Selin ÖZBEK CITTONE Avukat / Yönetici Ortak
Batuhan AYTAÇ Avukat
[email protected]
10 Kasım 2017
A-
A+
6698 sayılı ve 7 Nisan 2016 gün ve 29677 sayılı Resmî Gazete yayımlanmış olan Kişisel Verilerin Korunması Kanunu’nun (“Kanun”) 7. maddesinde kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesini düzenlemektedir. Kanun’un yürürlüğe girdiği tarihten 28 Ekim 2017 tarihine kadar kişisel verileri işleyenler ve veri sorumluları açısından oldukça önemli olan bu konunun nasıl uygulanacağı belirsizdi. Zira Kanun’un 7. maddesi veri sorumlusunun kişisel verileri, silme, yok etme ve anonim hale getirme yükümlülüğünün olduğunu düzenlemekle birlikte bu yükümlülüğünü nasıl gerçekleştireceği konusuna kanun metninde yer vermeyerek bu konuda düzenlenecek yönetmeliğe yönlendirmekteydi. Bu yönetmeliğe ilişkin ilk çalışma olan “Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik Taslağı” (“Taslak”), 29 Mayıs 2017 tarihinde kamuoyu görüşüne sunuldu. Kamuoyundan gelen görüşler ve uluslararası mevzuat dikkate alınarak nihai hale getirilen “Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik” (“Yönetmelik”), 28 Ekim 2017 tarihli Resmî Gazete’de yayımlanmıştır ve 1 Ocak 2018 tarihinde yürürlüğe girecektir.
Yönetmelik ile birlikte veri sorumlusuna birtakım yükümlülükler getirildi.
YÖNETMELİK KAPSAMINDA VERİ SORUMLUSUNUN YAPMASI GEREKENLER NELERDİR?
KİŞİSEL VERİ İMHA VE SAKLAMA POLİTİKASI
Yönetmelik’in 5. maddesi, Kanunun 16. maddesi uyarınca veri sorumluları siciline (“Sicil”) kayıt olmakla yükümlü olan veri sorumlularını, kişisel veri işleme envanterine uygun olarak kişisel veri saklama ve imha politikası hazırlamakla yükümlü tutmaktadır.
Kişisel veri işleme envanterinde yer alması gereken unsurları, Yönetmelik’in 4. maddesinin (e) bendinde yer alan tanımdan yola çıkarak aşağıdaki şekilde sıralayabiliriz:
Her ne kadar Veri Sorumluları Sicili Hakkında Yönetmelik Taslağı’nda da kişisel veri işleme envanteri tanımına yer verilse de söz konusu yönetmelik henüz yürürlükte olmadığından halihazırda yürürlükte olan Yönetmelik’te yer alan tanımına itibar edilmesi gerekecektir.
Sicil henüz kurulmamıştır. Sicil’in kuruluşu ve kayıtların başlangıcı Kişisel Verileri Koruma Kurumu tarafından ilan edilecektir.
Yönetmelik’in 6. maddesi uyarınca, düzenlenecek kişisel veri saklama ve imha politikasının aşağıdaki unsurları içermesi gerekmektedir:
Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından belirlenecek olan kriterler uyarınca Sicil’e kayıt yükümlülüğü olmayan veri sorumlularının, her ne kadar bir politika hazırlama yükümlülükleri olmasa da, işledikleri verileri kanuna uygun şekilde saklama, silme, yok etme veya anonim hale getirme yükümlülükleri vardır.
SİLME, YOK ETME VEYA ANONİM HALE GETİRME (İMHA)
Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi eylemleri genel olarak “imha” olarak adlandırılmıştır.
Bu sorumluluk, Sicil’e kayıt yükümlülüğü olmayanlar ve kayıt yükümlülüğü olup Kişisel Veri Saklama ve İmha Politikası hazırlamış olanlar dahil bütün veri sorumlularını kapsamaktadır.
İmhaya ilişkin bütün işlemler kayıt altına alınır ve bu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere, üç yıl boyunca saklanır. Daha önce Taslak’ta yer almayan bu düzenleme Yönetmelik’e eklenmiştir.
Veri sorumlusu, ayrıca, imha işlemiyle ilgili uyguladığı yöntemleri ilgili politika ve prosedürlerinde açıklamakla yükümlüdür.
KİŞİSEL VERİLERİN SİLİNMESİ NEDİR?
Kişisel verilerin silinmesi, Yönetmelik’te, kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi olarak tanımlanmıştır. Buradaki “ilgili kullanıcı” tabiri, kişisel verilerin silinmesini yok edilmesinden ayırmaktadır. İlgili kullanıcı, Yönetmelik’te, verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişiler olarak tanımlanmıştır. Dolayısıyla kişisel verilerin silinmesi durumunda, kişisel veri tamamen ortadan kaldırılmamaktadır.
