Kişisel Verilerin İmhası Nasıl Yapılır?

Kişisel verilerin imhası, verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesidir. Veri sorumlusu önce işlemeyi gerektiren sebeplerin devam edip etmediğini inceler; işleme şartlarının tamamı ortadan kalkmışsa uygun yöntemle işlem yapar. İmha, yalnız dosyanın adını değiştirmek veya bir politika belgesi hazırlamakla tamamlanmaz (6698 sayılı Kişisel Verilerin Korunması Kanunu m.7; Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.4/1-c, m.5/2, m.7/1).

İşletme açısından ilk soru “hangi programı kullanmalıyız?” değil, hangi veriyi hangi sebeple hâlâ tutuyoruz? sorusudur. Yöntem ve işlem zamanı bu değerlendirmeden sonra belirlenir. Kişinin silme talebi ile veri sorumlusunun kendiliğinden yapacağı periyodik imha da ayrı yollar olarak ele alınır (KVKK m.4/2-d, m.7; Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.11, m.12).

Silme talebinin diğer kişisel veri haklarıyla ilişkisi, KVKK ana rehberinde birlikte ele alınmıştır.

1. Kişisel Verilerin İmhasında Silme, Yok Etme ve Anonimleştirme Nasıl Ayrılır?

Kişisel verilerin imhasında yöntemler, veriye kimin erişebildiği ve verinin kişiyle ilişkisinin sürüp sürmediği bakımından ayrılır. Silme, ilgili kullanıcılar için erişimi ve tekrar kullanımı ortadan kaldırır. Yok etme hiç kimse tarafından erişilememe, geri getirilememe ve tekrar kullanılamama sonucunu arar. Anonimleştirme ise başka verilerle eşleştirme yapılsa bile gerçek kişiyle ilişki kurulamamasını gerektirir (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.8, m.9, m.10).

Yöntem	Aranan sonuç	Kontrolde sorulacak soru
Silme	İlgili kul­la­nı­cı­lar için erişilemez ve tekrar kul­la­nı­la­maz hâle gelme	İlgili kul­la­nı­cı­nın veriye ulaşma veya veriyi yeniden kullanma imkânı sürüyor mu?
Yok etme	Hiç kimse için eri­şi­le­bi­lir, geri geti­ri­le­bi­lir ve tekrar kul­la­nı­la­bi­lir olmama	Veri, kullanılan yöntemden sonra geri geti­ri­le­bi­li­yor mu?
Anonim hâle getirme	Başka verilerle eşleş­ti­rilse dahi belirli veya belir­le­ne­bi­lir gerçek kişiyle iliş­ki­len­di­ri­le­meme	Kalan bilgilerden veya başka kayıtlarla eşleş­tir­me­den kişi belir­le­ne­bi­li­yor mu?

Tablodaki ayrım Yönetmeliğin yöntem tanımlarına dayanır. “İlgili kullanıcı” tanımı, verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu kişi veya birimi hariç tutar. Bu nedenle silme ile yok etmenin erişim ölçütü aynı değildir (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.4/1-b, m.8, m.9).

Bir müşteri listesinden yalnız ad ve soyad sütununu kaldırmak da kendiliğinden anonimleştirme sayılmaz. Örneğin varsayımsal bir tabloda kalan müşteri kodu başka bir listeyle eşleştirilebiliyorsa, gerçek kişiyle ilişki kurulup kurulamadığı ayrıca incelenmelidir (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.10/1, m.10/2).

2. Kişisel Verilerin İmhası Hangi Şartlarda Gerekir?

Kişisel verilerin imhası, işleme şartlarının tamamı ortadan kalktığında gündeme gelir. Veri sorumlusu bunu kendiliğinden veya ilgili kişinin talebi üzerine yerine getirir. İşlemenin başlangıçta hukuka uygun olması, sebebi sona erdikten sonra verinin süresiz tutulmasına izin vermez (KVKK m.7; Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.7/1).

İncelemede işleme amacı, devam eden hukuki yükümlülük ve ilgili veri kategorisi birlikte değerlendirilir. Başka kanunlardaki hükümler saklıdır; bu nedenle sözleşmenin sona ermesi veya kişinin silme istemesi her kayıt için aynı sonucu doğurmaz. Saklama gerekçesi, ilgili kayıt bakımından belirlenmelidir (KVKK m.4/2-d, m.7/2).

