Kişisel Verileri Saklama ve İmha Politikası

Bu kitap([1]), aşağıdaki tabloda dökümü verilen VERİ SORUMLUSU’na ait işyeri ve işletmelerinde Kişisel Verileri Saklama ve İmha Politikası (KVSİ Politikası ) ilkelerini içermektedir. :

DAYANAK, AMAÇ VE KAPSAM

DAYANAK

KİŞİSEL VERİ SORUMLUSU tarafından oluşturulan bu politika KVK Kanunu 7 / 3 f. kapsamında ve yine aynı kanunun 22/1 f. / e bendine istinaden KVK Kurulu tarafından 28.10.2017 tarihli 30224 sayılı RG de yayınlanarak yürürlüğe giren KVSYH Yönetmelik hükümlerine dayanmaktadır.   

AMAÇ

 Bu KVSİ Politikasının amacı, KVK Politikası, KVK Kanunu ve ulusal ve uluslararası hukuki düzenlemelerin gerektirdiği kurallar çerçevesinde kişisel veri işleyicisi ve sorumlusu olan  KİŞİSEL VERİ SORUMLUSU’nun, ilgili kişilere ait kişisel verilerin işlenmesi aşamasından sonra imha edilmesine ilişkin silme, yok etme veya anonim hale getirme faaliyetleri  ilgili bu süreçte KİŞİSEL VERİ SORUMLUSU’nun ve KİŞİSEL VERİ SORUMLUSU   ile iletişim ve etkileşim içerisinde bulunan, hukuki, ticari ve finansal ilişkiler içerisine giren tüm özel ya da kamu kurum kuruluşları ile gerçek ve tüzel kişilerin edimlerini, yükümlülüklerini, sorumluluklarını, uyulacak olan usule ve esasa ilişkin kuralları ve  politikaları belirlemektir.

KAPSAM

 Bu politika, KVK Kanunu başta olmak üzere ulusal ve uluslararası kanun, tüzük, yönetmelik, genelge, düzenleyici ve denetleyici kurum ve kuruluş kararları, direktifler, uluslararası anlaşmalar, sözleşmeler ve  KİŞİSEL VERİ SORUMLUSU ile işbirliği, çözüm ortağı veya her ne isim altında olursa olsun iletişim, etkileşim içinde bulunan üçüncü şahıslar, resmi, gerçek ya da tüzel kişiliğe sahip tüm kişi, kurum ve kuruluşlar, KİŞİSEL VERİ SORUMLUSU’nun ortakları, müşterileri, çalışanları, tedarikçileri, ile yapılan ya da yapılacak olan hukuki, ticari, finansal her türlü sözleşmeler ve sözleşme ekleri çerçevesinde, kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen ve ardından kişisel verilerin işlendikleri amaç için gerekli olan  azami süreyi belirleyerek  kişisel veriyi silme, yok etme veya anonim hale getirme sürecini yürüten ve ayrıca bu süreçten  sorumlu olan  KİŞİSEL VERİ SORUMLUSU  ve KİŞİSEL VERİ SORUMLUSU ile iletişim, etkileşim içinde bulunanlar hakkında uygulanır.

TERİMLER VE KAVRAMLAR

İşbu politikada yer alan;

108 No’lu Sözleşme; Avrupa Konseyi tarafından hazırlanan ve imzalanan, 01.10.1985 tarihinde yürürlüğe giren Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireyleri Korunması Sözleşmesi’ni,

95/46/EC Sayılı Direktif;    Avrupa Parlamentosu ve Konseyi tarafından 1995 yılında kabul edilen Kişisel Verilerin İşlenmesi ve Serbest   Dolaşımı Bakımından Bireylerin Korunmasına İlişkin Avrupa Parlamentosu ve Avrupa Konseyi Direktifi’ni,

Açık rıza;    Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve                                             özgür               iradeyle açıklanan rızayı,

AİHS;  Avrupa Konseyi tarafından hazırlanan, 03.09.1953 tarihinde yürürlüğe giren Avrupa İnsan Hakları Sözleşmesi’ni