Silinme durumunda verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birimlerin veriler üzerinde sahip olacağı yetkiler açıkça düzenlenmemiştir. Ancak Kurul’un yayınlayacağı kılavuzlar ile bu konuya da açıklık getireceğini umuyoruz.
Taslak’ın “Kişisel verilerin silinmesi” başlıklı 8. maddesinin 3. fıkrasında kişisel verilerin silinmiş sayılacağı durumlar düzenlenmişti. Yönetmelikte bu fıkra kaldırılmıştır.
KİŞİSEL VERİLERİN YOK EDİLMESİ NEDİR?
Kişisel verilerin yok edilmesi, Yönetmelik’te, kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi olarak tanımlanmıştır.
Taslak’ta yok etme, “bilgilerin saklandığı veri saklamaya elverişli tüm fiziksel kayıt ortamlarının tekrar geri getirilemeyecek ve kullanılamayacak hale getirilmesi” olarak tanımlanmışken, Yönetmelik’in nihai halinde kapsam genişletilmiş ve yalnızca fiziksel kayıt ortamı ile sınırlı kalmayarak kişisel verilere her türlü erişimin ve verilerin herhangi bir şekilde kullanılmasının engellenmesi gerekliliği düzenlenmiştir.
KİŞİSEL VERİLERİN ANONİM HALE GETİRİLMESİ NEDİR?
Kişisel verilerin anonim hale getirilmesi, kişisel verilerin “başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi” olarak tanımlanmıştır. Yönetmelik, buna ek olarak, kişisel verilerin anonim hale getirilmiş olması için; kişisel verilerin, veri sorumlusu, alıcı veya alıcı grupları tarafından geri döndürme ve verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesinin gerektiğini düzenlemiştir.
2016/679 sayılı Avrupa Birliği Kişisel Veri Yönetmelik’i (General Data Protection Regulation) (“GDPR”), anonim verileri, kişilerle hiçbir şekilde ilişkilendirilemeyecek veriler olduğu için kişisel veri olarak değerlendirmemekte ve kapsamından çıkarmaktadır. GDPR yeni bir kavram olarak “pseudonymisation” tanımını kullanmakta ve özetle “ek bilgiler kullanılmadan bir kişiyle ilişkilendirilemeyecek hale getirilmesi” yöntemini düzenlemektedir. Ancak “pseudoynmisation”ın tam olarak yerine getirilmesi için kişilerle ilişkilendirmeye yol açacak ek bilgilerin ayrı tutulması gerektiği ve ilişkilendirilmeye sonuç vermemek için tüm teknik ve organizasyonel önlemlerin alınması gerektiğini belirtmektedir.
Yönetmelik, verinin kişiyle hiçbir şekilde ilişkilendirilemeyecek hale getirilmesine ve kişisel verileri elde eden alıcı grupların, geri döndürme yoluyla veya verileri başka verilerle eşleştirerek ilişkilendirme yapamaması kıstasına yer vererek, anonim hale getirmeyi ancak muhtemel bütün ilişkilendirmelerin ortadan kalktığı durumda mümkün kılmıştır.
Mevcut teknolojik gelişmeler, makul eylemler ve veri sorumlusunun imkanları gibi durumlar, bir kişisel verinin o kişiyle hiçbir şekilde ilişkilendirilememesi durumunu yaratamayabilir. Böyle bir durumda, anonimleştirme yapılamaması suretiyle bilgi dolaşımı engellenerek, kamu yararı güden araştırmaların önü kesilebilecektir.
Bu sebeple, Kurul’un, anonimleştirme durumlarında kamu yararı ile veri sahiplerinin menfaat dengesini gözeterek yayınlayacağı kılavuzlarda bu konuya da netlik getirmesi yararlı olacaktır.
KİŞİSEL VERİLERİN RESEN İMHASI NE ZAMAN YAPILIR?
Kişisel verilerin resen imhası, kişisel veri saklama ve imha politikası hazırlamış olan veri sorumluları için, imha yükümlülüğünün ortaya çıktığı tarihi takip eden ilk periyodik imha işleminde gerçekleştirilir.
Kişisel veri imha yükümlülüğü, kişisel verilerin işlenme şartlarının tamamının ortadan kalkması halinde ortaya çıkar. Bu durumun ortaya çıktığını takip eden kişisel veri saklama ve imha politikasında belirlenecek olan ilk periyodik imha tarihinde, imha işleminin gerçekleşmesi gereklidir. Periyodik imhanın gerçekleştirileceği zaman aralığı en fazla altı ayda bir olabilir. .
Sicil’e kaydolma ve dolayısıyla kişisel veri saklama ve imha politikası hazırlama yükümlülükleri olmayan veri sorumlusu ise imha işlemini, yükümlülüğün ortaya çıkığı tarihi takip eden üç ay içinde yerine getirmelidir.
