İlgili Kişinin Kişisel Verilerinin Silinmesi Talebinin Yerine Getirilmemesi Saklama Zorunluluğu Varken Uyum Nasıl Sağlanır?
“Verimi silin” talebi, kurumlar için sadece operasyonel bir istek değil; aynı zamanda hukuki ve teknik bir uyum sürecidir. Kişisel Verileri Koruma Kurulu’nun “İlgili Kişinin Kişisel Verilerinin Silinmesi Talebinin Yerine Getirilmemesi” başlıklı özetinde; aktif olmayan bir müşterinin silme talebinin karşılanmaması gündeme gelmiş, veri sorumlusunun ise tabi olduğu mevzuat gereği kişisel verileri 10 yıl saklama yükümlülüğü bulunduğu belirtilmiştir.
Bu tür durumlarda kilit nokta şudur: Saklama yükümlülüğü, veriyi “istediğin gibi kullanma” hakkı vermez. Kurul yaklaşımı; aktif olmayan müşterilerin verilerinin, KVKK m.4’teki genel ilkelere uygun olarak saklama amacı dışında işlenmemesi, erişimin kısıtlanması ve süre dolduğunda imha edilmesi yönündedir.
Durum: Aktif olmayan müşteri silme talep etti, veri sorumlusu yerine getirmedi.
Gerekçe: Mevzuat gereği 10 yıl saklama zorunluluğu.
Kurul mesajı: Veriler saklama amacı dışında işlenmemeli; erişim kısıtlanmalı, süre dolunca imha edilmeli.
Ana araç: Saklama-imha politikası + veri saklama çizelgesi + kayıt altına alınmış süreç.
https://www.kvkk.gov.tr/Icerik/5415/Ilgili-Kisinin-Kisisel-Verilerinin-Silinmesi-Talebinin-Yerine-Getirilmemesi
1. Olayın Özeti ve Kurul Yaklaşımı
Veri sorumlusunun, aktif olmayan müşterisinin (ilgili kişi) kişisel verilerinin silinmesi talebini yerine getirmemesi üzerine konu Kurul gündemine taşınmıştır. Veri sorumlusu; tabi olduğu mevzuat uyarınca işlediği kişisel verileri 10 yıl muhafaza etmek zorunda olduğunu belirtmiştir.
Kurul yaklaşımı, saklama yükümlülüğü bulunan hallerde “silme” talebinin yönetilmesinde kritik bir dengeye işaret eder: aktif olmayan müşteri verileri, saklama amacı dışında kullanılmamalı; Kanunun 4’üncü maddesindeki genel ilkelere uygun şekilde yalnızca saklama gereği kadar tutulmalıdır.
1.1. Pratik anlamı nedir?
- Gereksiz erişimi kapat: Aktif olmayan müşteri kayıtlarını yalnızca sınırlı roller görebilsin.
- İşleme amaçlarını daralt: Pazarlama, analiz, kampanya gibi amaçlar devre dışı bırakılmalı.
- Kayıt altına al: Talep, gerekçe ve alınan aksiyonlar izlenebilir şekilde belgelenmeli.
- Süre dolunca imha et: Saklama süresi bittiğinde silme/yok etme/anonimleştirme uygulanmalı.
2. Veriler Ne Zaman Silinmeli? Saklama Süresi Mantığı
Genel ilke şudur: Veriler, yetkili amaçlar için artık gerekli olmadığında silinmelidir. Ancak bu “gerekli olma” süresi; sektör, süreç ve yasal zorunluluklara göre değişebilir. Bu nedenle doğru yaklaşım, kurumun sahip olduğu veri türlerini, kullanım amaçlarını, risk seviyesini ve tabi olduğu mevzuatı dikkate alarak veri saklama politikası ve saklama çizelgesi oluşturmasıdır.
2.1. Saklama süresini belirlerken kullanılan temel parametreler
- Veri sınıfı: Kişisel veri mi, özel nitelikli veri mi?
