Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi

28 Ekim 2017 tarihli ve 30224 sayılı Resmi Gazete'de yayımlanan 'Kişisel Verilerin Silinmesi, Yok Edilmesi Veya Anonim Hale Getirilmesi Hakkında Yönetmelik' (Kısaca 'Yönetmelik') yayımlandı. Bu Yönetmeliğin amacı;, tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin usul ve esasları belirlemektir.
Bu Yönetmelik'te öngörülen hükümler; 24/3/2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanununun (kısaca Kanun') 7 nci maddesi uyarınca veri sorumluları (gerçek ve tüzel kişiler) hakkında uygulanır.
Bu Yönetmelik hükümleri uyarınca, Veri Sorumluları Siciline kayıt olmakla zorunlu olan veri sorumlularının aşağıda belirtilen yükümlülükleri bulunmaktadır:
I. Kişisel veri işleme envanterine uygun olarak 'Kişisel Veri Saklama ve İmha Politikası' hazırlamak.
Kişisel veri saklama ve imha politikasının kapsamı, asgari olarak;
a) Kişisel veri saklama ve imha politikasının hazırlanma amacına,
b) Kişisel veri saklama ve imha politikası ile düzenlenen kayıt ortamlarına,
c) Kişisel veri saklama ve imha politikasında yer verilen hukuki ve teknik terimlerin tanımlarına,
ç) Kişisel verilerin saklanmasını ve imhasını gerektiren hukuki, teknik ya da diğer sebeplere ilişkin açıklamaya,
d) Kişisel verilerin güvenli bir şekilde saklanması ile hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi için alınmış teknik ve idari tedbirlere,
e) Kişisel verilerin hukuka uygun olarak imha edilmesi için alınmış teknik ve idari tedbirlere,
f) Kişisel verileri saklama ve imha süreçlerinde yer alanların unvanlarına, birimlerine ve görev tanımlarına,
g) Saklama ve imha sürelerini gösteren tabloya,
ğ) Periyodik imha sürelerine,
h) Mevcut kişisel veri saklama ve imha politikasında güncelleme yapılmış ise söz konusu değişikliğe,
ilişkin bilgileri kapsar.
II. Kişisel verileri re'sen silme, yok etme veya anonim hale getirme yöntemlerinden uygun olanını ilgili kişinin talebi durumunda gerekçesini açıklaşarak seçer.
Veri sorumlusu, kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesi işlemiyle ilgili uyguladığı yöntemleri ilgili politika ve prosedürlerinde (iç yönerge, talimat gibi.) açıklamakla yükümlüdür (Yönetmelik m.4,5).
Veri sorumlusu; ilgili kişinin (kişisel verisi işlenen gerçek kişi) başvurusu üzerine, Yönetmeliğin 12 nci maddesinde belirtilen sürelerde ve içerikte, kendisine ait kişisel verilerin silinmesini veya yok edilmesini gerçekleştirir. gerekçesini açıklayarak seçer.
Veri sorumlularının, üstte belirtilen yükümlülüklerini, Yönetmeliğin yürürlüğe gireceği 1/1/2018 tarihinden önce yerine getirmeleri önerilmektedir.
Kanun'un 7 nci maddesine dayalı olarak hazırlanan Yönetmelik hükümlerine aykırı olarak; kişisel verileri silmeyen veya anonim hale getirmeyen veri sorumluları hakkında 5237 sayılı Türk Ceza Kanununun 138 inci maddesine göre cezalandırılır. İlgili Kanun madde metni aşağıdaki gibidir:
'Verileri yok etmeme
Madde 138 - (1) Kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistem içinde yok etmekle yükümlü olanlara görevlerini yerine getirmediklerinde altı aydan bir yıla kadar hapis cezası verilir.'
Yürekten esenlikler ve en içten saygılarımızı sunarız.28 Ekim 2017 tarihli ve 30224 sayılı Resmi Gazete'de yayımlanan 'Kişisel Verilerin Silinmesi, Yok Edilmesi Veya Anonim Hale Getirilmesi Hakkında Yönetmelik' (Kısaca 'Yönetmelik') yayımlandı. Bu Yönetmeliğin amacı;, tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin usul ve esasları belirlemektir.
Bu Yönetmelik'te öngörülen hükümler; 24/3/2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanununun (kısaca Kanun') 7 nci maddesi uyarınca veri sorumluları (gerçek ve tüzel kişiler) hakkında uygulanır.
Bu Yönetmelik hükümleri uyarınca, Veri Sorumluları Siciline kayıt olmakla zorunlu olan veri sorumlularının aşağıda belirtilen yükümlülükleri bulunmaktadır:
I. Kişisel veri işleme envanterine uygun olarak 'Kişisel Veri Saklama ve İmha Politikası' hazırlamak.
Kişisel veri saklama ve imha politikasının kapsamı, asgari olarak;
a) Kişisel veri saklama ve imha politikasının hazırlanma amacına,
b) Kişisel veri saklama ve imha politikası ile düzenlenen kayıt ortamlarına,
c) Kişisel veri saklama ve imha politikasında yer verilen hukuki ve teknik terimlerin tanımlarına,
ç) Kişisel verilerin saklanmasını ve imhasını gerektiren hukuki, teknik ya da diğer sebeplere ilişkin açıklamaya,
d) Kişisel verilerin güvenli bir şekilde saklanması ile hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi için alınmış teknik ve idari tedbirlere,
e) Kişisel verilerin hukuka uygun olarak imha edilmesi için alınmış teknik ve idari tedbirlere,
f) Kişisel verileri saklama ve imha süreçlerinde yer alanların unvanlarına, birimlerine ve görev tanımlarına,
g) Saklama ve imha sürelerini gösteren tabloya,
ğ) Periyodik imha sürelerine,
h) Mevcut kişisel veri saklama ve imha politikasında güncelleme yapılmış ise söz konusu değişikliğe,
ilişkin bilgileri kapsar.
II. Kişisel verileri re'sen silme, yok etme veya anonim hale getirme yöntemlerinden uygun olanını ilgili kişinin talebi durumunda gerekçesini açıklaşarak seçer.
Veri sorumlusu, kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesi işlemiyle ilgili uyguladığı yöntemleri ilgili politika ve prosedürlerinde (iç yönerge, talimat gibi.) açıklamakla yükümlüdür (Yönetmelik m.4,5).
Veri sorumlusu; ilgili kişinin (kişisel verisi işlenen gerçek kişi) başvurusu üzerine, Yönetmeliğin 12 nci maddesinde belirtilen sürelerde ve içerikte, kendisine ait kişisel verilerin silinmesini veya yok edilmesini gerçekleştirir. gerekçesini açıklayarak seçer.
Veri sorumlularının, üstte belirtilen yükümlülüklerini, Yönetmeliğin yürürlüğe gireceği 1/1/2018 tarihinden önce yerine getirmeleri önerilmektedir.
Kanun'un 7 nci maddesine dayalı olarak hazırlanan Yönetmelik hükümlerine aykırı olarak; kişisel verileri silmeyen veya anonim hale getirmeyen veri sorumluları hakkında 5237 sayılı Türk Ceza Kanununun 138 inci maddesine göre cezalandırılır. İlgili Kanun madde metni aşağıdaki gibidir:
'Verileri yok etmeme
Madde 138 - (1) Kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistem içinde yok etmekle yükümlü olanlara görevlerini yerine getirmediklerinde altı aydan bir yıla kadar hapis cezası verilir.'
Yürekten esenlikler ve en içten saygılarımızı sunarız.