KVKK Uyumlu Veri Saklama ve İmha Süreçleri

KVKK Uyumlu Veri Saklama ve İmha Süreçleri

1. Amaç Bu prosedürün amacı, bilginin elde edilmesi, işlenmesi ve saklanmasında kullanılan tüm basılı ve yazılı içerik, bilgi teknolojileri varlıkları ve çevre birimlerinin gerekli durumlarda güvenli ve 6698 sayılı Kışisel Verilerin Korunması Hakkında Kanun’a uygun bir şekilde imha edilmesini sağlamak.

2. Kapsam Prosedür tüm kişisel, ticari veri kayıtlarını ve iş süreçlerini kapsar.

3. Tanımlar

• Kanun: 6698 sayılı Kışisel Verilerin Korunması Kanununu ifade eder.
• Kışisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade eder.
• Karartma: Kışisel verilerin bütününün, kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek şekilde üstlerinin çizilmesi, boyanması ve buzlanması gibi işlemleri ifade eder.
• Kışisel Veri Saklama ve İmha Politikası: Veri sorumlularının, kişisel verilerin işlendikleri amaç için gerekli olan azami süreyi belirleme işlemi ile silme, yok etme ve anonim hale getirme işlemi için dayanak yaptıkları politikayı ifade eder.
• Maskeleme: Kışisel verilerin belli alanlarının, kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek şekilde silinmesi, üstlerinin çizilmesi, boyanması ve yıldızlanması gibi işlemleri ifade eder.
• Periyodik İmha: Kanunda yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla resen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemini ifade eder.

4. Referanslar

• 6698 Sayılı Kışisel Verilerin Korunması Kanunu
• 30224 Sayılı, 28.10.2018 tarihli Kışisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik

5. Uygulama

5.1. Varlıkların İmhası Kışisel verilerin işlenmesine yönelik amaç unsurunun ortadan kalkması, açık rızanın geri alınmış olması veya Kanunun 5. ve 6. maddelerinde yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda, işlenme şartları ortadan kalkan kişisel veriler, ilgili iş birimi tarafından, iş ihtiyaçları göz önüne alınarak, yönetmelik kapsamında silinir, yok edilir veya anonim hale getirilir. Ancak kesinleşmiş bir mahkeme kararı söz konusu ise ilgili imha yöntemi uygulanmak zorundadır.

Verilerin Silinmesi Yöntemleri:

• Kağıt Ortamı: Kağıt öğütücü ile imha veya karartma yöntemi.
• Merkezi Sunucular: İşletim sistemi silme komutu.
• Taşınabilir Medya: İşletim sistemi silme komutu.
• Veri Tabanları: Veri tabanı komutları ile ilgili satırların silinmesi.

Varlıkların ve Verinin Yok Edilmesi Yöntemleri:

• Yerel Sistemler: De-manyetize etme, fiziksel yok etme veya üzerine yazma yöntemi.
• Çevresel Sistemler: Flash tabanlı ortamlar, manyetik bantlar, optik diskler gibi cihazlar uygun fiziksel veya manyetik yöntemlerle yok edilir.
• Basılı Ortamlar: Kağıt imha makineleriyle yok edilir.

Kışisel Verilerin Anonim Hale Getirilmesi Yöntemleri: Kışisel Verileri Koruma Kurumu’nun yayınladığı rehberde yer alan yöntemlerden uygun olanı kullanılır.

5.2. Periyodik Gözden Geçirme Kışisel veri sahipleri, iş birimleri ve kullanıcılar veri işleme şartlarını altı ayda bir gözden geçirir. Tüm silme, yok etme ve anonimleştirme işlemleri kayıt altına alınır ve en az üç yıl saklanır.

5.3. Kışisel Verilerin Saklanması Kışisel veriler, “Kışisel Veri İşleme Envanteri”ndeki sürelere uygun olarak saklanır. Periyodik imha veya talep üzerine yasal zorunluluk olmadığı durumda imha edilir. Fiziksel ve dijital ortamda gerekli güvenlik önlemleri alınmıştır.

6. Kontrol Dokümanlar yılda bir kez periyodik olarak kontrol edilir ve gerektiğinde revize edilir.