14. Saklama, silme, yok etme ve anonimleştirme

Bir kaydın ilk kullanımının sona ermesi, onun bütün nüshalarının aynı anda aynı işleme tabi tutulacağını göstermez. Hangi amacın sürdüğü, hangi kaydın gerekli kaldığı ve seçilen işlemin ne sonuç doğurduğu açıklanmalıdır. Bölüm saklama gerekçelerinden başlayarak süre, politika ve imha yöntemlerini birbirine bağlamaktadır. Yedekler, günlük kayıtları ve arşivler üzerinden, görünür dosyanın kaldırılmasıyla hukuken aranan sonucun gerçekleşmesi arasındaki fark ve bu sonucun belgelenmesi ele alınmaktadır.

14.1. Saklama amaçları, mevzuattaki süreler ve hakların korunması

İş ilişkisi sona eren bir kişinin dosyası, artık personel yönetiminde kullanılmadığı için bütünüyle imha mı edilmelidir? Aynı dosyadaki ücret belgesi, acil durumda aranacak kişinin iletişim bilgisi ve bir uyuşmazlığa ilişkin yazışma farklı ihtiyaçlara cevap verebilir. Saklama kararı, yalnız dosyanın adı veya ilişkinin sona erdiği tarih üzerinden verildiğinde bu farklar kaybolur.

İnceleme, saklamanın hangi amaç ve hukuki sebeple sürdürüleceğiyle başlar. Kanun’un 4. maddesi süreyi mevzuatta öngörülen veya amaç için gerekli olan dönemle sınırlar; 5. maddesi hukuki yükümlülük ve hakkın korunması gibi işleme şartlarını düzenler. 7. madde ise işlenmesini gerektiren sebepler kalktığında resen veya talep üzerine imhayı öngörür. İmha Yönetmeliği de işleme şartlarının tamamının ortadan kalkmasını esas alır. Bu hükümler birlikte okunduğunda, ilk kullanım amacının bitmesiyle bütün saklama sebeplerinin sona ermesi arasında ayrım yapmak gerekir.¹

Kanuni saklama yükümlülüğünde önce hükmün kapsadığı kişi ve belge belirlenmelidir. Türk Ticaret Kanunu’nun 82. maddesi, tacirin belirli ticari defter ve belgelerle ticari yazışmaları saklamasını düzenler; birinci fıkrada sayılan belgeler için on yıllık süre öngörür. Sürenin başlangıcı da belgenin niteliğine göre ilgili kaydın, belgenin veya yazışmanın ait olduğu takvim yılının bitişidir. Dolayısıyla ticari belge için öngörülen süre, işletmenin elindeki bütün kişisel verileri aynı tarihten başlayarak on yıl saklama yetkisine dönüştürülemez.²

Bir hakkın korunması için saklama ise kanunda belgeyi muhafaza etme ödevinin açıkça yazılı olmasından farklıdır. Türk Borçlar Kanunu’nun 146. maddesi, aksi hüküm yoksa alacaklar için on yıllık zamanaşımı belirler; 147. madde bazı alacaklar bakımından beş yıllık süre öngörür. Bu hükümler, hangi alacağın ne kadar süreyle ileri sürülebileceğini ilgilendirir. Kişisel verilerin bu dönem boyunca tutulabilmesi ayrıca ilgili hakkın tesisi, kullanılması veya korunması için zorunlu olmalıdır. Zamanaşımı süresi ile saklama yükümlülüğü aynı hukuki kurum değildir.³

Zamanaşımına dayanan saklama kararında yalnız yıl sayısını yazmak da yeterli olmaz. Genel başlangıç noktası alacağın muaccel olması, yani ifanın istenebilir hâle gelmesidir. Verinin toplandığı gün ile bu gün aynı olmayabilir. Ayrıca kanunda düzenlenen kesilme sebepleri gerçekleştiğinde yeni süre işlemeye başlayabilir. Bu nedenle “toplamadan itibaren on yıl” biçimindeki değişmez bir takvim, korunduğu söylenen hakkın gerçek süresiyle örtüşmeyebilir; hangi alacak ve hangi başlangıç veya değişim olayı esas alınıyorsa kayıt onunla eşleştirilmelidir.⁴

Yücedağ, hakkın korunmasına dayanan işleme şartını açıklarken hukuki talebin mutlaka mahkeme önünde ileri sürülmesinin gerekmediğini belirtir; işten ayrılan çalışana ilişkin gerekli bilgilerin dava zamanaşımı boyunca saklanmasını örnek verir. Bu yaklaşım, henüz dava açılmamış olmasının tek başına bütün saklamayı hukuka aykırı kılmadığını gösterir. Bununla birlikte örnekteki “gerekli bilgiler” sınırı önemlidir: talebin korunmasına yarayacak kayıtla ilgisiz kişisel ayrıntılar aynı gerekçeyle tutulamaz.⁵

