Kişisel Verilerin Silinmesi, Anonim Hale Getirilmesi, Yok Edilmesi

Kişisel verilerin silinmesi, anonim hale getirilmesi veya yok edilmesi, Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) önemli bir gerekliliğidir. Ancak bu işlemler bir dizi normatif kurala tabidir. KVKK’nın öngördüğü usul ve esaslar doğrultusunda hareket edilmesi gerekmektedir. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, bu konuda detaylı düzenlemeler içermektedir. Bu düzenlemelerin amacı, kişisel verilerin güvenli ve doğru bir şekilde işlenmesini sağlamaktır. Bu makalede, kişisel verilerin silinmesi, anonim hale getirilmesi ve yok edilmesi süreçleri ile ilgili önemli noktalara değinilecektir.

Kişisel Verileri Silme veya Anonim Hale Getirme

KVKK m.7/3’de kişisel verilerin silinmesine, yok edilmesine veya anonim hale getirilmesine ilişkin usul ve esasların yönetmelikle düzenleneceği ifade edilmiştir. Bu düzenleme ile Kurul tarafından Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) hazırlanmış ve 28 Ekim 2017 tarihli Resmî Gazete’de yayımlanmıştır.

Yönetmelik m.8’de kişisel verilerin silinmesi deyiminden “kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi” işleminin anlaşılacağı düzenlenmiştir. Bu tanımdan hareketle önce silinecek kişisel veri belirlenmeli, sonrasında kişisel veriye erişimi olan ilgili kullanıcılar ve kullanıcıların erişim yöntemleri tespit edilmeli ve verilere ilgili kullanıcıların erişimi kaldırılarak silme işlemi tamamlanmalıdır.

Günlük dildeki silme deyimi ile kanuni anlamda silme deyimini karıştırmamak gerekir. Günlük dilde kullanılan silme ile ortadan kaldırma eyleminden bahsedilirken, Yönetmelikte düzenlenen kişisel verilerin silinmesi deyiminden, veriye erişimi olan ilgili kullanıcının erişim yetkisinin kaldırılması anlaşılacaktır.

Kişisel verilerin anonim hale getirilmesi Yönetmelik m.10’da “kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi” işlemi olarak düzenlenmiştir. Bu tanımdan hareketle anonim hale getirmenin, işlenen kişisel verinin kimliksizleştirilmesi işlemi anlaşılmaktadır. Anonim hale getirme işlemi ile kimlikli kişisel veriler geri döndürülemez bir biçimde gerçek kişiyle ilişkilendirilmeyecek forma sokulmalıdır.

Her iki halde de veri sorumlusu, işlemlere yönelik gerekli teknik ve idari tedbirleri almakla yükümlüdür.

Kişisel Verileri Yok Etme

Kişisel verilerin yok edilmesi, kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemidir.

Kişisel verilerin yok edilmesi ile silinmesi deyimleri karıştırılmaması gereken iki ayrı kavramlardır. Yok edilme ile, kişisel veriler hiç kimse tarafından hiçbir şekilde geri getirilemez olarak kullanılamaz hale getirilirken; silme işleminde ancak ilgili kullanıcının kişisel veriye erişim yetkisi ortadan kaldırılmaktadır.

Elektronik ortamda tutulan kişisel verilere ilişkin de-manyetize etme, fiziksel yok etme, üzerine yazma gibi yok etme metotları uygulanmaktadır. Elektronik olmayan ortamlarda tutulan kişisel veriler ise standart olarak yakma, yırtma, parçalama vs. metotlarla yok edilebilecektir.

Ancak elektronik ortamlarda tutulan kişisel verilerin yok edil(e)mesi sorununa da değinmek gerekir. Malum teknolojik gelişmeler ve gereklilikler dolayısıyla günümüzde verilerin elektronik ortamda işlenmesi yaygındır. Fakat elektronik ortamda tutulan verilere yönelik ilgili kişinin yok etme talebinin ifası son derece zordur. Çünkü elektronik olarak disklerde tutulan veriler, disklerde dağınık şekilde bulunur. Bir diskin kapasitesi günümüz koşullarında yüzlerce ve belki binlerce kişinin kişisel verisini işleyebilecek boyutta olacaktır. Bu yönüyle diskte dağınık halde bulunan bir kişisel verinin, ilgili kişi tarafından yok edilmesi talebinde bulunulması halinde yok etmek ancak iki halde mümkündür.

İlki, ilgili kişinin kişisel verileri dışındaki diğer veriler yeni üretilmiş (sıfır) başka bir diske aktarılmalı ve eski disk yukarıdaki metotlarla imha edilmelidir.

İkinci hal ise yok etme talep eden ilgili kişinin isteği doğrultusunda diskte yer alan diğer verilerden de vazgeçilerek diskin tamamının yok edilmesi ile mümkündür. Çünkü teknik anlamda disklerde bir yok etmeden bahsedebilmek için diskin tamamının yakılması/de-manyetize edilmesi/fiziksel olarak yok edilmesi gerekir. Bu yönüyle ilgili kişinin yok etme talebinin ifası veri sorumlusuna çok ciddi bir mali külfet ve hatta veri büyüklüğüne göre teknik imkânsızlık hali doğuracaktır. İşte ifade ettiğimiz bu hususlardan dolayı Yönetmelik’te veri sorumlusuna “gerekçeli yöntem seçme hakkı” tanındığını düşünmekteyiz. Bu hak Yönetmelik m.7/5’de “Veri sorumlusu, Kurul tarafından aksine bir karar alınmadıkça, kişisel verileri resen silme, yok etme veya anonim hale getirme yöntemlerinden uygun olanını seçer. İlgili kişinin talebi halinde uygun yöntemi gerekçesini açıklayarak seçer.” şeklinde yer almıştır.

Veri sorumlusuna bahşedilen bu hak ile yukarıdaki gibi sorunların yaşanmasının önüne geçilerek uygun yöntemi seçme imkânı getirilmiştir. Fakat bu düzenlemenin, kişisel verilerinin geleceğini belirleme hakkını haiz ilgili kişi bakımından sınırlayıcı nitelikte olduğunu söylemek gerekir.

Ayrıca işletim sistemleri üzerinden yapılan silme (delete) işlemleri yok etme sayılamayacaktır. Sanılanın aksine sistem üzerinde kişisel veri yok edilmiş gözükse de disk üzerinde halen o kişisel veri dağınık biçimde barınmaktadır. Yok edildiği sanılan kişisel veri teknik birtakım araçlarla geri döndürülebilecektir. Fakat yönetmelik lafzında da belirtildiği üzere yok etmenin geri döndürülemez biçimde olması gerekir. Bu nedenle kişisel veri işleme sonrası verilerin akıbeti noktasında kişisel verilerde açık rıza alınmış olsa dahi bu gibi unsurlara da dikkat etmek gereklidir.