Akış Şeması KİŞİSEL VERİ SORUMLUSU’nun faaliyetlerini, çalışma yöntem ve usullerini, Kişisel verilerin işleme sürecini şematik olarak gösteren işbu KVK Politikasının eki ve ayrılmaz bir parçası olan şemayı,

Alıcı grubu;  KİŞİSEL VERİ SORUMLUSU tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisini,

Anonim hâle getirme;  Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesini,

AYYGE Tebliğ;  KVKK tarafından 10.03.2018 tarihli RG Yayımlanan “Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ”i,

DHKD Kanun;    Dilekçe Hakkının Kullanılmasına Dair Kanunu,

Doğrudan tanımlayıcılar;  Tek başlarına, ilişki içinde oldukları kişiyi doğrudan açığa Çıkaran, ifşa eden ve ayırt edilebilir kılan tanımlayıcıları, 

Dolaylı tanımlayıcılar;  Diğer tanımlayıcılar ile bir araya gelerek,  ilişki içinde oldukları kişiyi açığa çıkaran, ifşa eden ve ayırt edilebilir kılan tanımlayıcıları,

Etkileşim ve iletişim;  KİŞİSEL VERİ SORUMLUSU’nun yazılı ya da sözlü, mesafeli ya da mesafesiz olarak hukuki, ticari, finansal, akdi vb. açılardan oluşan sorumluluk ve yükümlülük doğuran her türlü ilişkiyi  

GDPR; 95/46/EC sayılı direktifi 25.05.2018 tarihinde yürürlükten kaldıran 2016/679 sayılı Avrupa Birliği Genel Veri Koruma Tüzüğü’nü

İlgili kişi;  KİŞİSEL VERİ SORUMLUSU tarafından kişisel verisi işlenen, veri sahibi olan gerçek kişiyi,

İlgili kullanıcı;  Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen gerçek veya tüzel kişileri,    

İmha;     Kişisel verilerin silinmesi, yok edilmesi veya anonim hale                                             getirilmesini, 

Karartma;  Kişisel verilerin bütününün, kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek bir şekilde üstlerinin çizilmesi, boyanması ve buzlanması gibi işlemleri, 

Kayıt ortamı;  Tamamen veya kısmen otomatik olan ya da herhangi bir Veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortamı,

Kişisel veri;  Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi,

Kişisel verilerin işlenmesi;   Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi,

KVKK;     Kişisel Verileri Koruma Kurumu’nu

KVK Kanunu;  24.03.2016 tarihinde kabul edilen ve 07.04.2016 tarihinde 29677 sayılı RG de yayınlanan 6698 sayılı Kişisel Verilerin Korunması Kanunu’nu,

KVK Kurulu;     KVKK kurumu nezdindeki yetkili kurulu,

KVK Politikası;  KİŞİSEL VERİ SORUMLUSU tarafından kabul edilen ve yürütülen işbu Kişisel Verileri Koruma Politikasını,

KVSİ Politikası; KVSYH Yönetmelik kapsamında hazırlanan ve KİŞİSEL VERİ SORUMLUSU’nun, kişisel verilerin işlendikleri amaç için gerekli olan azami süreyi belirleme işlemi ile silme, yok etme ve anonim hale getirme işlemi için dayanak yaptığı Kişisel Veri Saklama ve İmha Politikasını,

KVSYH Yönetmelik;  KVK Kanunu kapsamında çıkarılan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmeliği,

Maskeleme;  Kişisel verilerin belli alanlarının, kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek şekilde silinmesi, üstlerinin çizilmesi, boyanması ve yıldızlanması gibi işlemleri,                                            

Otomatik işleme;  İnsan müdahalesi ya da yardımı konusundaki ihtiyacı asgari seviyeye indiren, kendi aralarında bağlantılı ve etkileşimli elektrikli veya elektronik bir sistem tarafından gerçekleştirilen kişisel veri işleme faaliyetini,

Otomatik olmayan işleme ; İnsan müdahalesi ya da yardımı yoluyla yani elle yapılan kişisel veri işleme faaliyetini,

