Kanun ve İlgili Yönetmelik Nasıl Bir Çerçeve Çiziyor?
Saklama süresine ilişkin temel ilke, 6698 sayılı Kişisel Verilerin Korunması Kanunu‘nun 4. maddesinin ikinci fıkrasının (d) bendinde yer alıyor. Buna göre kişisel veriler, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilebilir; bu sürenin ötesinde veriyi tutmaya devam etmenin hukuki bir dayanağı kalmaz. Kanunun 16. maddesi ise Veri Sorumluları Sicili’ni düzenliyor ve kayıt yükümlülüğü bulunan veri sorumluları için Yönetmelik aracılığıyla ek bir yazılı belge zorunluluğu doğuyor.
Bu çerçevenin ikinci ayağı, 28 Ekim 2017 tarihli ve 30224 sayılı Resmî Gazete’de yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik. Bu Yönetmelik 1 Ocak 2018’de yürürlüğe girdi ve sadece politika hazırlama yükümlülüğünü değil, imha yöntemlerinin tanımlarını, periyodik imha sürelerini ve imha kayıtlarının ne kadar süreyle saklanacağını da ayrıntılı şekilde düzenliyor. Pratikte bir şirketin bilişim hukuku kapsamındaki yükümlülüklerini değerlendirirken Kanun ve Yönetmeliği birlikte okumak gerekiyor; Kanun genel ilkeyi koyarken, Yönetmelik bu ilkeyi somut süreç adımlarına dönüştürüyor.
Politika Hazırlamadan Önce: Kişisel Veri Envanteri Çıkarma
Yönetmeliğin 5. maddesi, politikanın veri sorumlusunun kişisel veri envanterine uygun olarak hazırlanmasını şart koşuyor. Bu, politika yazımına başlamadan önce şirketin hangi birimde, hangi amaçla, hangi kişisel veri kategorisini işlediğini satır satır çıkarması gerektiği anlamına geliyor. Envanter çıkarılmadan yazılan bir politika, gerçekte var olmayan veri kategorilerini düzenleyen veya gerçekte işlenen bir veriyi hiç kapsamayan boş bir metin olmaktan öteye gidemez.
Somut bir örnek verelim. Bir e-ticaret şirketi müşteri siparişlerini, çağrı merkezi ses kayıtlarını, çalışan özlük dosyalarını ve iş başvurusu yapıp işe alınmayan adayların özgeçmişlerini aynı sunucuda tutuyor olabilir. Bunların her biri farklı hukuki sebebe, farklı saklama süresine ve çoğu zaman farklı imha yöntemine tabi. Envanter aşaması atlanıp doğrudan veri saklama ve imha politikası yazılırsa, örneğin işe alınmayan adayların özgeçmişleri gibi makul süre geçtikten sonra silinmesi gereken bir veri kategorisi gözden kaçabilir.
Envanter çalışması tamamlandıktan sonra sıra, her veri kategorisi için saklamayı gerektiren hukuki veya ticari sebebi tek tek yazmaya geliyor. Bu eşleştirme yapılmadan hazırlanan politikalar, denetimde veri sorumlusunun kendi süreçlerini gerçekten bilmediğini ortaya koyan ilk işaret oluyor.
Silme, Yok Etme ve Anonim Hale Getirme Arasındaki Fark Nedir?
Yönetmeliğin 8, 9 ve 10. maddeleri bu üç kavramı birbirinden ayırıyor ve aradaki fark sanıldığından daha önemli sonuçlar doğuruyor. Madde 8’e göre silme, verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi; yani veri fiziksel olarak sistemde durmaya devam edebilir ama günlük işlemleri yürüten personelin erişimine kapatılır. Madde 9’daki yok etme ise daha ağır bir sonuç öngörüyor: veri, hiç kimse tarafından erişilemez, geri getirilemez ve yeniden kullanılamaz hale gelmeli. Madde 10’da tanımlanan anonim hale getirme ise veriyi, başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek hale dönüştürmeyi ifade ediyor.
Bu ayrımın pratikteki yansıması şu. Örneğin şirket, işten ayrılan bir çalışanın özlük dosyasını yalnızca bilgi işlem biriminin yönettiği arşiv sunucusunda bırakıp İnsan Kaynakları dahil veriyi işleyen tüm kullanıcıların erişimini kapattığında Yönetmelik anlamında silme yapmış olur. Erişimin bir yöneticiye açık bırakılması ise silme değil, yalnızca bir erişim kısıtlamasıdır. Dosya sunucudan ve yedeklerden kimsenin geri getiremeyeceği şekilde kaldırılmadıkça yok etme gerçekleşmiş sayılmaz. Veri sorumlusu, somut olayda hangi yöntemin uygulanacağına kendi karar verebilir; Yönetmelik, Kurul aksini kararlaştırmadıkça veri sorumlusuna bu üç yöntem arasında seçim serbestisi tanıyor.