Ancak Kurul, telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık olması halinde süreleri kısaltabilmektedir.
Kurul kararı olmadıkça, veri sorumlusu tarafından uygun görülen imha işlemi seçilir. Taslak’ta imha işlemlerinden hangisinin uygulanacağı konusundaki seçimlik hakkın kime ait olduğu belirsizdi. Yönetmelik ile bu duruma açıklık getirilmiştir.
BİR KİŞİNİN KENDİSİNE AİT KİŞİSEL VERİLERİN İMHASINI TALEP ETMESİ DURUMUNDA NE YAPILACAKTIR?
Kişisel verilerin, ilgili kişinin talebi üzerine imhası, Google Spain v AEPD and Mario Costeja González davası sonrası ortaya çıkan “unutulma hakkı”nın (right to be forgotten) yansımasıdır. Bu konuda yıllardır süregelen tartışmalar sonucu bu hak “sildirme hakkı” (right to erasure) olarak GDPR’a geçmiştir. Bu hakka Yönetmelik’in 12. maddesinde “ilgili kişinin talep etmesi durumunda silme ve yok etme” olarak yer verilmektedir.
Buna göre ilgili kişi, kendisine ait kişisel verilerin silinmesi veya yok edilmesini talep ettiğinde;
Yönetmelik’in 7. maddesi uyarınca, veri sorumlusu ilgili kişinin istediği imha yöntemini uygulamak zorunda değildir; ancak seçtiği yöntemin gerekçesini açıklamak zorundadır.
Bu durumda da verilerin aktarıldığı üçüncü kişinin talebinin, şartların ortadan kalktığı durumdan itibaren en geç 30 gün içinde sonuçlandırılması gerekir. Ancak Yönetmelik, veri sorumlusuna “temin etme” yükümlülüğü getirmektedir. Yönetmelik’te yalnızca “temin etme” olarak belirtilen yükümlülüğün kapsamı belirtilmemiştir ve belirsiz kalmaktadır. Bu belirsizliğin Kurul tarafından giderilmesi gerektiği kanaatindeyiz. Ancak mevcut durumda veri sorumlusunun üçüncü kişinin söz konusu imhayı gerçekleştirmesini sağlaması şeklinde ilerlenmesini tavsiye ederiz; sadece bilgilendirmek yeterli olmayacaktır. Yine de birden çok üçüncü kişiye aktarılmış olan verilerin (arama motoru verisi, haber gibi) bütün üçüncü kişiler tarafından imha edilmesini sağlama yükümlülüğü veri sorumlusu için ciddi külfet yaratabilecektir. Bu sebeple “temin etme” yükümlülüğünün Kurul tarafından ilgili olayın koşullarına göre, hakkaniyete uygun olarak yorumlanması gerekmektedir.
Oysa ki, GDPR, veri sorumlusunun kamuya açtığı verileri işleyen üçüncü kişilere, işlem maliyetini ve mevcut teknolojiyi göz önüne almak suretiyle makul adımlar atarak ve teknik önlemler alarak, üçüncü kişileri, ilgili kişisel veriyi, tüm kopyalarını ve linklerini imha etmeleri konusunda bilgilendirme yükümlülüğü getirmektedir. Buradaki yükümlülük temin etme yükümlülüğünden ziyade makul adımları ve mevcut teknolojiyi göz önünde bulundurarak yapılan bir bilgilendirme yükümlülüğüdür.
Başvurusu red edilen ilgili kişinin, Kanun’un 14. Maddesi uyarınca red cevabını öğrendiği tarihten itibaren 30 gün veya başvuru tarihinden itibaren 60 gün içinde Kurul’a şikâyet hakkı saklıdır. Eğer Kurul bir ihlalin varlığını tespit ederse, veri sorumlusunun Kurul’un kararının tebliğinden itibaren en geç 30 gün içinde kararı yerine getirmesi gereklidir.
BELİRSİZ DURUMLAR NASIL ÇÖZÜLECEK?
Yönetmelik’in Tereddütlerin giderilmesi” başlıklı 13. Maddesi çerçevesinde, Yönetmelik’in uygulanması sırasında doğacak tereddütler ve uygulamaya ilişkin aksaklıkların Kurul tarafından giderilmesi düzenlenmiştir. Bu sebeple kişisel verilerin imhasına ilişkin veri sorumlularının doğru yönlendirilmesi ve uyum projelerinin sağlıklı bir şekilde tamamlanabilmesi için Kurul’un en kısa zamanda yayınlayacağı kılavuzlar ve ikincil mevzuat ile uygulamayı şekillendirmesi beklenmektedir.
***
Yayınlara dön