Örneğin varsayımsal bir işletmede müşteri ilişkisinin bittiği anlaşılmış olabilir. Ancak ilişkiye ait bütün kayıtların aynı tarihte imha edilmesi gerektiği sonucu, yalnız bu bilgiden çıkarılamaz. Hangi verinin hangi sebeple tutulduğu ayrı incelenir; başka bir saklama şartı devam ediyorsa bunun kapsamı açıklanır (KVKK m.7; Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.7/1, m.12/1-c).

Bu incelemeye kişisel veri envanteri yardımcı olur. Envanterde amaç, hukuki sebep ve azami muhafaza süresi faaliyetle ilişkilendirilir. Tabloda süre bulunması yanında, sürenin hangi kayda ve hangi gerekçeyle uygulandığı da anlaşılmalıdır (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.4/1-e).

3. Özlük Dosyası Kaç Yıl Saklanır, İşten Ayrılınca İmha Edilir mi?

Özlük dosyasındaki bütün belgeler için tek bir saklama süresi kabul edilmemelidir. İş Kanunu, işverenin her işçi için dosya düzenlemesini ve kanunlar uyarınca düzenlemek zorunda olduğu belge ve kayıtları saklamasını öngörür; ancak bu maddede dosyanın tamamı için belirli bir yıl sayısı yazmaz. Süre ve başlangıç, ilgili belgeye uygulanan düzenlemeye göre belirlenir (4857 sayılı İş Kanunu m.75; KVKK m.4/2-d).

Örneğin 5510 sayılı Kanun kapsamındaki işyeri defter, kayıt ve belgeleri için işveren ve işyeri sahiplerinin saklama süresi, ilgili olduğu yılı takip eden yıl başından başlamak üzere on yıldır. Aynı hüküm kamu idareleri için otuz yıl, tasfiye ve iflâs idaresi memurları için ise görevleri süresince saklama düzenler. Bu süreler her özgeçmişe, fotoğrafa veya mülakat notuna otomatik olarak uygulanamaz; kaydın ilgili düzenlemenin kapsamına girmesi gerekir (5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu m.86/2).

Bu nedenle özel işverenin bütün dosya için “işten ayrıldıktan sonra on yıl” yazması, anılan hükmü doğru aktarmayabilir. Düzenlemedeki başlangıç işten ayrılma tarihi değil, kaydın ilgili olduğu yılı takip eden yıl başıdır. Başka kayıt gruplarında ayrıca uygulanacak saklama hükümleri bulunabilir; bu örnek bütün personel belgelerinin süre çizelgesi değildir (5510 sayılı Kanun m.86/2; KVKK m.4/2-d, m.7/2).

Saklama incelemesini belge bazında yapmak için şu çalışma tablosu kullanılabilir. Tablo zorunlu bir form veya eksiksiz belge listesi değildir.

Kayıt grubu	İmha kararından önce incelenecek konu
İşe alınmayan adayın özgeçmişi ve değer­len­dirme notu	Başvuru amacı sürüyor mu; başka bir saklama şartı varsa hangi kayıt için geçerli?
Sosyal güvenlik kap­sa­mın­daki işyeri defter, kayıt ve belgeleri	Belge 5510 sayılı Kanunun ilgili saklama hükmüne giriyor mu; başlangıç doğru belirlenmiş mi?
Çalışanın sağlık bilgisi	Özel nitelikli verinin işleme şartı ve ilgili saklama yükümlülüğü devam ediyor mu; erişim uygun biçimde sınır­lan­dı­rıl­mış mı?
Bir hakkın korunması için gerekli kayıt	Hangi hak için, hangi verinin saklanması zorunlu; bütün dosya yerine daha sınırlı kayıt yeterli mi?

Tablodaki sorular amaçla sınırlılık, saklama süresi, özel nitelikli veri ve güvenlik hükümlerini somut kayda uygulamak içindir. Hak koruma gerekçesi, bütün dosyayı belirsiz süre tutma izni değildir; zorunluluk ilgili kayıtla açıklanmalıdır (KVKK m.4, m.5/2-e, m.6, m.12).

