KİŞİSEL VERİLERİN İŞLENMESİ NEDİR? YENİ YÖNETMELİK (ARALIK 2017)

Kişisel Verilerin Silinmesi, Yok Edilmesi Veya Anonim Hale Getirilmesi Hakkında Yönetmelik(“Yönetmelik”) ile tamamen veya kısmen otomatik yollarla ya da herhangi bir veri kayıt sisteminin parçası olup otomatik olmayan yollarla işlenen kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin usul ve esasları düzenlenmiştir. Söz konusu Yönetmelik 01.01.2018 tarihinde yürürlüğe girecek ve Kişisel Verilerin Korunması Kanunu(“KVKK”)’nun 7. Maddesi uyarınca,  Yönetmelik’in 4. maddesinde “kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiler” şeklinde tanımlanan veri sorumluları hakkında uygulanacaktır. 

Yönetmelik ile veri sorumlularına getirilen yükümlülüklerin başında, kişisel veri işleme envanterine uygun olarak kişisel veri saklama ve imha politikası hazırlama yükümlülüğü gelmektedir. Hazırlanacak olan kişisel veri saklama ve imha politikasının asgari olarak aşağıdaki hususları içermesi gerekmektedir;

  • Hazırlanma amacı,
  • Bu politika ile düzenlenen kayıt ortamları,
  • Yer verilen hukuki ve teknik terimlerin tanımları,
  • Kişisel verilerin saklanması ve imhasını gerektiren hukuki, teknik ya da diğer sebeplere ilişkin açıklamalar,
  • Kişisel verilerin güvenli bir şekilde saklanması ile hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi için alınmış teknik ve idari tedbirler,
  • Kişisel verilerin hukuka uygun olarak imha edilmesi için alınmış teknik ve idari tedbirler,
  • Kişisel verileri saklama ve imha süreçlerinde yer alanların unvanları, birimleri ve görev tanımları,
  • Saklama ve imha sürelerini gösteren tablo,
  • Periyodik imha süreleri,
  •  Mevcut kişisel veri saklama ve imha politikasında güncelleme yapılmış ise söz konusu değişikliğe ilişkin bilgiler.

Ancak belirtmek gerekir ki kişisel verileri saklama ve imha politikası hazırlanmış olması, mevzuata uygun işlemler yapıldığı anlamına gelmemekte yani veri sorumlularını yükümlülükten kurtarmamaktadır. Bununla birlikte veri sorumlularının kişisel veri saklama ve imha politikası hazırlama yükümlülüğü bulunmadığı hallerde de kişisel verileri saklama, silme, yok etme veya anonim hale getirme bakımından yükümlülükleri devam etmektedir.

Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesinde uygulanacak ilkeler, Yönetmelik’in 7. maddesinde düzenlenmiştir. Bu maddeye göre ;

  • KVKK madde 5 ve 6’da düzenlenen kişisel verilerin işlenmesine ilişkin şartlar ortadan kalkmış ise, kişisel verilerin veri sorumlusu tarafından resen veya ilgili kişinin talebi üzerine silinmesi, yok edilmesi veya anonim hale getirilmesi gerekir.
  • Bu işlemler gerçekleştirilirken, KVKK’nın 4. maddesinde sayılan genel ilkeler ile 12. maddesi kapsamında alınması gereken teknik ve idari tedbirlere, Kişisel Verileri Koruma Kurulu kararlarına ve kişisel veri saklama ve imha politikasına kısacası ilgili mevzuat hükümlerine uygun hareket edilmesi zorunludur.
  • Ayrıca gerçekleştirilen bütün  işlemlerin kayıt alınması ve diğer hukuki yükümlülükler hariç olmak üzere en az 3 (üç) yıl süreyle saklanması gerekmektedir.
  • Veri sorumlusu, uyguladığı yöntemleri ile ilgili politika ve prosedürlerinde açıklamak, Kişisel Verileri Koruma Kurulu tarafından aksine bir karar alınmadıkça, kişisel verileri resen silme, yok etme veya anonim hale getirme yöntemlerinden uygun olanını seçmek, ilgili kişinin talebi halinde uygun yöntemi gerekçesini açıklayarak seçmekle yükümlüdür.

Tüm bunların yanında Yönetmelikle Kişisel verileri silme, yok etme veya anonim hale getirme işlemleri bakımından; uygulanacak süreler düzenlenmiştir. Bu doğrultuda veri sorumluları resen gerçekleştirilen işlemlerde Yönetmelik’in 11. maddesinde düzenlenen sürelere, ilgili kişinin talebi üzerine gerçekleştirilen işlemlerde ise Yönetmelik’in 12. maddesinde düzenlenen sürelere uygun hareket etmekle yükümlüdür.

Görüldüğü gibi söz konusu yönetmelikle kişisel verileri silme, yok etme veya anonim hale getirme işlemleri bakımından doğacak tereddütler ve uygulamaya ilişkin aksaklıkların giderilmesi amaçlanmıştır.