Madde 7

KVKK m.4/2-d, kişisel verilerin ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar saklanmasını ister. Kanuna ve ilgili diğer kanunlara uygun olarak işlenmiş veriyi işlemeyi gerektiren sebep sonradan ortadan kalkarsa, KVKK m.7/1 veri sorumlusu için silme, yok etme veya anonim hale getirme yükümlülüğü doğurur.1

Saklama sınırı, verinin adıyla değil, verinin hangi faaliyet için elde tutulduğuyla kurulur. Aynı bilgi farklı faaliyetlerde kullanılabiliyorsa, bir faaliyet bakımından sürenin sona ermesi ötekiler bakımından aynı sonucu kendiliğinden doğurmaz.2

Kişisel Verileri Koruma Kurulu, 2020/379 sayılı kararda iş sözleşmesi sona eren kişinin görüntü ve sesinin tanıtım videosunda kullanılmasını incelemiş, bu kullanım için işleme şartı gösterilmediğinden silme veya yok etme talimatı vermiştir. Karar, tanıtım videosundaki görüntü ve sesle sınırlıdır.3 Çalışana ait başka kayıtların saklanması ise bunların amacı ve hukuki sebebi üzerinden ayrıca değerlendirilecektir.4

Bir verinin birden çok kayıtta bulunması, bu kayıtların tek bir işleme faaliyetine ait olduğunu göstermez. Her kayıt, amaç, doğruluk ve saklama süresi bakımından kendi bağlamında değerlendirilmelidir.1

Kurulun 2021/847 sayılı kararında fatura belgesindeki adres ile kullanıcının profilinde görünen eski adres birbirinden ayrılmıştır. Faturanın saklanmasına ilişkin neden, profil alanındaki eski adresin güncellenmeden tutulmasını haklı kılacak bir neden olarak kabul edilmemiştir.2

Bu ayrım, faturada yer alan verinin mutlaka silineceği anlamına gelmez. Her kayıt için işleme amacı ile hukuki sebep birlikte gösterildikten sonra, o kayda ilişkin saklama sonucuna ulaşılacaktır.3

KVKK m.7/2, silme, yok etme ve anonim hale getirmeye ilişkin diğer kanun hükümlerini saklı tutar.1 Bu hüküm, her veri sorumlusu için genel ve süresiz bir saklama yetkisi vermez.2 Özel düzenlemenin hangi kayda, hangi süreyle ve hangi nedenle uygulandığı somut olarak ortaya konulmalıdır.3

Kurul, 2018/142 sayılı kararda başvuru konusu banka kayıtları için Bankacılık Kanunu m.42'deki on yıllık süreyi dikkate almış ve son işlemden itibaren bu süre dolmadığı için talep hakkında işlem yapılmasına yer olmadığına karar vermiştir.4

Karardaki süre yalnız anılan saklama yükümlülüğünün kapsamındaki kayıtlara ilişkindir.5 Özel düzenlemenin uygulanabilir olduğu belirlendikten sonra da, verinin bu düzenlemenin amacı dışında kullanılıp kullanılmadığı KVKK m.4/2-d ve m.7 bakımından incelenecektir.6

İmha Yönetmeliği silmeyi, kişisel verinin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz hale gelmesi olarak tanımlar.1 Yok etmede ise veri hiç kimse tarafından erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmelidir.2

Anonim hale getirme veriyi ortadan kaldırmaya değil, başka verilerle eşleştirilse bile kişiyi belirli veya belirlenebilir kılan bağın kopmasına yönelir.3 Silme, yok etme ve anonim hale getirme farklı hukuki sonuçlar aradığından aynı teknik işlem her kayıt ortamı için yeterli olmayabilir. Uygun yöntem, kayıt ortamında ulaşılması gereken bu sonuca göre seçilecektir.4

İşleme şartlarının tamamı ortadan kalktığında imha yükümlülüğü, ilgili kişinin başvurusuna bağlı değildir. Veri sorumlusu bu sonucu kendiliğinden yerine getirir ve yaptığı işlemleri kayıt altına alır.1 İmha kayıtları, başka hukuki yükümlülükler saklı kalmak üzere en az üç yıl saklanır.2

İlgili kişi ayrıca KVKK m.11/1-e ve m.13 uyarınca silme veya yok etme talebiyle veri sorumlusuna başvurabilir.3 Şartların tamamı ortadan kalkmışsa talep otuz gün içinde sonuçlandırılarak ilgili kişiye bilgi verilir. Bir işleme şartı sürüyorsa ret gerekçesi aynı süre içinde bildirilir.4