Hangi hakkın korunacağı, verinin o hakla bağlantısı ve neden daha az veriyle yetinilemediği belirlenmelidir. Örneğin ücretin ödendiğini göstermek için gereken belge, çalışanın dosyasında bulunan her fotoğrafın veya güncelliğini yitirmiş her iletişim bilgisinin tutulmasını gerektirmez. Bu ayrım, hak kaybını önlemekle gereksiz saklamayı sınırlamak arasında uygulanabilir bir bağ kurar. Bir ihtilafın çıkabileceği düşüncesi, dosyanın tamamı için gerekçesiz ve süresiz muhafazaya dönüştürülmemelidir.⁶

Sicil Yönetmeliği de azami muhafaza süresi belirlenirken tek bir ölçüte dayanmaz. Hukuki ilişkinin devamı, geçerli meşru menfaat, hukuki yükümlülük ve ilgili veriye bağlı hakkın zamanaşımı yanında saklamanın doğurduğu riskler ve güncellik de dikkate alınır. Bu unsurların birlikte değerlendirilmesi, bütün veri kategorilerinde en uzun ihtimalin otomatik seçilmesi anlamına gelmez. Sicile veri kategorisi için süre bildirilmesiyle, o kategorideki her kaydın bütün amaçlarla aynı süre kullanılabilmesi farklı sorulardır.⁷

Saklamanın sürmesine izin veren sebep, erişim ve kullanımın sınırını da belirler. Muhasebe belgesinin kanuni yükümlülük için korunması, içindeki iletişim bilgisinin yeni reklam kampanyasında kullanılmasının dayanağı değildir. İlk amaç sona ermişse kalan saklama, devam eden sebebin gerektirdiği veri ve kullanıcı çevresiyle sınırlandırılmalıdır. Verinin teknik olarak elde bulunması, onun her iş sürecinde yeniden kullanılabileceği anlamına gelmez.

Bütün işleme sebepleri sona erdiğinde ise karar, veriyi gerekçesiz bir arşive taşımakla ertelenemez. İmha yükümlülüğünün doğması ile hangi yöntem ve takvimle yerine getirileceği ayrı aşamalardır. Sürenin sonunda silme, yok etme veya anonim hâle getirme seçimi ve işlemin zamanlaması ilgili hükümler uyarınca belirlenir. Böylece saklama planı, yalnız ne kadar süre tutulacağını değil, süreyi bitiren olaydan sonra hangi sürecin başlayacağını da gösterebilmelidir.⁸

14.2. Aynı verinin farklı süreçlerde farklı sürelerle tutulması

Bir müşterinin eski adresi, geçmiş satışın belgesinde doğru bir kayıt olmaya devam ederken yeni teslimat için yanlış olabilir. Bu iki değerlendirme çelişmez: ilki geçmiş işlemin belgelendirilmesine, ikincisi güncel hizmetin yürütülmesine ilişkindir. Saklama süresini yalnız “adres verisi” kategorisi için belirlemek, hangi kullanımın devam edip hangisinin sona ereceğini göstermeye yetmez.

Kurulun 26 Ağustos 2021 tarihli ve 2021/847 sayılı karar özeti bu ayrımı somutlaştırır. İlgili kişi, alışveriş sitesinde artık kullanmadığı adreslerini silmek istemiş; veri sorumlusu ise bunları geçmiş faturalarla ilişkilendirerek sakladığını bildirmiştir. Kurul, faturaların ve üzerlerindeki adresin saklanması için somut olayda geçerli amaç ve hukuki gerekçe bulunduğunu, belirlenen on yıllık sürenin henüz dolmadığını kabul etmiştir. Ancak faturanın saklanmasıyla eski adresin bireysel hesabın profil alanında tutulmasını iki farklı işleme faaliyeti olarak değerlendirmiştir.⁹

Özetteki sonuç, belge saklama gerekçesinin kullanıcı hesabındaki bütün işlemleri belirlemediğini gösterir. Kurul, güncel olmayan adresler üzerinde işlem yapılamamasını doğruluk ve gerektiğinde güncellik ilkesi bakımından sorunlu bulmuş; güncelleme veya imhaya ve güncel olmayan bilgilerin ilgili kişiye gösterilmemesine imkân sağlayan kanallar oluşturulmasını, saklanan verinin saklama amacı dışında kullanılmamasını istemiştir. Dolayısıyla eski belgeyi olduğu gibi korumakla güncel adres listesini düzeltmek birbirini dışlayan seçenekler değildir.¹⁰

Aynı bilgi için ayrıştırılacak unsurlar yalnız süre de değildir. Amaç, hukuki sebep, süreyi başlatan olay ve erişim çevresi birlikte değerlendirilir. Örnekteki adresin farklı faaliyetlere bağlanması şu şekilde gösterilebilir; her satır, belirtilen faaliyetin geçerli bir işleme şartına dayanması koşuluyla okunmalıdır.¹¹