Özel nitelikli kişisel veri; Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileridir. Kanun’da özel nitelikli kişisel veriler, sınırlı sayma yoluyla belirlenmiş olan ve kıyas yoluyla genişletilmesi mümkün olmayan veri türünü,

Periyodik imha;   Kanunda yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla resen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemini,

RG;     Resmi Gazete

Sicil;      KVKK Başkanlığı tarafından tutulan veri sorumluları sicilini,

Silme;  Kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemini,

Tablo ; KİŞİSEL VERİ SORUMLUSU tarafından kişisel verilerin işleme süreci ile ilgili Faaliyetlerin Sistematik ve anlaşılır bir şekilde açıklanması amacıyla oluşturulan, KVK Politikasının eki ve ayrılmaz  bir parçası olan tabloyu,

 TCK;      5237 sayılı Türk Ceza Kanunu’nu,

TMK;      4721 sayılı Türk Medeni Kanunu’nu    

VERBİS;  Veri sorumluları sicil bilgi sistemi olarak bilinen veri sorumlularının sicile başvuruda ve sicile ilişkin ilgili diğer işlemlerde kullanacakları, internet üzerinden erişilebilen, KVKK Başkanlığı tarafından oluşturulan ve yönetilen bilişim sistemini,

Veri aktaran; Kişisel verileri, kendi sisteminden başka bir veri sorumlusuna transfer eden, aktaran gerçek veya tüzel kişiyi;

Veri alıcısı; Başka bir veri sorumlusu tarafından kendi sistemine kişisel veri aktarılan gerçek veya tüzel kişiyi; 

Veri envanteri; Kişisel veri işleme envanteri olarak da isimlendirilen  KİŞİSEL VERİ SORUMLUSU’nun iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel veri işleme faaliyetlerini; kişisel veri işleme amaçları, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami süreyi, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanteri,

Veri işleyen;     Veri sorumlusunun verdiği yetkiye dayanarak onun adına                                                                         kişisel               verileri işleyen gerçek veya tüzel kişiyi,

Veri kayıt sistemi;   Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği elektronik ya da fiziki ortamda oluşturulabilen kayıt sistemini,

Veri sorumlusu; Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi,

VSBUH Tebliğ; KVKK tarafından çıkarılan ve 10.03.2018 tarihli RG yayımlanan Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ

VSSH Yönetmelik; KVK Kanunu kapsamında çıkarılan Veri Sorumluları Sicili Hakkında Yönetmelik                           

Yok etme;  Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemini,

ifade eder.

Bu maddede bulunmayan terimler ve kavramlar için ilgili mevzuattaki terim ve kavram tanımları geçerlidir.

KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ

VEYA

ANONİM HALE GETİRİLMESİ

Genel Olarak

KİŞİSEL VERİ SORUMLUSU tarafından işlenmiş olup da,  tüm işlenme şartlarının ortadan kalktığı kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi yani diğer bir ifade ile kişisel verilerin imha edilmesi,  işbu KVSİ Politikası’nda belirtilen standartlara ve mevzuata uygun olarak aşağıda açıklanacak süreç ve yöntemlerle gerçekleştirilir.

1. KVK Kanunu’ndan Önce İşlenen Verilerin İmhası

 KVK Kanunu’n Geçici 1./ 3. f maddesi kapsamında,  KİŞİSEL VERİ SORUMLUSU tarafından önceden işlenmiş olan kişisel veriler, kanunun yayımı tarihinden itibaren iki yıl içinde KVK Kanunu hükümlerine ve KVK Politikası standartlarına uygun hale getirilmiştir.

Önceden kişisel verileri işlenmiş olup da, açık rızası alınmamış olan ya da KVK Kanunu 5 inci  ve 6 ıncı maddeleri çerçevesinde açık rıza beyanına gerek duyulmadan alınmış olan kişisel verilerle ilgili olarak KİŞİSEL VERİ SORUMLUSU , ilgili kişilere ulaşarak, ilgili mevzuat ve KVK Politikası hüküm ve şartları doğrultusunda aydınlatma metnini de içeren  açık rıza beyanlarını  almıştır. Önceden kişisel verileri işlenip de ilgilisine ulaşılamayan ya da açık rızası alınamayan kişisel veriler ile kanunen açık rıza beyanına gerek duyulmaksızın işlenmiş olan kişisel veriler, KVK Kanunu 7 inci maddesi çerçevesinde, işlenmesini gerektiren sebeplerin ortadan kalkması nedeniyle KİŞİSEL VERİ SORUMLUSU tarafından re’sen ya da ilgili kişinin talebi üzerine silinmekte, yok edilmekte ya da anonim hale getirilmektedir.