İşten ayrılma, bütün kayıtların aynı gün silinmesini gerektirmez. Devam eden saklama şartı bulunan kayıt ile işlemeyi gerektiren sebepleri sona eren kayıt ayrılır. Saklanması gereken bir belgenin bulunması da dosyadaki ilgisiz her veriyi tutmaya dayanak olmaz. Şartların tamamı ortadan kalktığında imha uygulanır; eski çalışanın talebi varsa devam eden gerekçe veya uygulanacak işlem ilgili kayda göre açıklanır (KVKK m.4, m.7; Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.7/1, m.12).

Başvuru ve personel aşamalarının ayrımı çalışan aydınlatma metni rehberinde ele alınır. Aydınlatmada saklamadan söz edilmesi, amaç ve işleme şartı sona ermiş bir kaydı tutmaya izin vermez (KVKK m.4, m.7, m.10).

4. Kişisel Verilerin İmhası İşletmede Nasıl Yürütülür?

Kişisel verilerin imhası, işleme şartlarının değerlendirilmesinden uygun yöntemin uygulanmasına ve işlemin kaydına uzanır. Veri sorumlusu, uyguladığı yöntemleri politika ve prosedürlerinde açıklamakla ve yapılan işlemleri kayıt altına almakla yükümlüdür. Aşağıdaki sıra, bu yükümlülükleri işletmede takip etmek için kullanılabilecek bir çalışma önerisidir (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.7/3, m.7/4).

1. İşleme şartını inceleyin. Hangi verinin neden tutulduğunu ve bu sebebin devam edip etmediğini belirleyin. Bütün kayıtlar için tek bir varsayıma dayanmayın.
2. Kayıt ortamlarını belirleyin. İşleme konu verinin bulunduğu elektronik sistem, dosya, kâğıt arşiv ve diğer ortamları tespit edin.
3. Uygulanacak yolu ve zamanı ayırın. Periyodik imha mı, politika yükümlülüğü olmayanın işlemi mi, ilgili kişinin talebi mi söz konusu? İlgili süreyi bu ayrıma göre değerlendirin.
4. Uygun yöntemi seçin. Silme, yok etme veya anonimleştirmeden hangisinin uygulanacağını, veri ve kayıt ortamı üzerinden belirleyin. Kişinin talebinde yöntemin gerekçesini açıklayın.
5. İşlemi uygulayın ve sonucu kontrol edin. Yalnız bir komutun çalıştığını değil, seçilen yöntemin aradığı sonucun oluşup oluşmadığını inceleyin.
6. İşlemi kaydedin. Uygulanan işlem ve yöntemi izlenebilir biçimde kayda alın; gerekiyorsa ilgili kişiye bilgi verilmesini ve üçüncü kişiye bildirimi takip edin.

Bu adımların hukuki dayanakları; kayıt ortamı tanımı, imha ilkeleri, yöntemlerin sonuç şartları ve süre düzenlemeleridir. İşletmenin yapısına göre görevler paylaştırılabilir; her işletmede aynı adla bir imha komitesi kurulması bu çalışma önerisinden çıkarılamaz (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.4/1-d, m.6/1-f, m.7, m.8, m.9, m.10, m.11, m.12).

Görevlerin diğer yükümlülüklerle ilişkisi KVKK uyum süreci rehberinde açıklanmıştır. İmha çalışmasında da yöntemi belirleyen, teknik işlemi yapan ve sonucu kontrol eden kişilerin hangi işi üstlendiğinin anlaşılması yararlıdır.

5. Kişisel Verilerin İmhasında Kâğıt ve Elektronik Kayıtlara Hangi Yöntem Uygulanır?

Kişisel verilerin imhasında yöntem, kayıt ortamına uygun seçilmelidir. Silme ve yok etmede gerekli teknik ve idari tedbirler alınır; anonimleştirmede ise geri döndürme ve başka verilerle eşleştirme ihtimali de değerlendirilir. Bir sistemde kullanılan işlem, başka bir ortamda aynı hukuki sonucu sağlamayabilir (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.8/2, m.9/2, m.10/2, m.10/3).

