1. Amaç
Bu prosedürün amacı; bilginin elde edilmesi, işlenmesi ve saklanmasında kullanılan tüm basılı ve yazılı içerik, bilgi teknolojileri varlıkları ve çevre birimlerinin gerekli durumlarda güvenli ve 6698 sayılı Kişisel Verilerin Korunması Hakkında Kanun'a uygun bir şekilde imha edilmesini sağlamaktır.
2. Kapsam
Prosedür tüm kişisel, ticari veri kayıtlarını ve iş süreçlerini kapsar.
3. Tanımlar
Kanun: 6698 sayılı "Kişisel Verilerin Korunması" kanununu ifade eder.
Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade eder. Bir kişinin belirli veya belirlenebilir olması, mevcut verilerin herhangi bir şekilde bir gerçek kişiyle ilişkilendirilmesi suretiyle o kişinin tanımlanabilir hâle getirilmesini ifade eder.
Karartma: Kişisel verilerin bütününün, kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek şekilde üstlerinin çizilmesi, boyanması ve buzlanması gibi işlemleri ifade eder.
Kayıt ortamı: Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortamı ifade eder.
Kişisel veri saklama ve imha politikası: Veri sorumlularının, kişisel verilerin işlendikleri amaç için gerekli olan azami süreyi belirleme işlemi ile silme, yok etme ve anonim hâle getirme işlemi için dayanak yaptıkları politikayı ifade eder.
Maskeleme: Kişisel verilerin belli alanlarının, kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek şekilde silinmesi, üstlerinin çizilmesi, boyanması ve yıldızlanması gibi işlemleri ifade eder.
Özel Nitelikli Kişisel Veri: Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verilerdir.
Periyodik imha: Kanunda yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda, kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla resen gerçekleştirilecek silme, yok etme veya anonim hâle getirme işlemidir.
4. Referanslar
6698 sayılı Kişisel Verilerin Korunması Kanunu ve 30224 sayılı 28.10.2018 tarihli Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik.
5. Uygulama
5.1. Varlıkların İmhası
Kişisel verilerin işlenmesine yönelik amaç unsurunun ortadan kalkması, açık rızanın geri alınmış olması veya Kanun'un 5. ve 6. maddelerinde yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması ya da adı geçen maddelerdeki istisnalardan hiçbirinin uygulanamayacağı bir durumun söz konusu olması hâlinde; işlenme şartları ortadan kalkan kişisel veriler, ilgili iş birimi tarafından, iş ihtiyaçları göz önüne alınarak, Yönetmeliğin 7., 8., 9. veya 10. maddeleri kapsamında, uygulanan yöntemin gerekçesi de açıklanmak suretiyle silinir, yok edilir veya anonim hâle getirilir. Ancak kesinleşmiş bir mahkeme kararının söz konusu olması hâlinde mahkeme kararı ile hükmedilen imha yöntemi uygulanmak zorundadır.
Bilgi kayıt özelliğine sahip her türlü cihazın üzerindeki bilgiler yetkisiz erişime karşı silinir ve cihaz üzerindeki disk ve kayıt mekanizması fiziksel olarak tahrip edilir. Ortam/Cihaz İmha Tutanağı bilgi sistemleri operatörü tarafından doldurulur ve imzalanır. Tarih, cihaz bilgisi, imha sebebi vb. bilgiler girilerek imha işlemi kayıt altına alınır.
Verilerin Silinmesi Yöntemleri
- Kâğıt ortamında bulunan kişisel veriler: Kâğıt öğütücü ile imha edilerek ya da gerekli durumlarda karartma yöntemi kullanılarak silinmektedir.
- Merkezi sunucuda yer alan ofis dosyaları: İşletim sistemindeki silme komutu ile silinir.
- Taşınabilir medyada bulunan veriler: İşletim sistemindeki silme komutu ile silinir.
- Veri tabanları: Verilerin bulunduğu ilgili satırlar veri tabanı komutları ile silinir.
Varlıkların ve Verinin Yok Edilmesi Yöntemleri
a. Yerel sistemlerde: De-manyetize etme, fiziksel yok etme veya üzerine yazma yöntemlerinden uygun olanı kullanılarak yok edilir.
b. Çevresel sistemler:
- Ağ cihazları (switch, router vb.): (a) maddesinde belirtilen uygun yöntemler ile yok edilir.
- Flash tabanlı ortamlar: İlgili üreticinin önerdiği yöntemler ya da (a) maddesinde belirtilen yöntemler ile yok edilir.
- Manyetik bant: De-manyetize ederek ya da yakma, eritme gibi fiziksel yöntemlerle yok edilir.
- SIM kart ve sabit hafıza kartları: (a) maddesinde belirtilen uygun yöntemler ile yok edilir.
- Optik diskler: Yakma, küçük parçalara ayırma, eritme gibi fiziksel yöntemlerle yok edilir.
- Veri kayıt ortamı sabit olan çevre birimleri: (a) maddesinde belirtilen uygun yöntemler ile yok edilir.
c. Basılı ortamlar: Kâğıt imha makineleri kullanılarak yok edilir. Orijinal kâğıt formattan tarama yoluyla elektronik ortama aktarılan kişisel veriler ise bulundukları ortama göre uygun yöntemlerle yok edilir.
Kişisel Verilerin Anonim Hâle Getirilmesi Yöntemleri
Kişisel verilerin anonim hâle getirilmesi aşamasında, Kişisel Verileri Koruma Kurumu'nun yayınladığı "Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Rehberi"nde gösterilen yöntemlerden uygun olanı kullanılır.