Sicile bildirilen süre ile faaliyet bazındaki süre arasındaki fark da burada önemlidir. Sicil Yönetmeliği, farklı amaçlarla işlenen bir veri kategorisi için süreler farklı olduğunda, mevzuatta azami muhafaza süresi öngörülmüşse bu sürenin; böyle bir süre yoksa bunlardan en uzun olanın bildirimde esas alınmasını öngörür. Bu, kategori düzeyindeki bildirimin nasıl yapılacağını belirler. Daha kısa süren amaç sona erdiğinde o amaçla işlemeye devam edilmesini veya aynı kategorideki her kaydın en uzun süreye kadar tutulmasını kendiliğinden haklı kılmaz.¹²

Bu nedenle veri sorumlusu, yalnız kategori adını ve tek bir bitiş tarihini içeren kayıtla yetinmemelidir. Hangi kayıt için hangi sebebin devam ettiği gösterilebilmelidir. Bir veri başka bir belgede gerekli olarak korunurken aktif hesaptan çıkarılabiliyorsa, silme talebini bütün sistem için tek bir “evet” veya “hayır” cevabına indirgemek yanıltıcı olur. Aksine, bütün işleme şartları sona eren kayıt bakımından da aynı kategoride başka kayıtların tutuluyor olması saklamayı sürdürmez.

Bir amaç sona erdiğinde kalan amacın sonradan ve görünüşte yaratılmaması gerekir. Hukuki yükümlülük veya hak koruma gerekçesi gerçekten mevcutsa o gerekçenin gerektirdiği kapsam ve erişim korunur; mevcut değilse “arşivde kalması yararlı olabilir” düşüncesi yeni bir işleme şartı oluşturmaz. İlgili kişinin talebi kısmen karşılanıyor veya bir bölüm için reddediliyorsa, devam eden hukuki sebebin hangi kayıt ve işlemle ilgili olduğu anlaşılır biçimde açıklanmalıdır. İmha Yönetmeliğinin işleme şartları sona ermemiş talebe gerekçeli ret imkânı tanıması, bu değerlendirmeyi veri ve faaliyet bakımından yapmayı gerektirir.¹³

14.3. Saklama ve imha politikası ile politika hazırlama yükümlülüğünün kapsamı

Saklama ve imha politikası, hangi verinin ne kadar tutulacağına ilişkin karar ile bu kararın nasıl uygulanacağı arasında bağ kurar. Bir süre tablosu önemli olmakla birlikte tek başına politika değildir. Verinin bulunduğu ortam, saklamayı veya imhayı gerektiren sebep, uygulanacak tedbir ve görevli birim de belirlenmelidir. Böylece hukuk biriminin belirlediği süre, bilgi işlem sisteminde veya fiziksel arşivde uygulanabilir bir işleme dönüştürülebilir.

Politika hazırlama yükümlülüğü, İmha Yönetmeliğinin 5. maddesinde Sicile kayıt yükümlülüğüne bağlanmıştır. Sicile kaydolmakla yükümlü veri sorumlusu, kişisel veri işleme envanterine uygun politika hazırlamalıdır. Burada belirleyici olan fiilen kayıt yaptırmış bulunmak değil, kayıtla yükümlü olmaktır; yükümlü olduğu hâlde kaydolmayan sorumlu, bu eksikliğini politika hazırlamamasının gerekçesi yapamaz. Kayıt yükümlülüğü değerlendirilirken Kanun’un 16. maddesi ve uygulanabilir istisnalar birlikte ele alınır.¹⁴

Sicil istisnasının sonucu da kendi konusu içinde tutulmalıdır. İmha Yönetmeliği, politika hazırlamakla yükümlü olmayanların saklama ve imha yükümlülüklerinin devam ettiğini açıkça belirtir. Öksüzoğlu da politika yükümlülüğünden muafiyet ile verilerin hukuka uygun saklanması ve imhasını birbirinden ayırır. Dolayısıyla bir sorumlunun Sicile kayıt istisnasından yararlanması, yalnız bu nedenle verileri süresiz tutabilmesi veya silme talebini incelemeyebilmesi anlamına gelmez. Kanun’un uygulama alanına ilişkin istisnalar ise ayrıca kendi koşulları içinde değerlendirilir.¹⁵

Envanter ile politika aynı işlevi görmez. Envanter, iş süreçlerindeki verileri amaç, hukuki sebep, kategori, ilgili kişi ve alıcı grupları gibi unsurlarla ilişkilendirir; azami muhafaza süresi de bu ilişkinin içindedir. Politika ise bu bilgiler üzerinden saklama ve imhanın nasıl yönetileceğini düzenler. Bu nedenle envanterdeki bütün kayıtları politikaya kopyalamak da faaliyeti tanımadan genel bir politika örneği kullanmak da aralarındaki uyumu kendiliğinden sağlamaz.¹⁶

