KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ VEYA ANONİM HALE GETİRİLMESİ HAKKINDA YÖNETMELİK KAPSAMIND

Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) 28.10.2017 tarihli ve 30224 sayılı Resmi Gazete’de yayımlanarak yürürlüğe girmiştir. Yönetmelik, 6698 sayılı Kişisel Verilerin Korunması Kanunu tarafından düzenlenmesi yönetmeliğe bırakılmış olan kişisel verilerin silinmesine, yok edilmesine veya anonim hâle getirilmesine ilişkin usul ve esasları düzenlemektedir.

Yönetmelik’te bir takım tanımlar yapılmış; Alıcı Grubunun Veri Sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisini; İlgili Kullanıcının verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişileri; İmhanın kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesini; Kayıt Ortamının tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortamı; Kişisel Veri İşleme Envanterinin Veri Sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel verileri işleme faaliyetlerini, kişisel verileri işleme amaçları, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami süreyi, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanterini; Kişisel Veri Saklama ve İmha Politikasının Veri Sorumlularının kişisel verilerin işlendikleri amaç için gerekli olan azami süreyi belirleme işlemi ile silme, yok etme ve anonim hale getirme işlemi için dayanak yaptıkları politikayı; Periyodik İmhanın Kanun’da yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla re’sen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemini tanımladığı belirtilmiştir.

Yönetmelik, 6698 sayılı Kanun kapsamında kişisel verilerin işlenmesine ilişkin usul ve esasları düzenlemek bir yana, Kanun’da yer almayan “Kişisel Veri Envanteri” hazırlanması ve denetiminin yapılmasından Veri Sorumlularının yükümlü olduğuna açıklık getirmiştir. Yönetmelik’in 7. maddesi, kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesiyle ilgili yapılan bütün işlemlerin kayıt altına alınacağını ve söz konusu kayıtların, diğer hukuki yükümlülükler hariç olmak üzere en az 3 (üç) yıl süreyle saklanacağını düzenlemektedir. Veri Sorumlusu Yönetmelik kapsamında silme, yok etme ve anonim hale getirme işlemleri ile ilgili gerekli her türlü teknik ve idari tedbirleri almakla yükümlü kılınmıştır.

Veri Sorumlusu, kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesi işlemiyle ilgili uyguladığı yöntemleri ilgili politika ve prosedürlerde açıklamakla yükümlü olacaktır.

Yönetmelik kapsamında kişisel veri saklama ve imha politikası hazırlamış olan Veri Sorumlusu, imha etme yükümlülüğünün ortaya çıktığı tarihi takip eden ilk periyodik imha işleminde; kişisel veri saklama ve imha politikası hazırlama yükümlülüğü olmayan Veri Sorumlusu ise, kişisel verileri imha etme yükümlülüğünün ortaya çıktığı tarihi takip eden 3 (üç) ay içerisinde kişisel verileri imha etmelidir.