Periyodik gözden geçirmeler neticesinde veya herhangi bir anda veri işleme şartlarının ortadan kalkmış olduğu tespit edildiğinde, ilgili kullanıcı veya veri sahibi, ilgili kişisel verinin kendi bünyesinde bulunan kayıt ortamından işbu politikaya göre silinmesine, yok edilmesine veya anonim hâle getirilmesine karar verecektir. Tereddüt duyulan durumlarda ilgili veri sahibi iş biriminden görüş alınarak işlem yapılacaktır.
Verilerin imha edilmesinde Devlet Arşivleri Genel Müdürlüğünün yayınladığı, saklama sürelerini belirten yönetmelik dikkate alınır. Birim arşivinde, kurum arşivinde veya Devlet Arşivlerinde olması gereken süreler dolduktan sonra, imha edilmesinde sakınca olmayan veriler imha edilmektedir.
5.1.1. Çok Paydaşlı Verilerin İmhası
Merkezi bilgi sistemlerinde yer alan, çok paydaşlı veri sahipliği bulunan kişisel verilerin imhasına yönelik karar alınması gerektiğinde, Veri Sorumlusu Temsilcisi görüşü alınarak ve söz konusu kişisel veri hakkında işbu politikaya göre verinin saklanmasına veya silinmesine, yok edilmesine veya anonim hâle getirilmesine karar verilir.
5.1.2. Veri Sahibi Talebi Üzerine Kişisel Verilerin İmhası
Kişisel verinin sahibi gerçek kişi, Kanun'un 13. maddesine istinaden "Kişisel Veri Sahibi Başvuru Formu" ile şirketimize başvurarak kendisine ait kişisel verilerin silinmesini, yok edilmesini veya anonim hâle getirilmesini talep ettiğinde, başvuru tarihinden itibaren en geç otuz gün içinde sonuçlandırılır. Kişisel verilerin silinmesi ya da yok edilmesine yönelik talepler ancak ilgili kişinin kimlik tespitinin yapılmış olması kaydıyla değerlendirilecektir. Başvuru yapan kişisel veri sahibine, başvuru formunda belirlenen yöntemler aracılığıyla bilgi verilir.
Yasal gereklilikler nedeniyle işleme şartları kalkmadıysa, talebe konu kişisel verilerin silinemeyeceği veri sahibine beyan edilir. İlgili verinin işlendiği birim, kişisel verileri işleme şartlarının tamamının ortadan kalkıp kalkmadığını inceler. İşleme şartlarının tamamı ortadan kalkmışsa, talebe konu kişisel verileri en geç üç ay içerisinde siler, yok eder veya anonim hâle getirir. Kişisel verileri işleme şartlarının tamamı ortadan kalkmış ve talebe konu kişisel veriler üçüncü kişilere aktarılmışsa, ilgili verinin işlendiği birim bu durumu derhâl aktarım yapılan üçüncü kişiye bildirir ve üçüncü kişi nezdinde Yönetmelik kapsamında gerekli işlemlerin yapılmasını temin eder.
5.2. Kişisel Verilerin Periyodik Gözden Geçirmesi
Kişisel veriyi işleyen ya da saklayan tüm kullanıcılar ve veri sahibi birimler, işlemeyle ilgili şartların ortadan kalkıp kalkmadığını en geç altı aylık periyotlar içerisinde kullandıkları veri kayıt ortamlarında gözden geçireceklerdir. Kişisel veri sahibinin başvurusu veya bir mahkemenin bildirimi üzerine, ilgili kullanıcı ve birimler periyodik denetleme süresine bakmaksızın kullandıkları veri kayıt ortamlarında bu gözden geçirmeyi yapacaklardır. Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesiyle ilgili yapılan bütün işlemler kayıt altına alınır ve söz konusu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az üç yıl süreyle saklanır.
Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesinde; Kanun'un 4. maddesindeki genel ilkeler ile 12. maddesi kapsamında alınması gereken teknik ve idari tedbirlere, ilgili mevzuat hükümlerine, Kurul kararlarına ve mahkeme kararlarına uygun hareket edilmektedir.
5.3. Kişisel Verilerin Saklanması
Kişisel verilerin işlenme süreleri "Kişisel Veri İşleme Envanteri" içerisinde belirtilmiştir. Periyodik imha ya da talep üzerine gerçekleştirilecek imha işlemlerinde söz konusu saklama ve imha süreleri dikkate alınacaktır. Saklama ve imha süreçleri, yasal bir zorunluluk olmadığı sürece veri sahibinin talebi üzerine değişkenlik gösterebilir.
Kişisel veri güvenliğinin sağlanması için; kişisel veri içeren kâğıt ortamındaki evraklar ile CD, DVD ve USB gibi cihazların kullanılmadığı zamanlarda kilit altında tutulması, sadece yetkili personelin erişmesi ve giriş çıkışların kamera ile izlenmesi gibi fiziksel güvenliğe ilişkin önlemler alınmıştır. Dijital ortamda tutulan kişisel verilerin bulunduğu sunucular, şirketimizin sistem odasında gerekli güvenlik önlemleri alınmış şekilde saklanmaktadır.
Kişisel verilerin güvenliğinin sağlanması için alınan idari ve teknik tedbirler, detaylı olarak Kişisel Verilerin İşlenmesi ve Korunması politikasında yer almaktadır.
6. Kontrol
Dokümanlar ihtiyaç hâlinde revize edildiği gibi, yılda bir kez periyodik olarak kontrol edilir.