Kurumun Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Rehberi, kayıt ortamlarına göre uygulama örnekleri verir. Kâğıtta silme için geri döndürülemeyecek ve teknolojik çözümlerle okunamayacak karartmayı; yok etmede ise geri birleştirilemeyecek biçimde küçük parçalara ayırmayı açıklar. Kâğıttan taranmış elektronik kopya varsa bu kopyanın da bulunduğu ortama uygun biçimde ele alınmasına dikkat çeker. Rehber, kanun veya yönetmelik değildir; uygulama açıklamasıdır.

Elektronik dosyada yalnız kullanıcının gördüğü ekrandan kaydın kaldırılmasıyla yetinilmemelidir. Kurum rehberinde silme işlemi açıklanırken ilgili kullanıcının erişim ve geri getirme yetkileri üzerinde de durulur. Bu nedenle çöp kutusu, geri yükleme yetkisi veya başka erişim yolu değerlendirmeye alınabilir. Silmenin hukuki ölçütü, ilgili kullanıcı için erişilemez ve tekrar kullanılamaz olma sonucudur (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.8).

Teknik örnekler için Kurumun imha rehberi incelenebilir. Kullanılan ürün, komut veya makinenin adı tek başına sonucun gerçekleştiğini göstermez; seçilen yöntemin koşulları kayıt ortamında kontrol edilmelidir (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.8, m.9, m.10).

6. Kişisel Verilerin İmhası Ne Zaman Yapılır, Periyodik İmha Süresi Nedir?

Kişisel verilerin imhasında süre, veri sorumlusunun politika durumuna ve işlemin ilgili kişinin talebine dayanıp dayanmadığına göre ayrılır. Politika hazırlamış veri sorumlusu, yükümlülüğün doğduğu tarihi izleyen ilk periyodik imha işleminde verileri siler, yok eder veya anonim hâle getirir. Periyodik işlemin zaman aralığı politikada belirlenir ve altı ayı geçemez (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.11/1, m.11/2).

İşlem yolu	Zaman bakımından temel düzenleme
Saklama ve imha politikası hazırlamış veri sorumlusu	Yüküm­lü­lü­ğün doğduğu tarihi takip eden ilk periyodik imha işlemi
Periyodik imha aralığı	Politikada belirlenir; her hâlde altı ayı geçemez
Politika hazırlama yükümlülüğü olmayan veri sorumlusu	Yüküm­lü­lü­ğün doğduğu tarihi takip eden üç ay içinde işlem
İlgili kişinin talebi; işleme şartlarının tamamının ortadan kalkması	Talebin en geç otuz gün içinde sonuç­lan­dı­rıl­ması ve ilgili kişiye bilgi verilmesi

Tablo, Yönetmeliğin süre ayrımlarını gösterir; telafisi güç veya imkânsız zararların doğması ve açık hukuka aykırılık hâlinde sürelerin kısaltılabilmesine ilişkin düzenleme ayrıca saklıdır. Her olayda bütün yollar için altı aylık bekleme hakkı bulunduğu söylenemez (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.11, m.12/1-a).

Altı aylık sınır saklama süresi değildir. Örneğin bir işletmenin periyodik işlem aralığı belirlemesi, işleme şartı olmayan bütün verileri yeniden altı ay saklayabileceği anlamına gelmez. Saklamanın gerekçesi ile imha yükümlülüğünden sonraki işlem düzeni birbirinden ayrılmalıdır (KVKK m.4/2-d, m.7; Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.11).

Politika hazırlamakla yükümlü olduğu hâlde hazırlamamış işletme de kendisini “politika yükümlülüğü olmayan” gruba yerleştiremez. Önce yükümlülüğün kapsamı belirlenir; belgenin fiilen bulunup bulunmaması tek başına bu kapsamı değiştirmez (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.5/1, m.11/3).

7. Kişisel Verilerin İmhasında Saklama ve İmha Politikası Kimler İçin Zorunludur?

Kişisel verilerin imhasında saklama ve imha politikası hazırlama yükümlülüğü, Sicile kayıt olmakla yükümlü veri sorumluları için düzenlenmiştir. Politika envantere uygun hazırlanır. Politika hazırlama yükümlülüğü bulunmayanların da saklama, silme, yok etme ve anonimleştirme yükümlülükleri devam eder; VERBİS kayıt durumu ile fiilî imha görevi birbirine karıştırılmamalıdır (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.5/1, m.5/3).