Yönetmeliğin 6. maddesindeki asgari içerik, bu bağı görünür kılar. Hazırlama amacı, kapsanan kayıt ortamları ve kullanılan hukuki ve teknik terimler açıklanır; saklama ve imhanın hukuki, teknik veya diğer sebepleri gösterilir. Ayrıca güvenli saklama, hukuka aykırı işleme ve erişimi önleme ile hukuka uygun imha için alınmış teknik ve idari tedbirler belirtilir. Bir belgenin yalnızca “elektronik ortamda” tutulduğunu yazmak, hangi ortamların kapsandığını ve hangi tedbirin nerede uygulandığını göstermiyorsa gerekli açıklamayı tamamlamaz.

Asgari içerik, işlemi gerçekleştirecek kişilerin unvanlarını, birimlerini ve görev tanımlarını; saklama ve imha süreleri tablosunu; periyodik imha aralıklarını ve yapılmış güncellemeleri de kapsar. İşlemi kimin başlatacağı, kimin uygulayacağı ve hangi takvimin izleneceği belirsiz bırakıldığında, süre bilgisi uygulamaya dönüşmeyebilir. Örneğin insan kaynaklarının ilişki bitişini saptadığı, arşiv biriminin fiziki dosyayı, bilgi işlem biriminin elektronik kayıtları yönettiği bir yapıda bu görevlerin birbirine nasıl bağlandığı açıklanmalıdır.¹⁷

Politikanın hazırlanmış olması, uyumun gerçekleştiği anlamına gelmez. Yönetmelik bunu ayrıca hükme bağlamıştır. Politikada süresi dolan dosyanın imha edileceğinin yazması, dosyanın arşivde ve uygulamada erişilebilir tutulmasıyla bağdaşmaz. Aynı şekilde politika, kanuni dayanağı kalmayan saklamaya yeni bir dayanak oluşturamaz. Denetimde belgenin varlığıyla yetinmeyip onun kapsadığı kayıtlar üzerindeki fiilî işlemi de incelemek gerekir.¹⁸

Uygulamanın sürdürülmesi, değişikliklerin izlenmesini gerektirir. Yeni bir kayıt ortamına geçilmesi, görevlerin devri veya saklama sebebini etkileyen mevzuat değişikliği, politika ile uygulamanın yeniden karşılaştırılmasını gerektirebilir. Kurumun Mart 2026 tarihli kamu uyum rehberi de politika, güvenli imha, personele duyurma ve eğitim arasında bağlantı kurmaktadır. Bu açıklamalar kendi kamu bağlamında bir rehberdir; bütün veri sorumluları için aynı biçimde uygulanacak ayrı bir belge veya eğitim sıklığı şartı olarak okunmamalıdır.¹⁹

14.4. Resen ve talep üzerine imha; süreler ve üçüncü kişilere bildirim

İmha yükümlülüğünün doğması için ilgili kişinin başvurması gerekmez. İşlemeyi gerektiren şartların tamamı ortadan kalktığında veri sorumlusu resen, yani kendiliğinden harekete geçmelidir. Talep üzerine imha, bu yükümlülüğün yerine geçen ayrı bir sebep değil, ilgili kişinin kendi verisi bakımından süreci işletmesidir. Bu nedenle başvuru yapılmamasından saklamanın devamına izin verildiği sonucu çıkarılamaz.²⁰

Yükümlülüğün ne zaman doğduğu ile hangi tarihe kadar yerine getirileceği farklı sorulardır. İlk soruda kalan amaç ve işleme şartı araştırılır; ikinci soruda İmha Yönetmeliğinin resen işlem ve talep için düzenlediği takvim uygulanır. İmha işlemini belirli bir takvim içinde yapma imkânı, artık mevcut olmayan amaçla veriyi kullanmaya devam etme gerekçesi değildir. Örneğin imha sırasını bekleyen eski bir müşteri kaydı, bu bekleyiş nedeniyle yeni kampanyada kullanılabilir hâle gelmez.