Peki ama hangi yöntem ne zaman tercih edilmeli? Burada net bir pozisyon almak gerekiyor. Eğer veri, istatistiksel analiz veya ürün geliştirme gibi amaçlarla ileride tekrar işlenecekse anonim hale getirme daha uygun bir tercih; çünkü bu yöntemde veri setinin kendisi kullanılmaya devam edebiliyor, sadece kişiyle bağı koparılıyor. Buna karşılık saklama süresi dolmuş ve verinin hiçbir şekilde tekrar işlenmesi planlanmıyorsa yok etme, şirketi ileride bu verinin hâlâ bir yerde durup durmadığı sorusuyla karşı karşıya bırakmayacağı için daha güvenli bir seçim.
Politikada Mutlaka Yer Alması Gereken Başlıklar
Yönetmeliğin 6. maddesi, kişisel veri saklama ve imha politikasının asgari olarak hangi başlıkları içermesi gerektiğini sayıyor. Bir politika metni hazırlarken aşağıdaki unsurların her birine ayrı bir bölüm ayırmak gerekiyor.
- Politikanın hazırlanma amacı ve kapsamı
- Politikada kullanılan kayıt ortamlarının (elektronik ve elektronik olmayan) tanımları
- Hukuki ve teknik terimlerin tanımları
- Kişisel verilerin saklanmasını gerektiren hukuki, ticari ve teknik sebepler
- Kişisel verilerin imhasını gerektiren sebepler
- Saklama ve imha süresince uygulanacak teknik ve idari tedbirler
- Süreçte görev alacak kişilerin unvanları ve sorumlulukları
- Saklama ve imha sürelerini gösteren tablo
- Periyodik imhanın yapılacağı zaman aralığı
- Politikada yapılan güncellemelere ilişkin bilgi
Bu liste bir şablon doldurma egzersizi değil. Örneğin teknik ve idari tedbirler başlığı altında gerçekte uygulanmayan bir önlemi, mesela şifreleme uygulandığı ifadesini, yazıp fiilen şifreleme kullanmayan bir şirket, denetim sırasında kendi yazdığı belgeyle çelişen bir duruma düşer. Politikanın her başlığı, şirketin fiilen yaptığı işlemi yansıtmalı; aksi halde belge, veri sorumlusunun aleyhine delil haline gelebilir.
Bir finans şirketinin İK departmanı düşünelim. Bu departman özlük dosyaları için uzun bir saklama süresi belirlerken, bu sürenin dayanağını örneğin ilgili mevzuattan doğan zamanaşımı sürelerini politikada ayrıca belirtmeli. Süre belirlenirken sadece daha uzun tutmanın daha güvenli olacağı yaklaşımı, Kanunun 4. maddesindeki ölçülülük ilkesiyle çelişir ve gereğinden uzun saklama, başlı başına bir ihlal gerekçesi olabilir.
Saklama Süreleri Nasıl Belirlenir?
Saklama süresinin belirlenmesinde iki ayrı kaynak devreye giriyor: ilgili mevzuatın öngördüğü süre ve verinin işlendiği amaç için gerekli olan süre. Bir sözleşmenin tarafı olarak tutulan fatura ve muhasebe belgeleri için vergi mevzuatından doğan saklama süreleri açık bir taban oluşturuyor; buna karşılık bir web sitesi üzerinden toplanan bülten aboneliği verisi için böyle bir mevzuat süresi yok, bu durumda işleme amacının gerektirdiği süre esas alınıyor.
Saklama süresi belirlenirken her veri kategorisi için ayrı bir gerekçe yazmak, aynı süreyi tüm veri setine mekanik şekilde uygulamaktan çok daha sağlam bir uygulama. Çünkü bir denetimde sorulan soru genellikle bu verinin neden hâlâ tutulduğu oluyor; cevap olarak sadece politikadaki bir tabloyu göstermek değil, o tablonun arkasındaki hukuki veya ticari gerekçeyi açıklayabilmek gerekiyor.
