KVKK Saklama ve İmha Politikası: Arşivleme ve Anonimleştirme

Kişisel verileri toplamak kadar, onları ne zaman ve nasıl ortadan kaldıracağınızı bilmek de KVKK uyumunun temel parçasıdır. 6698 sayılı Kanun, verilerin yalnızca ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar saklanmasını ister. Pratikte ise çoğu işletmede veriler hiç silinmez: Eski müşteri kayıtları CRM'de, ayrılan çalışanların dosyaları paylaşımlı klasörlerde, yıllar öncesinin e-postaları arşivlerde ve yedeklerde birikir. Bu rehberde saklama ve imha politikasının nasıl hazırlanacağını, arşiv altyapısının nasıl kurgulanacağını, anonimleştirme tekniklerini ve imhanın nasıl otomatikleştirileceğini ele alıyoruz.

Saklama, Silme, Yok Etme ve Anonimleştirme: Temel Kavramlar

İşlenmesini gerektiren sebepler ortadan kalktığında kişisel veriler silinmeli, yok edilmeli veya anonim hâle getirilmelidir. Bu üç yöntem mevzuatta farklı anlamlar taşır:

• Silme: Verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesidir. Veritabanından kaydın kaldırılması, dosyanın güvenli silme araçlarıyla silinmesi veya kâğıt belgedeki ilgili alanın karartılması bu kapsamdadır.
• Yok etme: Verinin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hâle getirilmesidir. Kâğıt imha, disklerin fiziksel olarak parçalanması, manyetik ortamların demanyetize edilmesi ve üzerine yazma yöntemleri bu gruptadır.
• Anonim hâle getirme: Verinin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek hâle getirilmesidir. Gerçekten anonimleştirilmiş veri artık kişisel veri sayılmaz ve istatistik ya da analiz amacıyla kullanılmaya devam edebilir.

Arşivleme ise bu kavramlardan farklıdır: Verinin aktif kullanımdan çıkarılıp yasal saklama süresi boyunca erişimi kısıtlı bir ortamda tutulmasıdır. Arşivdeki veri hâlâ kişisel veridir ve tüm güvenlik yükümlülükleri geçerliliğini korur.

Saklama ve İmha Politikası Nasıl Hazırlanır?

Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesine ilişkin yönetmelik, VERBİS'e kayıt yükümlüsü olan veri sorumlularının bir kişisel veri saklama ve imha politikası hazırlamasını zorunlu tutar. Kayıt yükümlüsü olmayanlar için de aynı yaklaşım, Kanun'un genel ilkelerine uymanın en pratik yoludur. Politikayı hazırlarken şu adımları izleyin:

1. Envanterden başlayın: Kişisel veri envanterindeki her veri kategorisi için saklama süresi belirlenecektir; envanter eksikse politika da eksik olur.
2. Kayıt ortamlarını listeleyin: Sunucular, veritabanları, bulut hizmetleri, e-posta sistemi, dizüstü bilgisayarlar, taşınabilir medya, yedekler ve kâğıt arşivler.
3. Saklama sürelerini gerekçelendirin: Her süreyi dayandığı mevzuat hükmüyle veya iş gerekçesiyle eşleştirin. Ticari defter ve belgeler ile iş ve sosyal güvenlik kayıtları gibi alanlarda mevzuatın öngördüğü saklama süreleri ve olası uyuşmazlıklardaki zamanaşımı süreleri belirleyicidir; bu eşleştirmeyi hukuk danışmanınız ve mali müşavirinizle birlikte yapın.
4. İmha yöntemlerini belirleyin: Her kayıt ortamı için hangi silme, yok etme veya anonimleştirme yönteminin kullanılacağını tanımlayın.
5. Sorumluları atayın: Politikanın uygulanmasından sorumlu kişilerin unvanlarını ve görevlerini yazın.
6. Periyodik imha süresini belirleyin: Yönetmelik, periyodik imha aralığının altı ayı geçmemesini ister.
7. Kayıt tutmayı tanımlayın: Yapılan tüm silme, yok etme ve anonimleştirme işlemleri kayıt altına alınmalı; bu kayıtlar, diğer hukuki yükümlülükler saklı kalmak kaydıyla en az üç yıl saklanmalıdır.

