Bilindiği üzere gerçek kişilere ait bilgiler kişisel veri olarak kabul edilmektedir ve kişisel verilerin işlenebilmesi için ilgili kişinin açık rızasının alınması gerekmektedir. Veri işleme için açık rıza alındıktan ve bu izin kapsamında veriler işlendikten sonra söz konusu verileri işleme amacı ortadan kalktığı anda bunların kullanımı sona erdirilmelidir.
Bu durumda KVKK’nın 7. maddesinin veri sorumlusuna getirdiği üç yol bulunmaktadır: söz konusu kişisel veriyi silmek ya da yok etmek veya anonim hale getirmek. Bunların üçüne birden de kişisel verilerin imhası denmektedir. Bu hususlarla ilgili olarak 28.09.2017 tarihinde bir Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Yönetmelik’i çıkarılmış ve bu husus biraz aydınlatılmaya çalışılmıştır.
Yönetmeliğe göre kişisel verilerin silinmesi, kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemidir.
Kişisel verilerin yok edilmesi ise, kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemidir.
Dolayısıyla görüldüğü üzere silme ile yok edilme arasındaki fark silme işleminde ilgili kullanıcılar açısından tekrardan erişilememe olmasına rağmen yok etmede kimse tarafından erişilememe olmasıdır.
Anonim hale getirme ise kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir. Kişisel verilerin anonim hale getirilmiş olması için; kişisel verilerin, veri sorumlusu, alıcı veya alıcı grupları tarafından geri döndürme ve verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesi gerekir.
Dolayısıyla yönetmelik uyarınca başarılı bir anonimleştirmeden bahsedebilmek için anonim hale getirilmiş verilerden kişiye ulaşmanın mümkün olmaması gerekmektedir.
Kişisel Veri Saklama ve İmha Politikası Nedir?
Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca veri sorumlularına kişisel veri saklama ve imha politikası hazırlama yükümlülüğü getirilmiştir.
Peki bu nedir? Veri sorumlusu nasıl bir çalışma yapmalıdır?
Öncelikle belirtmek gerekir ki bu belgenin hazırlanmış olması kişisel verilerin kanun ve yönetmeliğe uygun olarak saklandığı, silindiği yok edildiği veya anonim hale getirildiği anlamına gelmemektedir.
Bu belge kapsamında asgari olarak; kişisel veri saklama ve imha politikasının hazırlanma amacı, kişisel veri saklama ve imha politikası ile düzenlenen kayıt ortamları, kişisel veri saklama ve imha politikasında yer verilen hukuki ve teknik terimlerin tanımları, kişisel verilerin saklanmasını ve imhasını gerektiren hukuki, teknik ya da diğer sebeplere ilişkin açıklama, kişisel verilerin güvenli bir şekilde saklanması ile hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi için alınmış teknik ve idari tedbirler, kişisel verilerin hukuka uygun olarak imha edilmesi için alınmış teknik ve idari tedbirler, kişisel verileri saklama ve imha süreçlerinde yer alanların unvanlarına, birimlerine ve görev tanımları, saklama ve imha sürelerini gösteren tablo, periyodik imha süreleri, mevcut kişisel veri saklama ve imha politikasında güncelleme yapılmış ise söz konusu değişikliğe yer verilmelidir.