Politikanın asgari içeriği; hazırlanma amacı, kayıt ortamları, terimler, saklama ve imha gerekçeleri, güvenlik ve imha tedbirleri, süreçte yer alanların unvanları, birimleri ve görev tanımları gibi bilgileri kapsar. Saklama ve imha sürelerini gösteren tablo ile periyodik imha süreleri ve varsa politika değişikliği de yer alır (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.6).

Politika hazırlanmış olması, işlemlerin uygun biçimde gerçekleştirildiğini göstermez. Belgede anlatılan yöntemin hangi sistemde kimin tarafından uygulandığı ayrıca kontrol edilmelidir. İşletmenin kullanmadığı bir yöntemi başka bir kurumun politikasından kopyalamak, fiilî uygulamayı açıklamaz (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.5/2, m.7/4).

8. Kişisel Verilerin İmhası Nasıl Kayıt Altına Alınır?

Kişisel verilerin imhasıyla ilgili yapılan bütün işlemler kayıt altına alınır. Bu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az üç yıl saklanır. Buradaki süre, imha işleminin kayıtlarına ilişkindir; imha edilecek asıl verinin saklama süresi yerine geçirilmez (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.7/3).

İşletme kaydı “imha tutanağı” adıyla tutabilir. Ancak bu hüküm herkes için tek biçimli bir tutanak şablonu belirlemez. Pratik takip bakımından işlem tarihi, kapsanan kayıt grubu ve ortam, uygulanan yöntem, işlemi yapan kişi veya birim ve sonucun nasıl kontrol edildiği gösterilebilir. Bunlar önerilen takip alanlarıdır; her birinin aynı adla düzenlenmiş bağımsız kanuni form alanı olduğu ileri sürülmemektedir.

Kayıt düzeni oluşturulurken yeni ve gereksiz kişisel veri kopyaları üretilmemesine de dikkat edilmelidir. İşlemi göstermek için imha edilmesi gereken bütün verilerin eksiksiz bir kopyasını tutmak yerine, kayıt yükümlülüğü ile amaçla sınırlılık ve gerekli güvenlik tedbirleri birlikte değerlendirilir (KVKK m.4/2-ç, m.12; Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.7/2, m.7/3).

9. Kişisel Verilerin İmhası Talep Edildiğinde Nasıl İşlem Yapılır?

Kişisel verilerin imhası ilgili kişi tarafından talep edildiğinde, önce işleme şartlarının tamamının ortadan kalkıp kalkmadığı incelenir. Şartlar sona ermişse veri sorumlusu verileri siler, yok eder veya anonim hâle getirir; talebi en geç otuz gün içinde sonuçlandırır ve kişiye bilgi verir. Seçilen uygun yöntemin gerekçesi de açıklanır (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.7/5, m.12/1-a).

İşleme şartlarının tamamı ortadan kalkmamışsa talep gerekçesi açıklanarak reddedilebilir. Ret cevabı en geç otuz gün içinde yazılı veya elektronik ortamda bildirilir. Cevapta devam eden gerekçenin hangi kayıtlara ilişkin olduğunun anlaşılması gerekir; yalnız “verilerimiz saklanmaktadır” denmesi bu incelemenin yerine geçmez (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.12/1-c).

Şartların tamamı ortadan kalkmış ve veriler üçüncü kişilere aktarılmışsa, veri sorumlusu durumu üçüncü kişiye bildirir ve onun nezdinde gerekli işlemlerin yapılmasını temin eder. İşlem yalnız işletmenin kendi ekranındaki kayıtla sınırlandırılmamalıdır (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.12/1-b).

Talebin hazırlanması, iletilmesi ve cevabın değerlendirilmesi veri sorumlusuna KVKK başvurusu rehberinde açıklanmıştır. Buradaki yol, işletmenin kendiliğinden yürüttüğü periyodik işlemin takvimiyle birleştirilmemelidir (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.11, m.12).