Politikanın en çok başvurulan bölümü saklama süreleri listesidir. Listedeki her kayıt; veri kategorisini, ilgili süreci, saklama süresini, hukuki gerekçeyi, kayıt ortamını ve imha yöntemini birlikte göstermelidir. İşe alınmayan adayların özgeçmişleri için örnek bir kayıt şöyle olabilir:

• Süreç: İşe alım
• Saklama süresi: Politikada belirlenen kısa bir süre
• Hukuki gerekçe: İşe alım amacı için gereklilik
• Kayıt ortamı: Erişimi sınırlı İK başvuru klasörü
• İmha yöntemi: Güvenli silme

Bu yapı, hem denetimde hem de ilgili kişi taleplerinde hızlı cevap vermenizi sağlar.

Sektörünüz de süreleri doğrudan etkiler. Sağlık kuruluşlarında hasta kayıtları, bankacılık ve sigorta alanında işlem kayıtları, sanayi ve imalat işletmelerinde ise üretim ve kalite kayıtları için sektörel mevzuat ve müşteri sözleşmeleri, genel kurallardan daha uzun veya daha sıkı saklama yükümlülükleri getirebilir. Politikayı hazırlarken bu özel düzenlemeleri de listeye ekleyin.

İlgili kişi verisinin silinmesini talep ettiğinde ve işleme şartları ortadan kalkmışsa talep en geç 30 gün içinde sonuçlandırılmalı; veri daha önce üçüncü kişilere aktarıldıysa onlar da bilgilendirilmelidir. Politikanın dayandığı genel çerçeve için KVKK uyum rehberimize bakabilirsiniz.

Arşivleme Altyapısı: Bulut, Yerel ve Hibrit Seçenekler

Arşiv altyapısı, verinin yasal süre boyunca bütünlüğünü korumalı, erişimi sınırlamalı ve süre dolduğunda imhayı mümkün kılmalıdır.

• Yerel arşiv: Şirket içindeki bir dosya sunucusunda veya depolama cihazında tutulur. Veri üzerinde tam kontrol sağlar; ancak donanım ömrü, fiziksel güvenlik ve felaket senaryoları sizin sorumluluğunuzdadır.
• Bulut arşiv: Bulut sağlayıcılarının düşük maliyetli arşiv katmanları, uzun süreli saklama için ölçeklenebilir bir seçenektir. Değiştirilemez depolama ve saklama kilidi gibi özellikler, verinin süre dolmadan silinmesini veya değiştirilmesini engeller. Verinin hangi ülkede barındırıldığı ise yurt dışına aktarım açısından ayrıca değerlendirilmelidir.
• Hibrit yaklaşım: Sık erişilen yakın dönem veriler yerelde, uzun süreli arşiv bulutta tutulur. Çoğu KOBİ için maliyet ve erişim dengesi en iyi olan modeldir.

Hangi modeli seçerseniz seçin, uzun süreli arşivde verinin yıllar sonra da okunabilmesi için yaygın ve açık dosya formatlarını tercih edin, arşivden geri çağırmayı periyodik olarak test edin ve arşive kimlerin eriştiğini loglayın.

Arşivleme ile yedeklemeyi karıştırmamak gerekir. Yedek, bir felakette sistemleri geri getirmek için alınan ve belirli bir döngüyle yenilenen kopyadır; arşiv ise verinin kendisinin uzun süreli ve düzenli olarak saklandığı yerdir. Yedekleme stratejisi için 3-2-1 yedekleme rehberimize, bulut tarafı için bulut yedekleme yazımıza göz atabilirsiniz.