Politika hazırlamış veri sorumlusu, yükümlülüğün doğduğu tarihi takip eden ilk periyodik imha işleminde gereğini yerine getirir. Periyodik işlemler arasındaki aralığı politikada belirler; bu aralık altı ayı geçemez. Buradaki altı ay, her veri için yükümlülüğün doğduğu gün yeniden başlayan ve mutlaka sonuna kadar kullanılabilecek bir bekleme süresi değildir. Takvimde daha yakın bir imha işlemi varsa esas olan bu ilk işlemdir.²¹

Politika hazırlama yükümlülüğü bulunmayan sorumlu için süre, imha yükümlülüğünün doğduğu tarihi takip eden üç aydır. Dolayısıyla politika hazırlamak zorunda olmamak, imha takviminden muafiyet sağlamaz. Öğretide de politika yükümlülüğü bakımından yapılan ayrımın resen imha sürelerine etkisi vurgulanmaktadır. Ayrıca Kurul, telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık hâlinde bu süreleri kısaltabilir.²²

Talep üzerine işlemde ise periyodik takvime dayanılarak otuz günlük sınır aşılamaz. Kanun’un 13. maddesi, taleplerin niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırılmasını öngörür. İmha Yönetmeliği, bütün işleme şartları ortadan kalkmışsa verinin silinmesi, yok edilmesi veya anonim hâle getirilmesiyle talebin sonuçlandırılmasını ve ilgili kişiye bilgi verilmesini ister. Yalnız “başvurunuz alınmıştır” cevabı vermek, talebin gereğini yerine getirmek değildir. Resen imha takvimi ile başvuru takviminin farklılığı şöyle gösterilebilir.²³

İşleme şartlarının tamamı sona ermemişse talep gerekçesi açıklanarak reddedilebilir; ret cevabı da en geç otuz gün içinde yazılı veya elektronik ortamda bildirilir. Burada talep kapsamındaki kayıtlar ayrı ayrı değerlendirilmelidir. Bir kaydın korunmasını gerektiren sebebin başka kayıtları da kapsadığı varsayılamaz. Buna karşılık ilgili kişinin belirttiği yöntemin her durumda aynen uygulanması da zorunlu değildir: Yönetmeliğin 7. maddesi, talep hâlinde uygun imha yönteminin gerekçesi açıklanarak seçilmesini öngörür. Gerekçe, hem saklamanın sürdürülmesi hem de seçilen işlemin uygunluğu bakımından somut olmalıdır.²⁴

Veri üçüncü kişilere aktarılmışsa yalnız veri sorumlusunun kendi sistemindeki işlemle yetinilmez. Talebe konu veri bakımından bütün işleme şartları ortadan kalktığında sorumlu, bu durumu üçüncü kişiye bildirmeli ve onun nezdinde Yönetmelik kapsamında gerekli işlemlerin yapılmasını temin etmelidir. Bildirim göndermekle gerekli işlemin gerçekleştirilmesini sağlamak, hükümde birlikte düzenlenmiştir. Bu nedenle aktarımın muhatabı ve ilgili kayıt belirlenmeden yapılan genel bir duyuru, somut verinin akıbetini açıklamaya yetmez.²⁵

Örneğin nisan ayında imha yükümlülüğü doğan bir kayıt için politikadaki ilk işlem haziran sonunda planlanmış olabilir. İlgili kişi daha önce başvurmuşsa sorumlu, haziran takvimini gerekçe göstererek başvuruya ilişkin otuz günlük sınırı aşamaz. Kayıt daha önce bir hizmet sağlayıcıya da aktarılmışsa onun elindeki kopyaya ilişkin işlem ayrıca izlenmelidir. Böyle bir akış, süre tablosunun yanına başvuruyu, aktarım muhatabını ve yapılan işlemi birbirine bağlayan bir uygulama düzeni kurulmasını gerektirir.

14.5. Silme, yok etme, anonimleştirme ve yeniden tanımlama riski

Bir personel dosyasının ekranda görünmemesi, aynı dosyanın geri getirilememesi veya dosyadan üretilen çıktının artık çalışanla ilişkilendirilememesi farklı sonuçlardır. İmha yönteminin değerlendirilmesinde, “sistemden kaldırıldı” açıklamasının bunlardan hangisini ifade ettiği belirlenmelidir. Yönetmelik silme, yok etme ve anonim hâle getirmeyi bu farklı sonuçlar üzerinden tanımlar; teknik bir işlemin adı, aranan sonucun gerçekleştiğini tek başına göstermez.

Silmede esas olan, verinin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz hâle gelmesidir. Buradaki ilgili kullanıcı, verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu kişi veya birim dışında, sorumlu organizasyonu içinde yahut onun yetki ve talimatıyla kişisel veri işleyen kişileri ifade eder. Bu nedenle silme, her teknik kopyanın hiç kimse tarafından geri getirilememesiyle aynı koşula bağlanmış değildir. Ancak ilgili kullanıcı olağan işlem, arama veya geri getirme yetkileriyle veriye ulaşabiliyorsa yalnız görünür listeden çıkarma yeterli olmaz.²⁶