İmha Yönteminin Seçimi: Kağıttan Buluta Farklı Ortamlar
Kişisel veri saklama ve imha politikası hazırlanırken gözden kaçan bir nokta, aynı şirket içinde verinin birden fazla ortamda tutulabildiği gerçeği. Bir müşteri sözleşmesi hem fiziksel dosyada imzalı nüsha olarak hem de taranmış halde bulut depolama sisteminde, hem de yedekleme sunucusunda bulunabiliyor. Politika, bu üç ortamın her biri için ayrı bir imha yöntemi tarif etmeli; aksi halde fiziksel nüsha imha edilip dijital kopyaların sunucuda kalması, imha işleminin eksik yapılmış sayılmasına yol açar.
Somut bir örnek. Bir mali müşavirlik bürosu, süresi dolan müşteri dosyalarının kağıt nüshalarını evrak imha makinesinden geçiriyor ama aynı dosyaların taranmış PDF kopyalarını e-posta arşivinde ve bulut yedeğinde unutuyor olabilir. Bu durumda şirket, kağıt üzerindeki imhayı tamamladığını düşünse de dijital kopya hâlâ erişilebilir durumda kaldığı için Yönetmelik anlamında yok etme gerçekleşmemiş olur.
Fiziksel imha için dışarıdan hizmet alınan durumlarda da sorumluluk sona ermiyor. Bir şirket, kağıt belgelerin imhasını dışarıdan bir evrak imha firmasına yaptırıyorsa, bu firmanın imha işlemini gerçekten yaptığını gösteren bir imha tutanağı talep etmeli; aksi halde kutuların dışarı çıktığı an ile fiilen imha edildiği an arasında veri, şirketin kontrolü dışında ama hâlâ üçüncü bir elde bulunmaya devam ediyor olabilir.
Bulut tabanlı sistemlerde durum daha da karmaşık hale gelebilir; çünkü silme komutu verilen bir kayıt, sağlayıcının yedekleme döngüsü tamamlanana kadar arka planda bir süre daha durabilir. Politikada bu tür teknik gecikmelerin nasıl yönetileceğinin, yani yedeklerin hangi döngüyle temizleneceğinin de belirtilmesi, belgeyi gerçekçi ve uygulanabilir kılan unsurlardan biri.
Periyodik İmha Süreci ve Azami Süre Sınırı
Yönetmeliğin 11. maddesi, periyodik imhanın ne sıklıkla yapılması gerektiğini açıkça sınırlıyor: kişisel veri saklama ve imha politikası bulunan bir veri sorumlusu, bu süreyi kendi politikasında belirler ama bu sürenin her hâlde altı ayı geçemeyeceği hükmü gereği, en geç altı ayda bir periyodik imha turunu fiilen gerçekleştirmek zorundadır. Yani şirket politikasında yılda bir imha yapılacağını yazamaz; azami sınır Yönetmelik tarafından çiziliyor.
VERBİS Kaydından Muaf Veri Sorumluları İçin Süre Nedir?
Yönetmeliğin 11. maddesinin üçüncü fıkrası, politika hazırlama yükümlülüğü bulunmayan, yani VERBİS kaydından muaf olan veri sorumluları için ayrı bir süre öngörüyor. Bu veri sorumluları, silme, yok etme veya anonim hale getirme yükümlülüğünün doğduğu tarihi izleyen üç ay içinde imhayı tamamlamak zorunda. Dolayısıyla politika hazırlama zorunluluğunun olmaması, imha yükümlülüğünü ortadan kaldırmıyor. VERBİS’e kayıt yükümlülüğü bulunduğu hâlde politika hazırlamamış bir veri sorumlusu ise doğrudan Yönetmeliğin 5. maddesine aykırı davranmış olur.
Kurul, telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık bulunması hâlinde bu süreleri kısaltabiliyor. Bu yüzden periyodik imha tarihlerini bir takvime bağlamak, örneğin her yıl sabit aylarda bir imha turu planlamak, altı aylık üst sınırı kaçırma riskini en aza indiren pratik bir çözüm.
İmha İşlemlerinin Kayıt Altına Alınması
Yönetmeliğin 7. maddesi, silme, yok etme veya anonim hale getirme işlemlerinin kendiliğinden ya da ilgili kişinin talebi üzerine yapılmasından bağımsız olarak, bu işlemlerin kayıt altına alınmasını ve bu kayıtların en az üç yıl süreyle saklanmasını şart koşuyor. Yani imha edilen her veri kategorisi için hangi verinin ne zaman ve hangi yöntemle imha edildiği sorularına cevap veren bir kayıt tutulmalı.