Diğer taraftan KVK Kanunu’nun yayımı tarihinden önce KİŞİSEL VERİ SORUMLUSU tarafından hukuka uygun olarak alınmış rızalar, bir yıl içinde aksine bir irade beyanında bulunulmamış ise, o kişisel veriler mevzuata ve KVK Politikası şartlarına uygun kabul edilmektedir.

2. KVK Kanunu’ndan Sonra İşlenen Verilerin İmhası

KİŞİSEL VERİ SORUMLUSU, KVK Politikasında ve KVK Kanunu’nun 5. ve 6. maddelerinde değinilen kişisel verilerin işlenme şartlarının tamamının ortadan kalkması halinde, işlemiş olduğu kişisel verileri re’sen veya ilgili kişinin talebi üzerine işbu KVSİ Politikası standartlarına uygun olarak silmekte, yok etmekte veya anonim hale getirmektedir.

KİŞİSEL VERİ SORUMLUSU, KVSİ Politikası standartları kapsamında, işlemiş olduğu kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi sürecinde KVK Kanunu’nun 4’üncü maddesinde ve KVK Politikası hükümleri içinde yer alan genel ilkeler ile KVK Kanunu’nun 12’nci maddesi ve yine KVK Politikası kapsamında alınması gereken teknik ve idari tedbirlere, ilgili mevzuat hükümlerine, KVK Kurulu kararlarına uygun hareket etmektedir.

Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesiyle ilgili yapılan bütün işlemler kayıt altına alınır ve söz konusu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az üç yıl süreyle saklanır.

Veri sorumlusu, kişisel verilerin silinmesi, yok edilmesi, anonim hale getirilmesi işlemiyle ilgili uyguladığı yöntemleri ilgili politika ve prosedürlerinde açıklamakla yükümlüdür.

Veri sorumlusu, Kurul tarafından aksine bir karar alınmadıkça, kişisel verileri resen silme, yok etme veya anonim hale getirme yöntemlerinden uygun olanını seçer. İlgili kişinin talebi halinde uygun yöntemi gerekçesini açıklayarak seçer.

Kişisel Verilerin İmha Süreci

Kişisel verilerin imha edilmesiyle ilgili olarak KİŞİSEL VERİ SORUMLUSU’nun izlemesi gereken süreçte sırasıyla;

      İmha işlemine konu olan kişisel verilerin belirlenmesi,

      Erişim yetki ve kontrol matrisi ya da benzer bir sistem kullanarak her bir kişisel veri için ilgili kullanıcıların tespit edilmesi,

      İlgili kullanıcıların erişim, geri getirme, tekrar kullanma gibi yetkilerinin ve yöntemlerinin tespit edilmesi,

      İlgili kullanıcıların kişisel veriler kapsamındaki erişim, geri getirme, tekrar kullanma yetki ve yöntemlerinin kapatılması ve ortadan kaldırılması,

işlemlerine ve faaliyetlerine yer verilir. 

     Kişisel Verilerin Silinmesi

Kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlem ve faaliyetleri,  kişisel verilerin silinmesi olarak adlandırılır. 

KİŞİSEL VERİ SORUMLUSU işbu politika ve KVK Kanunu kapsamında, silinen kişisel verilere, kullanıcıların ulaşamaması ve tekrar kullanamaması için gerekli her türlü teknik ve idari tedbirleri almaktadır.

Kişisel Verilerin Silinmesi Yöntemleri

KİŞİSEL VERİ SORUMLUSU tarafından işlenen kişisel veriler, birden fazla ortamda kaydedilmekte ve saklanabilmektedir. Bu nedenle veriler, saklanabildikleri kayıt ortamının özelliklerine uygun yol ve yöntemlerle silinmektedir. KİŞİSEL VERİ SORUMLUSU’nun uyguladığı silme yöntemleri aşağıda sırası ile yer almaktadır.