- Amaç: Sözleşme yönetimi mi, müşteri hizmetleri mi, uyum/denetim mi?
- Mevzuat zorunluluğu: “X yıl sakla” diyen düzenleme var mı?
- Risk profili: İfşa olursa yaratacağı zarar seviyesi nedir?
| Durum | İşlem | Hedef |
|---|---|---|
| Amaç sona erdi, saklama zorunluluğu yok | Silme / yok etme / anonimleştirme | Veriyi sistemden kaldır, risk yüzeyini azalt |
| Amaç sona erdi, saklama zorunluluğu var | “Arşiv” statüsü + erişim kısıtı + amaç dışı işleme kapalı | KVKK m.4 ilkelerine uygun “sadece saklama” |
| Saklama süresi doldu | İmha sürecini çalıştır + kayıt altına al | Uyum + denetim izlenebilirliği |
3. Silme Talebi Geldiğinde Kurumsal Adımlar
Silme talebini yönetmek, “hemen sil” veya “reddet” ikilemi değildir. En iyi uygulama; talebi kayıt altına almak, verinin hangi süreçlerde tutulduğunu belirlemek ve saklama yükümlülüğüne göre doğru aksiyonu vermektir.
3.1. Adım adım süreç (operasyonel akış)
- Talebi al ve doğrula: Başvurunun ilgili kişiden geldiğini doğrula (kimlik doğrulama).
- Veri envanterini tarama: İlgili kişiye ait veri nerelerde? CRM, ERP, e-posta, loglar, yedekler.
- Saklama yükümlülüğü analizi: Mevzuat/denetim/sözleşme gereği tutulması gerekiyor mu?
- Karar ve aksiyon:
- Saklama zorunluluğu yoksa: sil/yok et/anonimleştir.
- Saklama zorunluluğu varsa: “arşiv”e al, erişimi daralt, amaç dışı işleme kapat.
- Yanıtla: İlgili kişiye gerekçeli ve anlaşılır bilgilendirme yap.
- Belgele: Yapılan işlemleri, tarihi, yöntemi ve sorumluları kayıt altına al.
3.2. Saklama zorunluluğu varsa yapılacak “asgari” güvenlik seti
- Erişim kısıtı: Yetki daraltma (need-to-know).
- Maskeleme: Operasyon ekranlarında sınırlı görünürlük.
- İşleme amaçlarını kapatma: Pazarlama/analitik/segmentasyon gibi amaçlardan çıkarma.
- Log ve izleme: Arşiv veriye erişimlerin ayrı izlenmesi.
4. Veri Saklama Politikası ve Veri Saklama Çizelgesi
Veri saklama politikası; yasal gerekliliklerin ötesine geçen ve şirketin hangi bilgileri tutacağı, hangi verileri sileceği veya bir süre saklayıp ardından sileceği konusunda işleyişi yönlendiren kurumsal çerçevedir. Politikanın “uygulanabilir” olması için, sürelerin ve veri türlerinin ayrıca bir veri saklama çizelgesinde belgelenmesi en iyi uygulamadır.
4.1. Politika içinde bulunması önerilen başlıklar
- Veri kategorileri: Müşteri, çalışan, tedarikçi, log, destek kayıtları vb.
- İşleme amaçları: Hangi amaçla tutuluyor?
- Saklama süreleri: Mevzuata dayalı veya kurumsal risk-temelli süreler.
- İmha yöntemleri: Silme / yok etme / anonimleştirme standartları.
- Sorumluluklar: Kim uygular, kim onaylar, kim denetler?
- Periyodik gözden geçirme: Çizelge ne sıklıkla güncellenir?