Başvuruya cevap süresi, resen imhanın ne zaman yapılacağını belirleyen süre değildir. Saklama ve imha politikası hazırlamakla yükümlü veri sorumlusu, yükümlülüğün doğumunu izleyen ilk periyodik imhada işlem yapar ve bu dönem altı ayı aşamaz.5

Bir işlem başlangıçta hukuka uygun olsa da, onu taşıyan amaç veya işleme şartı sonradan ortadan kalkabilir. Bu halde sorun yalnız eski kaydın sistemde bulunması değil, kaydın erişilebilir kalması veya kullanılmaya devam edilmesidir.1

Kurul, 2023/1321 sayılı kararda ortaklıktan ayrılan kişinin pasif e-posta adresine gönderilen iletilerin tanımsız posta akışıyla yönetici hesabında görüntülenmesini incelemiştir. Kurul, bu yönlendirme yoluyla devam eden işleme için KVKK m.5 kapsamında dayanak bulunmadığını kabul etmiş, sistemin düzeltilmesi ile şikayete konu verilerin imhası yönünde talimat vermiştir.2

Kararın ölçütü pasif adresin teknik adı değildir. Benzer olayda kimlerin hangi yönlendirme ile verilere eriştiği ve erişimi sürdürmek için geçerli bir işleme sebebinin bulunup bulunmadığı belirlenecektir.3 İmha yöntemi de bu erişimin gerçekleştiği sistem ve kayıt ortamına göre seçilecektir.4

KVKK m.7/1, Kanuna ve ilgili diğer kanunlara uygun olarak işlenmiş bir verinin işlenmesini gerektiren sebebin sonradan ortadan kalkmasını düzenler.1 Başlangıçtaki işlemenin hukuka uygunluğu ise KVKK m.4'teki ilkeler ile m.5 ve m.6'daki şartlar çerçevesinde ayrı bir sorudur.2

Sonradan silme, yok etme veya anonim hale getirme, önceki işleme döneminin hukuka uygun olup olmadığı sorununu ortadan kaldıramaz.3 Başlangıçtaki işleme, yapıldığı tarihte geçerli olan şartlara göre incelenir. Veri daha sonra tutulmaya veya kullanılmaya devam ediyorsa, bu sonraki faaliyet için o tarihte geçerli bir işleme sebebinin bulunup bulunmadığı ayrıca değerlendirilecektir.4

Anonim hale getirme bakımından belirleyici olan, doğrudan tanımlayıcının kayıttan çıkarılması değil, verinin başka verilerle eşleştirildiğinde dahi kişiyle ilişkilendirilememesidir.1 Bu nedenle maskeleme veya erişim sınırlaması, kişi yeniden belirlenebiliyorsa veriyi kendiliğinden anonim hale getirmez.2

Kişiyle bağın gerçekten kopup kopmadığı, yalnız verinin görünür yüzüne bakılarak anlaşılmaz. Değerlendirmede veri sorumlusunun, alıcının ve alıcı gruplarının erişebildiği ek bilgiler ile kayıt ortamında kullanılabilecek imkanlar dikkate alınacaktır.3

İmha yöntemi, soyut olarak veri türüne değil, verinin bulunduğu kayıt ortamında erişimin ve yeniden kullanımın nasıl önleneceğine göre seçilir.1 Veri sorumlusu, Kurul aksine karar vermedikçe uygun silme, yok etme veya anonim hale getirme yöntemini belirler. İlgili kişinin talebi üzerine seçim yaptığında gerekçesini açıklar.2

Silme, yok etme ve anonim hale getirmenin erişim ve kişiyle bağ bakımından aradığı sonuçlar farklıdır.3 Bu yüzden ana kayda uygulanan işlem, başka bir ortamda bulunan kopya bakımından yeterli sayılmadan önce o kopyadaki erişim ve yeniden kullanım imkanları ayrıca incelenecektir.4

Veri Sorumluları Siciline kayıt yükümlülüğü bulunan veri sorumlusu, kişisel veri işleme envanterine uygun bir saklama ve imha politikası hazırlamakla yükümlüdür. Politikanın hazırlanmış olması, verilerin Kanuna ve Yönetmeliğe uygun biçimde saklandığını veya imha edildiğini tek başına göstermez.1

Politikada kayıt ortamları ile saklama ve imha sürelerine yer verilir.2 Bu süreler, envanterdeki her işleme faaliyetinin amacıyla uyumlu kurulmalıdır. Aynı veri farklı faaliyetlerde kullanılıyorsa politika bunları tek bir saklama süresinde eritmemelidir.3