Kurumun imha rehberi de silme sürecini, veriyi ve ilgili kullanıcıları belirleyip onların erişim, geri getirme ve tekrar kullanma imkânlarını kaldırmak üzerinden açıklar. Bulut çözümünde silme komutu kullanılırken kullanıcının geri getirme yetkisine; ofis dosyası ve veri tabanı örneklerinde ise aynı kullanıcının yönetici yetkileri bulunmasına dikkat çeker. Bu açıklamalar, komutun başarıyla çalışması ile hukuki silme sonucunun doğrulanması arasındaki farkı gösterir. İlgili kişinin başka bir yetkiyle aynı kayda yeniden ulaşabilmesi incelemenin dışında bırakılamaz.²⁷

Yok etmede ölçüt daha geniştir: hiç kimse tarafından erişilememe, geri getirilememe ve tekrar kullanılamama aranır. Örneğin yalnız kâğıt dosyanın parçalanması, aynı dosyanın taranmış nüshası korunuyorsa bütün nüshalar bakımından yok etme sonucunu göstermez. Rehber, yok etme için kopyaların belirlenmesini ve ortamlarına uygun işlem yapılmasını; kâğıt ile elektronik ortama aktarılan nüshaları ayrıca ele alır. Belirli bir cihazın veya hizmetin varsayılan silme işleviyle bu sonuca ulaşıldığı ayrıca doğrulanmalıdır.²⁸

Anonimleştirmede ise incelenen, erişimin veya geri getirmenin ötesinde verinin gerçek kişiyle ilişkilendirilebilirliğidir. Bir çalışan grubuna ait raporda adlar çıkarılmış olsa bile görev, yer ve olay bilgileri tek çalışanı gösterebilir. Raporun alıcısının bu bağlantıyı kurmaya yarayan başka kayıtları bulunması da değerlendirmeyi etkiler. Türk hukukundaki norm, veri sorumlusu ve alıcı çevresinde uygun tekniklerle geri döndürme veya eşleştirmeye rağmen kişiyle ilişkinin kurulamamasını arar. Takma ad, maskeleme ve şifreleme ile bu sonuç arasındaki temel farklar yukarıda 2.6’da açıklanmıştır.²⁹

Yeniden tanımlama riski, yalnız ilk işlem anındaki dosyaya bakılarak değerlendirilemez. Aynı çıktı daha ayrıntılı başka kayıtlarla birleştirildiğinde veya yeni bir alıcı çevresine açıldığında farklı bir bağlantı kurulabilir. Kurum rehberi, yöntem seçimini veri kümesinin niteliği ve kullanım bağlamıyla ilişkilendirir; ilgili özellikler değiştikçe kontrol yapılmasını ister. Bunun uygulamadaki karşılığı, hangi ek bilgilerin bağlantı kurabildiğini ve dönüşümün bu imkânları nasıl etkilediğini somutlaştırmaktır. Bir yöntem adının veya sayısal ayarın her veri kümesi için aynı anonimlik güvencesini sağladığı varsayılamaz.³⁰

Yöntem seçimi, sorumlunun belirlediği saklama sonucuyla da uyumlu olmalıdır. İmha yükümlülüğü belirli çalışana ait kayıt için doğmuşken, yalnız ayrı bir istatistik çıktısını anonimleştirmek eldeki kişisel nüshanın akıbetini çözmez. Buna karşılık anonimlik koşulu gerçekten sağlanan çıktı ile kişisel veri içeren asıl kayıt aynı hukuki nitelikte tutulmamalıdır. Hangi nüshanın hangi işleme konu olduğu açıkça belirlenmediğinde “anonimleştirildi” beyanı, korunmaya devam eden kişisel kayıtları gizleyebilir.

İnceleme bu nedenle üç ayrı soruyla ilerler: İlgili kullanıcı veriyi yeniden kullanabiliyor mu? Hiç kimse veriyi geri getirebiliyor mu? Kalan bilgi bir insanla yeniden ilişkilendirilebiliyor mu? Bu sorular sırasıyla silme, yok etme ve anonimleştirme bakımından farklı değerlendirmeler açar. Uygun yöntemin seçilmesi kadar sonucun kendi ölçütüyle doğrulanması gerekir; işlemin zamanı 14.4’te, yedek ve diğer ortamların yönetimi 14.6’da, sonuçların belgelendirilmesi 14.7’de ele alınmaktadır.³¹

14.6. Yedekler, loglar, arşivler ve dava nedeniyle saklama

Aktif sistemden çıkarılan bir kayıt, yedekte, olay günlüğünde veya arşivde bulunabilir. Bu ortamlar aynı işlevi görmez: yedek bir kesintiden sonra sistemi yeniden kurmaya, olay günlüğü işlemleri izlemeye, arşiv ise belirli belgeleri daha sonra kullanmak üzere muhafazaya hizmet edebilir. Bununla birlikte kaydın başka bir ortama taşınması, kişisel veri işleme niteliğini ortadan kaldırmaz. İnceleme, ortamın adıyla sona ermemeli; oradaki verinin amacı, kapsamı, süresi ve erişimi ayrıca belirlenmelidir.³²

