Bir şirketin dosya sunucusunu ilk açtığınızda tablo çoğu zaman aynıdır: yıllar önce işten ayrılmış birinin özgeçmişi, çoktan sonuçlanmış bir kampanyanın katılım formları, artık çalışmadığınız bir tedarikçinin irtibat listesi. Hiçbiri silinmemiştir; hepsi "lazım olur belki" diye durur. Bu refleks masum görünür, oysa hukuken bir tercih değildir. Süresiz saklama bir güvenlik yastığı değil, başlı başına bir ihlaldir.
Her kategoriye bir süre
Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik çerçeveyi net kurar: kişisel veri, işlenme amacının gerektirdiği süre boyunca ve ilgili mevzuatta öngörülen süreler dikkate alınarak saklanır. Amaç ortadan kalktığında, veriyi tutmanın hukuki dayanağı da kalkar. O noktada veri ya silinir, ya yok edilir ya da anonim hale getirilir; bunlar birbirinin yerine geçen değil, farklı yöntemlerdir. Doğru refleks, "hangisini ne zaman" sorusunu her veri kategorisi için önceden yanıtlamaktır.
- Çalışan verisi, müşteri verisi, aday başvurusu, ziyaretçi kaydı — her biri ayrı bir amaca ve ayrı bir süreye bağlanır.
- Süre, keyfi bir tahmin değil; işleme amacı ve mevzuattaki süreler birlikte değerlendirilerek belirlenir.
Pratik test: rastgele bir veri kaydını seçin ve tek soruyu sorun — "Bunu bugün neden hâlâ tutuyorum ve ne zaman sileceğim?" Yanıtı somut bir tarihe veya olaya bağlayamıyorsanız, o kaydın saklama süresi tanımsız demektir; tanımsız süre de süresiz saklamadır.
İmha bir ritim ister
Saklama süresini belirlemek tek başına yetmez; süre dolduğunda verinin gerçekten yok olması gerekir. Saklama ve imha politikası hazırlamakla yükümlü veri sorumluları için periyodik imha en geç altı aylık aralıklarla yapılır. Bu, takvime bağlı bir bakım işidir: her dönem, süresi dolan kayıtlar sistemli biçimde ayıklanır ve uygun yöntemle imha edilir. İmha kararı da kayıt altına alınır; neyin, ne zaman, hangi yöntemle yok edildiği takip edilebilir olmalıdır. Bir kez yapılan temizlik değil, tekrar eden bir ritimdir.
Aydınlatma ve formlar da aynı politikaya tabidir
Saklama süreleri yalnızca arka ofis meselesi değildir; ilgili kişiye de anlatılır. 6698 sayılı KVKK'nın aydınlatma yükümlülüğü kapsamında, hangi verinin ne kadar saklanacağına ilişkin bilgilendirme beklenir ve bu süreler her veri kategorisi için ayrı belirlenir. Web sitenizdeki iletişim veya başvuru formundan gelen veri de bu kuralın dışında değildir: forma yazılan her satır aynı saklama ve imha disiplinine girer. Formu kuran ekip ile politikayı yazan ekip farklıysa, çoğu zaman ilk kopan halka burasıdır. Sitenizdeki formların ve aydınlatma metinlerinin saklama süresi kurallarıyla uyumunu Legalitify tek taramada görünür kılar.