Bu kayıt, bir denetim talebi geldiğinde veri sorumlusunun elini en çok güçlendiren belge oluyor. Örneğin bir ilgili kişi, yıllar önce verdiği bir özgeçmişin hâlâ şirkette tutulup tutulmadığını sorduğunda, şirket bu kaydı gösterip verinin belirli bir tarihte, belirli bir yöntemle imha edildiğini somut biçimde kanıtlayabiliyor. Böyle bir kayıt olmadan verilen sözlü bir imha beyanı, ispat yükü altında zayıf kalır.
Politikanın Yürütülmesinden Kim Sorumlu Olmalı?
Yönetmeliğin 6. maddesi, politikada görev alacak kişilerin unvanlarının ve sorumluluklarının ayrıca belirtilmesini istiyor; ama uygulamada bu başlık genellikle en belirsiz kalan kısım oluyor. Çoğu şirkette kişisel veri süreçleri tek bir departmanda toplanmıyor: İnsan Kaynakları özlük verilerinden, bilgi işlem sunucu ve yedekleme altyapısından, pazarlama ise müşteri ve potansiyel müşteri verilerinden sorumlu oluyor. Politika bu dağınık yapıyı görmezden gelip tek bir veri sorumlusu temsilcisi ataması yapmakla yetinirse, fiilen imha işlemini kimin tetikleyeceği belirsiz kalır.
Bir orta ölçekli şirkette işleyen bir yapı genellikle şöyle kuruluyor. Her departman kendi veri kategorisi için saklama süresinin dolup dolmadığını periyodik olarak kontrol ediyor, bilgi işlem birimi teknik imha işlemini, sunucudan silme, fiziksel diskin imhası, yedek döngüsünün temizlenmesi gibi adımlarla gerçekleştiriyor, politikada belirlenen genel koordinasyon görevi ise genellikle hukuk veya uyum biriminde topluyor. Bu üçlü iş bölümü yazılı hale getirilmediğinde, periyodik imha turu geldiğinde kimin görevi olduğuna dair bir tartışma yaşanması olağan bir sonuç oluyor.
Yazılı sorumluluk dağılımının yanında, imha sürecinde görev alan personelin bu konuda bilgilendirilmiş olması da pratikte fark yaratıyor. Örneğin bir çağrı merkezi çalışanı, süresi dolmuş bir müşteri kaydını sistemden silmesi gerektiğini bilmiyorsa, politika ne kadar iyi yazılmış olursa olsun fiilen uygulanmıyor demektir; bu yüzden politika güncellendiğinde ilgili departmanlara kısa bir bilgilendirme yapılması, belgenin kağıt üzerinde kalmasını önleyen basit ama etkili bir adım.
Politika ile VERBİS Bildirimi Arasında Tutarlılık Neden Önemli?
VERBİS’e kayıt sırasında veri sorumlusu, işlediği her kişisel veri kategorisi için bir saklama süresi beyan ediyor. Bu beyan, kişisel veri saklama ve imha politikasında yazılan sürelerle birebir örtüşmek zorunda; aksi halde ortaya iki farklı belge çıkıyor, biri Kurum’un sicil kaydında, diğeri şirketin kendi dosyasında, ve bu iki belge birbiriyle çelişiyor.
Böyle bir tutarsızlık genellikle şu şekilde ortaya çıkıyor. Şirket VERBİS’e kayıt olurken danışmanlık aldığı dönemde bir süre beyan ediyor, sonra içeride kendi hazırladığı politika metninde farklı bir ekip farklı bir süre yazıyor. İki belge arasındaki bu uyumsuzluk, bir inceleme sırasında veri sorumlusunun kendi süreçlerini tutarlı şekilde yönetmediğinin göstergesi olarak değerlendirilebiliyor. Bu yüzden politika her güncellendiğinde, VERBİS bildirimindeki saklama sürelerinin de aynı güncellemeyi yansıtıp yansıtmadığı kontrol edilmeli.
Politikaya Uyulmamasının Hukuki Sonuçları Nelerdir?
6698 sayılı Kanunun 11. maddesi, ilgili kişiye kendisine ait kişisel verinin silinmesini veya yok edilmesini isteme hakkı tanıyor. Bir kişi bu talebi veri sorumlusuna ilettiğinde, ortada güncel ve envanterle uyumlu bir kişisel veri saklama ve imha politikası varsa, talebin hangi süreçle karşılanacağı zaten belirli oluyor; politika yoksa veya güncel değilse, şirket bu talebe nasıl cevap vereceğini büyük ölçüde o anda, aceleyle kurgulamak zorunda kalıyor.