E-posta, çoğu işletmede en büyük ve en az yönetilen kişisel veri arşividir. Kurumsal e-posta platformlarının sunduğu saklama ilkeleri ve etiketleriyle belirli klasörler veya içerik türleri için otomatik saklama ve silme süreleri tanımlanabilir.

Anonimleştirme ve Maskeleme Teknikleri

Anonimleştirme, veriyi imha etmek yerine analiz değerini korumak istediğinizde kullanılır. Kişisel Verileri Koruma Kurumu'nun anonimleştirmeye ilişkin rehberinde ele alınan başlıca teknik grupları şunlardır:

• Değişken ve kayıt çıkarma: Ad, kimlik numarası, telefon gibi doğrudan tanımlayıcıların tamamen kaldırılması; nadir ve ayırt edici kayıtların veri setinden çıkarılması.
• Genelleştirme: Doğum tarihi yerine yaş aralığı, tam adres yerine il veya ilçe bilgisi kullanılması.
• Alt ve üst sınır kodlama: Belirli bir eşiğin altındaki veya üstündeki uç değerlerin tek bir kategoride toplanması.
• Gürültü ekleme ve veri değiştirme: İstatistiksel dağılım korunarak değerlerin küçük oranlarda değiştirilmesi veya kayıtlar arasında yer değiştirilmesi.
• Mikro birleştirme: Benzer kayıtların gruplanıp bireysel değerler yerine grup ortalamalarının kullanılması.

Anonimliğin yeterli olup olmadığını ölçmek için k-anonimlik, l-çeşitlilik ve t-yakınlık gibi modeller kullanılır. Örneğin k-anonimlik, her kaydın tanımlayıcı nitelikler bakımından en az k-1 başka kayıttan ayırt edilemez olmasını sağlar. Yöntemin yeterliliğini doğrulamanın pratik bir yolu, anonimleştirilmiş veri setini erişimi olabilecek kişilerin elindeki diğer verilerle birleştirerek yeniden tanımlama denemesi yapmaktır. Örneğin posta kodu, doğum yılı ve cinsiyet birlikte bırakıldığında küçük bir veri setindeki kişiler kolayca ayırt edilebilir.

En sık yapılan hata, takma adlandırmayı anonimleştirme sanmaktır. Kimlik numarasının yerine bir kod yazmak veya numaranın özetini (hash) almak veriyi anonim yapmaz; kod tablosuna ya da olası değer kümesine erişen biri kişiyi yeniden tanımlayabilir. Takma adlandırılmış veri hâlâ kişisel veridir, ancak riski azaltan değerli bir güvenlik önlemidir.

Maskeleme ise özellikle test ve geliştirme ortamlarında önem taşır. Canlı müşteri verisini test ortamına kopyalamak yaygın bir uygulamadır ve bu ortamlar genellikle canlı sistem kadar iyi korunmaz. Test verisi üretirken gerçekçi ama gerçek olmayan değerler kullanan maskeleme araçları tercih edilmelidir.

Periyodik İmha Süreçlerini Otomatikleştirme

Elle yürütülen imha zamanla aksamaya mahkûmdur. Otomasyon için şu yaklaşımları öneriyoruz:

1. Uygulama içinde saklama kuralları: CRM, ERP ve İK yazılımlarında kayıtların oluşturulma veya son işlem tarihine göre silinmesini ya da anonimleştirilmesini sağlayan zamanlanmış görevler tanımlayın.
2. Dosya sunucularında yaşlandırma raporları: Belirli bir süredir erişilmeyen dosyaları raporlayan ve imha onayı için dosya sahibine gönderen iş akışları kurun.
3. E-posta ve iş birliği platformlarında saklama ilkeleri: Klasör veya içerik türüne göre otomatik silme kuralları uygulayın.
4. Yedek saklama döngüsünü politikaya bağlayın: Yedeklerin saklama süresini imha politikasındaki sürelerle uyumlu hâle getirin.
5. Kamera ve log sistemlerinde otomatik üzerine yazma: Kayıt cihazlarında ve log sunucularında süre dolduğunda otomatik silmeyi yapılandırın.
6. İmha tutanağını otomatik üretin: Her periyodik imha çalışmasının sonunda hangi veri kategorisinin, hangi yöntemle ve kim tarafından imha edildiğini gösteren bir kayıt oluşturun.