Yedekleme, verinin zarar görmesi veya erişilemez hâle gelmesi durumunda faaliyetin sürdürülebilmesi bakımından önemlidir. Kurumun güvenlik rehberi, bu ihtiyacı ve yedeklere erişimin sınırlandırılmasını birlikte ele alır. Ancak yedekleme ihtiyacından bütün eski kopyaların süresiz korunabileceği sonucu çıkmaz. Hangi veri kümesinin hangi kurtarma ihtiyacı için tutulduğu, yedeklerin ne zaman yenilendiği ve saklama süresinin sonuna gelen kayıtların nasıl ele alındığı belirlenmelidir.³³

Yedekten geri yükleme, daha önce sona ermiş bir kullanımı fark edilmeden yeniden başlatabilir. Örneğin eski bir müşteri tablosu geri yüklendiğinde, silinmiş bir iletişim kaydının yeniden aktif listeye girmesi mümkündür. Böyle bir durumda imha işleminin yapıldığı günkü sonuçla yetinmek yeterli olmaz; ilgili kullanıcının veriye yeniden erişebilmesi ve onu kullanabilmesi de değerlendirilir. Geri yükleme sonrasında önceki silme ve kullanım sınırlarının korunmasını sağlayacak kontrolün kurulması, bu nedenle saklama ve imha düzeninin bir parçasıdır. Buradaki gereklilik, bütün sistemler için tek bir teknik komut değil, hukuki sonucun korunmasıdır.³⁴

Olay günlükleri, yaygın adıyla loglar da kişisel veri içerebilir. Kimin ne zaman hangi işleme eriştiği, hata kaydına hangi içeriğin yazıldığı ve kaydın hangi kişiyle ilişkilendirilebildiği incelenir. Güvenlik amacıyla kayıt tutulması, işlem içeriğinin tamamının günlüğe kopyalanmasını veya bütün günlüklerin aynı süre saklanmasını kendiliğinden haklı kılmaz. Kurulun 2023/412 sayılı karar özetinde, istek kayıtlarına kredi kartı bilgilerinin de yazılması ihlalin kapsamını artıran bir unsur olarak değerlendirilmiştir. Günlük tutmak, yalnız güvenlik sağlayan bir işlem değil, kendi içeriği bakımından ayrıca sınırlandırılması gereken bir işleme faaliyetidir.³⁵

Arşivde tutulan kayıtlarda da geçerli saklama sebebi gösterilmelidir. Kanuni belge saklama yükümlülüğünün varlığı, daha önce açıklandığı üzere belirli kişi ve belgelere ilişkin olabilir; “arşiv” adı bu kapsamı genişletmez. Sık kullanılmayan fakat hukuka uygun olarak korunması gereken kayıtların erişimi, günlük iş akışındaki verilerden farklı düzenlenebilir. Buna karşılık artık ihtiyaç bulunmayan kaydı başka klasöre veya fiziksel depoya kaldırmak imha yükümlülüğünü yerine getirmez. Özel arşiv ya da belge saklama hükmü uygulanıyorsa onun kapsamı ve süresi ayrıca saptanmalıdır.³⁶

Bir uyuşmazlık nedeniyle korunacak kayıtlar ise ilgili hakkı gösterebilecek verilerle ilişkilendirilmelidir. İşten ayrılan kişinin açtığı ücret davasında ödeme belgesi ve gerekli yazışmalar önem taşıyabilir; aynı dosyadaki her kayıt bu sebeple gerekli hâle gelmez. Hakkın tesisi, kullanılması veya korunması için zorunlu işleme şartı ile amaçla sınırlılık ve ölçülülük birlikte uygulanır. Yücedağ’ın gerekli bilgilerin korunmasına ilişkin açıklaması da bütün dosya yerine bu bağlantının araştırılmasını destekler.³⁷

Uyuşmazlık için saklanan kayıtların kimlerce ve hangi işlem için kullanılabileceği de sınırlanmalıdır. Bir hakkı savunmak üzere tutulan iletişim bilgisinin yeniden tanıtım faaliyetine katılması, saklamanın gerekçesini aşar. Saklama kararında hangi hakkın korunduğu ve bu ihtiyacın hangi olayda yeniden değerlendirileceği gösterilmelidir. Davanın belirli bir aşamaya ulaşması üzerine bütün kayıtları otomatik silmek kadar, dava açılmış olmasını süresiz ve değişmez bir muhafaza gerekçesine dönüştürmek de somut incelemenin yerini tutmaz.