4.2. Örnek “mini” saklama çizelgesi (şablon)
| Veri Türü | Amaç | Saklama Süresi | Süre Sonu Aksiyon |
|---|---|---|---|
| Aktif olmayan müşteri hesap verileri | Mevzuat/denetim saklama | Mevzuata göre (örn. 10 yıl) | Arşiv statüsü + erişim kısıtı → süre dolunca imha |
| Müşteri destek kayıtları | Hizmet kalitesi / uyuşmazlık yönetimi | Risk-temelli belirlenen süre | Anonimleştir veya sil |
| Uygulama erişim logları | Güvenlik ve olay inceleme | Güvenlik politikası + mevzuat | Sil / yok et (log bütünlüğü korunarak) |
5. Veriler Nasıl Silinebilir? Yöntemler ve Risk Seçimi
Verileri silmek için farklı yöntemler vardır. Etkinlik seviyesi, “geri döndürülebilirlik” riski ve işletme ihtiyacına göre değişir. En iyi yöntem; verinin türü, depolandığı ortam ve maruz kalmasıyla ilişkili risk düzeyine göre seçilmelidir.
5.1. Yaygın yöntemler (kurumsal perspektif)
- Uygulama seviyesinde silme: Kayıtların erişilemez hale getirilmesi (yetki/flag) + süreçle desteklenmeli.
- Veritabanı seviyesinde silme: Kayıtların DB’den kaldırılması; yedek ve replikasyon etkileri dikkate alınmalı.
- Anonimleştirme: Kimliği belirlenebilirliği kalıcı olarak ortadan kaldırma (geri döndürülemezlik esas).
- Fiziksel yok etme: Medyanın imhası (özellikle disk/taşınabilir medya).
5.2. “Silindi” demek için kritik kontrol listesi
- Üretim sistemi: Veri gerçekten erişilemez mi?
- Yedekler: Yedeklerde tutma kuralı nedir? İmha takvimi net mi?
- Loglar ve kopyalar: Aynı veri başka yerde var mı (export dosyaları, e-posta ekleri, raporlar)?
- Yetkiler: Arşiv/backup erişimi sınırlı mı?
- Belgelendirme: Ne zaman, kim, hangi yöntemle? Denetime hazır mı?
https://www.nesilteknoloji.com/veri-ihlali-durumunda-yapilmasi-gerekenler/
Kurul özeti: https://www.kvkk.gov.tr/Icerik/5415/Ilgili-Kisinin-Kisisel-Verilerinin-Silinmesi-Talebinin-Yerine-Getirilmemesi
6. Sık Sorulan Sorular
İlgili kişi “hemen sil” diyorsa ama mevzuat “sakla” diyorsa ne olur?
Mevzuattan doğan saklama yükümlülüğü varsa veri tamamen silinmeyebilir; ancak veri yalnızca saklama amacıyla tutulmalı, başka amaçla işlenmemeli, erişimler kısıtlanmalı ve süre dolunca imha edilmelidir. Ayrıca ilgili kişiye gerekçeli bilgilendirme yapılmalıdır.
Aktif olmayan müşterinin verisini pazarlama için kullanabilir miyim?
Kurul özetindeki yaklaşım “saklama amacı dışında işlenmemesi” yönündedir. Bu nedenle saklama zorunluluğu nedeniyle tutulan veriyi yeni/ek amaçlarla (ör. pazarlama, kampanya) kullanmak yüksek uyum riski doğurabilir.
Silme talebini ispatlamak için ne tutmalıyım?
Talep tarihi, kimlik doğrulama kaydı, saklama zorunluluğu analizi, verilen yanıt, uygulanan teknik işlem (silme/anonimleştirme/arşiv), işlem tarihi, sorumlu kişiler ve mümkünse sistem ekran görüntüsü/log gibi tevsik edici kayıtlar tutulmalıdır.
“Silme” yerine “anonimleştirme” her zaman daha mı iyi?
Her zaman değil. Anonimleştirme güçlü bir yöntemdir; ancak geri döndürülemezlik ve doğrulama kriterleri iyi tasarlanmalıdır. Uygun yöntem; veri türü, kullanım ihtiyacı ve risk seviyesine göre belirlenir.