Otomasyonun işe yaraması için verinin nerede olduğunu bilmek gerekir; bu da veri sınıflandırma çalışmasının doğrudan faydalarından biridir.

Sık Yapılan Hatalar: Yedeklerde ve Arşivlerde Unutulan Veriler

• Yedekleri kapsam dışı saymak: Canlı sistemden silinen veri, uzun süre saklanan yedeklerde yaşamaya devam eder. Yedeklerde tek tek kayıt silmek genellikle mümkün değildir; bu nedenle yedek saklama süreleri politikayla uyumlu tutulmalı ve yedekten geri dönüş yapıldığında daha önce imha edilmiş verilerin yeniden silinmesi bir prosedüre bağlanmalıdır.
• Kişisel e-posta kutuları ve masaüstleri: Ayrılan çalışanların kutularında ve bilgisayarlarında kalan müşteri ve aday verileri.
• Eski donanımlar: Güvenli silme yapılmadan satılan, bağışlanan veya depoya kaldırılan diskler; dahili diski olan yazıcı ve fotokopi makineleri.
• Gölge kopyalar: Rapor almak için dışa aktarılmış tablo dosyaları, kişisel bulut hesaplarına yüklenmiş belgeler.
• Test ortamları: Canlı veriden kopyalanıp unutulmuş test veritabanları.
• Güncellenmeyen politika: Politikayı bir kez yazıp yeni sistemler ve süreçler eklendikçe güncellememek, çalışanları sürelerden ve imha adımlarından haberdar etmemek.
• Sonsuz saklama: Her ihtimale karşı hiçbir şeyi silmemek. Gereğinden uzun saklanan veri, hem olası bir ihlalin etki alanını büyütür hem de Kanun'un ilkelerine aykırıdır.

Uygulama Kontrol Listesi ve Destek Alınacak Noktalar

• Kişisel veri envanteri, her veri kategorisi için kayıt ortamını gösteriyor
• Saklama süreleri hukuki gerekçesiyle belirlenmiş ve politikada yazılı
• İmha yöntemleri her kayıt ortamı için tanımlanmış
• Periyodik imha altı ayı aşmayan aralıklarla uygulanıyor ve tutanakla belgeleniyor
• Yedek saklama süreleri politikayla uyumlu
• Arşiv ortamında erişim kısıtlı ve loglanıyor
• Anonimleştirilen veri setlerinin yeniden tanımlanma riski test edilmiş
• Test ortamlarında maskelenmiş veri kullanılıyor
• Eski donanımlar belgelenmiş güvenli silme veya fiziksel imha sürecinden geçiyor
• İlgili kişilerin silme talepleri 30 gün içinde sonuçlandırılıyor

Hukuki saklama sürelerinin belirlenmesinde hukuk danışmanı ve mali müşavir; envanterin sistem tarafı, arşiv altyapısı, otomasyon ve güvenli imha konularında ise BT ortağı desteği en çok fayda sağlayan noktalardır.

Sonuç

Saklama ve imha politikası kâğıt üzerinde kaldığında değil, sistemlere işlendiğinde değer kazanır. Doğru arşiv altyapısı, otomatik imha kuralları ve gerçek anonimleştirme teknikleriyle hem uyum yükünüzü hafifletir hem de olası bir ihlalde etkilenecek veri miktarını küçültürsünüz. Ümraniye Bilişim olarak IT danışmanlık hizmetlerimiz kapsamında veri envanterinizin sistem tarafını çıkarıyor, arşiv ve yedek altyapınızı politikanızla uyumlu hâle getiriyor ve periyodik imhayı otomatikleştiriyoruz. Mevcut durumunuzu konuşmak için ücretsiz ön görüşme talep edebilirsiniz.