Bu nedenle çalışan dosyası tek bir saklama nesnesi olarak ele alınmamalıdır. Aktif erişimi sona erdirilecek bilgiler, kanuni belge yükümlülüğü nedeniyle korunacak nüshalar, uyuşmazlık için gerekli kayıtlar ve kurtarma amacıyla bulunan kopyalar ayrıştırılır. Her biri için devam eden sebep, yetkili erişim ve işlemi sona erdirecek koşul gösterildiğinde, hakkı korumakla gereksiz veriyi imha etmek aynı düzen içinde yürütülebilir. İmha kaydı ise bu kararların hangi ölçüde uygulandığını gösterebilmelidir.

14.7. İmha işleminin belgelendirilmesi ve denetimi

“Dosya silindi” kaydı, tek başına hangi dosyanın, hangi nüshalarının ve hangi erişim imkânlarının ele alındığını göstermez. Belgelendirmenin işlevi, yapılan işlemi sonradan anlaşılabilir ve denetlenebilir kılmaktır. Bu nedenle saklama kararından imhanın sonucuna kadar kurulan bağın izlenebilmesi gerekir; bir işlemin kayda geçirilmesiyle aranan imha sonucunun gerçekleşmesi ayrı değerlendirmelerdir.

İmha Yönetmeliği, kişisel verilerin silinmesi, yok edilmesi ve anonim hâle getirilmesiyle ilgili yapılan bütün işlemlerin kayıt altına alınmasını öngörür. Bu kayıtlar, diğer hukuki yükümlülükler saklı olmak üzere en az üç yıl saklanır. Üç yıl, imha edilen verinin asıl içeriğinin ayrıca korunmasını gerektiren yeni bir süre değildir; yapılan işleme ilişkin kaydın asgari saklama süresidir. Aynı hükümden bütün uygulama veya güvenlik günlükleri için tek bir üç yıllık süre de çıkarılamaz.³⁸

Hükümde tek tip bir tutanak veya sertifika şablonu belirlenmemiştir. Kaydın kapsamı, işlemi açıklayabilecek fakat gereksiz kişisel veri çoğaltmayacak biçimde düzenlenebilir. Aşağıdaki alanlar bu amaçla kullanılabilecek bir kayıt düzenini gösterir; her biri için mevzuatta aynı adla ayrı belge zorunluluğu bulunduğu anlamına gelmez.³⁹

Kontrol, seçilen yöntemin hukuki ölçütüne uygun yapılmalıdır. Silmede ilgili kullanıcının erişimi ve yeniden kullanımı; yok etmede geri getirilebilme; anonimleştirmede ise kişiyle bağlantının yeniden kurulabilmesi araştırılır. Her işlemde aynı belgeyi imzalamak bu farklı soruları çözmez. Kullanıcı yetkilerinin incelenmesi, işlem kapsamındaki nüshaların karşılaştırılması veya anonimlik değerlendirmesinin kaydedilmesi, somut yönteme göre sonuç kontrolünün araçları olabilir. Bunların kapsamı veriye, ortama ve riske göre belirlenmelidir.⁴⁰

Hizmet sağlayıcıdan alınan bir işlem belgesi de veri sorumlusunun değerlendirmesinin yerine geçmez. Belgenin hangi ortamı ve kopyaları kapsadığı, yalnız komut verildiğini mi yoksa belirli sonucun kontrol edildiğini mi gösterdiği incelenmelidir. Kanun, kişisel verilerin başkası tarafından sorumlu adına işlenmesi durumunda güvenlik tedbirleri bakımından müşterek sorumluluğu; sorumlu organizasyonu içinde ise gerekli denetimleri yapma veya yaptırma yükümlülüğünü düzenler. Bu nedenle imhayı başkasına yaptırmakla süreci denetlemek ayrı görevlerdir.⁴¹

İmha kaydının kendisi de güvenli ve sınırlı tutulmalıdır. Silindiğini göstermek için eski dosyanın bütün içeriğini işlem günlüğüne kopyalamak, giderilmek istenen saklama sorununu yeniden üretebilir. Kullanılan kayıt numarası veya kişi kodu da başka bilgilerle belirli insana bağlanıyorsa kişisel veri niteliği taşıyabilir. Kayıt alanları, erişim yetkileri ve saklama süresi bu nedenle belgelendirme amacıyla birlikte değerlendirilmelidir. İşlemi kanıtlamak için gerekli bilgiyle imha edilen içeriğin yeniden saklanması birbirine karıştırılmamalıdır.⁴²

Saklama ve imha düzeninin denetlenebilirliği böylece bir karar zincirine dayanır: devam eden saklama sebebi kaydın kapsamını ve süresini, bütün şartların sona ermesi imha sürecini, seçilen yöntem de kontrol edilecek sonucu belirler. Belgelendirme bu bağlantının ne ölçüde uygulandığını gösterir. Sebep, kapsam veya sonuçtan biri açıklanmıyorsa, yalnız sürenin dolduğu ya da bir komutun çalıştırıldığı bilgisiyle hukuka uygun imha değerlendirmesi tamamlanamaz.

İçindekiler · Ayrıntılı kitap planı