Fiilen yapılan imha işlemlerinin kayda alınması, politikanın varlığından farklı bir yükümlülüktür ve bu kayıtlar en az üç yıl saklanır.4 Politika hazırlama yükümlülüğü olanlar için periyodik imha aralığı altı ayı aşamaz. Bu yükümlülüğü olmayan veri sorumlusu ise imha yükümlülüğünün doğumunu izleyen üç ay içinde işlem yapar.5

KVKK m.11/1-e, ilgili kişiye silme veya yok etme isteme hakkını tanır. Aynı fıkranın (f) bendi, bu istek üzerine yapılan işlemlerin verinin aktarıldığı üçüncü kişilere bildirilmesini isteme hakkını da kapsar.1

İşleme şartlarının tamamı ortadan kalkmış ve talep konusu veri üçüncü kişiye aktarılmışsa veri sorumlusu bu durumu doğrudan alıcıya bildirir ve gerekli işlemlerin yapılmasını sağlar.2 Bu bildirim, alıcının kendi adına yürüttüğü her faaliyetin hukuki sonucunu önceden belirlemez. Alıcı amaçları ve vasıtaları kendisi belirliyorsa, o faaliyet bakımından veri sorumlusu sıfatını taşır ve kendi işleme şartı ile saklama süresi ayrıca değerlendirilecektir.3

KVKK m.7, verinin çevrim içi ortamda veya başka bir kayıt ortamında tutulmasına göre ayrı bir imha sonucu düzenlemez. Bu nedenle çevrim içi olma, tek başına bağımsız ve sınırsız bir kaldırma yolu doğurmaz.1

Çevrim içi kaydın silinip silinmediği, kaydın tutulduğu sistemde ilgili kullanıcılar için erişimin kesilip kesilmediği ve verinin yeniden kullanılamaz hale gelip gelmediği üzerinden belirlenecektir.2 Bir sayfanın görünmez hale gelmesi, aynı verinin başka bir kayıt ortamında erişilebilir veya kullanılabilir kalıp kalmadığı sorusunu kendiliğinden çözmez.3

2008 tarihli Tasarının 9. maddesi ihtiyaç duyulmayan veriler için anonim hale getirme veya yok etmeyi, 25. maddesi ise genel ilkelere aykırı veriler için silme veya yok etmeyi ayrı düzenlemiştir.1 2014 tarihli Tasarı, üç yöntemi m.7'de birlikte saymıştır.2

İlk 2016 KVKK metni ile yürürlükteki KVKK m.7 de silme, yok etme ve anonim hale getirme yöntemlerini aynı sırayla sayar.3 Ancak bugün bu yöntemlerin hangi sonuca yöneldiği İmha Yönetmeliği m.8-10'da belirlenmiştir.4

1/541 sayılı Tasarının gerekçesi silmeyi kayıtlı ortamdan geri döndürülemez biçimde çıkarma, yok etmeyi ise kayıt ortamının imhası olarak açıklamıştır.5 Bu tarihsel açıklama, yürürlükteki tanımların yerine geçmez. Somut olayda yöntem, İmha Yönetmeliğindeki sonuç ve kayıt ortamının özellikleri birlikte değerlendirilerek seçilecektir.6

KVKK m.17/2, KVKK m.7'ye aykırı olarak kişisel verileri silmeyen veya anonim hale getirmeyenleri TCK m.138'e gönderir.1 Ceza sorumluluğu, bu gönderme nedeniyle doğrudan m.7'deki her imha eksikliğine bağlanmaz, TCK m.138'deki suç tipinin şartları ayrıca aranır.2

TCK m.138, kanunların belirlediği süreler geçmiş olmasına rağmen verileri sistem içinde yok etmekle yükümlü olan kişinin görevini yerine getirmemesini suç olarak düzenler. Somut olayda kanuni saklama süresinin dolup dolmadığı ile suç tipinin diğer koşulları birlikte incelenecektir.3

KVKK m.17/2'de silme ve anonim hale getirmeden, TCK m.138'de ise sistem içinde yok etmekten söz edilmesi iki hükmün ilişkisinde bir terminoloji sorunu doğurmaktadır. Ceza hükmünün kapsamı, KVKK m.7'de sayılan yöntemlerin yalnız adına bakılarak değil, TCK m.138'deki yükümlülük ve süre şartlarıyla birlikte belirlenecektir.4