Kanunun 18. maddesi, veri güvenliğine ilişkin yükümlülüklerin ve Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğünün ihlali hâlinde idari para cezası uygulanabileceğini düzenliyor; bu cezaların tutarları Kabahatler Kanunu uyarınca her yıl yeniden değerleme oranında artırıldığından, güncel tutarın Kurumun resmî duyurularından teyit edilmesi gerekiyor. Daha önemlisi, bir şikâyet veya ihbar üzerine başlayan bir Kurul incelemesinde, güncel ve uygulanan bir politika belgesi, veri sorumlusunun süreçlerini sistematik şekilde yönettiğini gösteren ilk ve en somut kanıt oluyor; buna karşılık hazırlanmamış veya sadece kağıt üzerinde kalmış bir politika, incelemeyi veri sorumlusunun aleyhine çevirebiliyor.
Uygulamada Sık Karşılaşılan Hatalar
Sahada en sık karşılaşılan hata, internetten indirilen bir örnek politikanın şirketin kendi veri envanterine hiç uyarlanmadan imzalanması. Kurum, VERBİS’e kayıtlı veri sorumluları için 2019 yılında örnek bir politika metni yayımlamıştı; bu örnek metin iyi bir başlangıç noktası olsa da, doğrudan kopyalanıp şirket adının değiştirilmesiyle kullanılması, yukarıda anlatılan envanter eşleştirmesi yapılmadığı için pratikte işe yaramıyor.
İkinci yaygın hata, politikanın hazırlanmasıyla iş bitmiş sayılmak. Oysa Yönetmelik, politikanın periyodik olarak uygulanmasını şart koşuyor; bir kez yazılıp dosyalanan ama hiçbir zaman fiilen imha turuna dönüşmeyen politika, denetimde veri sorumlusunun aleyhine çalışan bir belgeye dönüşebiliyor, çünkü şirket kendi yazdığı kurala uymadığını ispatlamış oluyor.
Üçüncü hata ise imha yöntemleri arasında rastgele seçim yapmak. Bazı şirketler her veri kategorisi için aynı yöntemi, genellikle sadece silmeyi, uygulamayı tercih ediyor; oysa yukarıda anlatıldığı gibi silme ve yok etme farklı hukuki sonuçlar doğuruyor. Doğru yaklaşım, her veri kategorisi için hangi yöntemin hem teknik olarak uygulanabilir hem de hukuken yeterli olduğunu ayrı ayrı değerlendirmek; tek tip bir çözüm, hem gereğinden fazla maliyete hem de bazı kategorilerde eksik korumaya yol açabiliyor.
Şirketler İçin İzlenecek Pratik Yol Haritası
Bir şirketin kişisel veri saklama ve imha politikası hazırlama sürecine nereden başlaması gerektiği sorusunun cevabı, her zaman envanterden geçiyor. Aşağıdaki sıra, büyük çoğunlukla aynı şekilde işliyor.
- Kişisel veri envanterini departman bazında çıkarın ve hangi verinin nerede tutulduğunu tek bir listede toplayın.
- Her veri kategorisi için saklamayı gerektiren hukuki veya ticari sebebi ayrı ayrı yazın.
- Her kategori için uygulanacak imha yöntemini (silme, yok etme veya anonim hale getirme) ve ortamını (fiziksel, elektronik, yedekleme) belirleyin.
- Periyodik imha tarihini takvime bağlayın ve altı aylık azami süreyi aşmayacak şekilde planlayın.
- VERBİS bildiriminizdeki saklama süreleriyle politikanızdaki süreleri karşılaştırıp tutarlılığı sağlayın.
Bazı şirketler, sürekli değişen veri envanteri ve mevzuat takibini kendi bünyelerinde yürütmek yerine, bu süreci düzenli aralıklarla hukuki açıdan gözden geçirilen bir çalışma haline getirmeyi tercih ediyor; özellikle çalışan sayısı ve veri hacmi büyüdükçe politika metninin de güncellenmesi gerekiyor.
Son olarak unutulmaması gereken nokta şu. Bu politika bir kerelik bir belge değil, şirketin veri işleme pratiği değiştikçe güncellenmesi gereken yaşayan bir metin. Yeni bir ürün, yeni bir tedarikçi veya yeni bir dijital sistem devreye girdiğinde, envanter ve politika da buna göre yeniden gözden geçirilmeli; aksi halde belge, bir süre sonra şirketin fiilen yaptığından tamamen kopuk bir kağıt yığınına dönüşür.
Yasal Uyarı