1. Bulut Ortamında Bulunan Kişisel Verilerin Silinmesi

KİŞİSEL VERİ SORUMLUSU tarafından hizmet alımı olarak gerçekleştirilen bulut sisteminde ( Ofice 365, Google Drive, OneDrive, Salesforce vb.)  sayısal ortamlarda saklanan verilerle ilgili olarak   silme  işlemine konu olan kişisel veriler belirlendikten sonra,  her bir kişisel veri açısından değerlendirme yapılarak, bu veriye erişim yetkisi, yönetim panelleri, kontrol matrisi  veya benzer elektronik sistemlerle, bu verilerin kullanıcıları ile bu kullanıcıların  veriye erişim, geri getirme, tekrar kullanma gibi yetkileri ve yöntemleri tespit edilmekte, ardından bu veriler, bu verilere ilişkin kullanım yetkileri,  silme komutu verilerek silinmekte  kapatılmakta ve ortadan kaldırılmaktadır. 

Bu işlemler yapılırken ilgili kullanıcının bulut sistemi üzerinde silinmiş verileri geri getirme yetkisinin olup olmadığı tespit edilmekte, böyle bir yetkisi var ise bu yetki de ortadan kaldırılmakta ya da kapatılmaktadır.

2. Kâğıt Ortamında Bulunan Kişisel Verilerin Silinmesi

KİŞİSEL VERİ SORUMLUSU tarafından kişisel veriler,  kağıt ortamında, fiziki olarak da işlenebilmekte ve saklanabilmektedir. Kağıt ortamında saklanan bu tür kişisel veriler KİŞİSEL VERİ SORUMLUSU tarafından karartma işlemine tabi tutularak yapılmakta, bu yöntem dışında sıklıkla KİŞİSEL VERİ SORUMLUSU’nun faaliyette bulunduğu çalışma alanlarında yeterli miktarda konumlandırılan kağıt kırpma makinaları vasıtası ile bu verileri içeren kağıtların geri dönüşümü mümkün olmayacak, kullanılamayacak ve okunamayacak şekilde kesilmesi, kırpılması   yok edilmesi yoluna gidilmektedir.

3. Merkezi Sunucuda (Server’da) Bulunan Dosyanın Silinmesi

KİŞİSEL VERİ SORUMLUSU tarafından merkezi sunucu ya da sunucularda (server) tutulan dosya ve içeriklerinde de kişisel veriler barınmaktadır. Bu tür kişisel verilerin silinmesi ile ilgili olarak KİŞİSEL VERİ SORUMLUSU dosyanın yer aldığı merkezi sunucunun işletim sisteminde silme komutu vererek veriyi silme yoluna gitmekte veya dosya ya da dosyanın bulunduğu dizin üzerinde ilgili kullanıcının erişim ya da veriyi geri getirme hak ve yetkilerini ortadan kaldırarak kişisel veri silme işlemini gerçekleştirmektedir. Bunu yaparken ilgili kullanıcının aynı zamanda sistem yöneticisi olup olmadığına da dikkat etmektedir.

4. Mobil Medya Ortamında Bulunan Kişisel Verilerin Silinmesi

KİŞİSEL VERİ SORUMLUSU , kişisel verilerin bir kısmını flash tabanlı saklama ortamlarında ya da diğer taşınabilir sayısal medya ortamlarında saklamaktadır. Bu tür kişisel verilerin saklandığı, ortamlara şifreli olarak ulaşılabilmekte, her bir saklama ortamının özelliklerine uygun yazılım ve bilgisayar programları ve uygulamalar vasıtası ile tekrar kullanılamaz, geri döndürülemez şekilde silme işlemine tabi tutulmaktadır.

5. Veri Tabanları 

KİŞİSEL VERİ SORUMLUSU, veri tabanında sakladığı kişisel verilerle ilgili satırları, mevzuat ve işbu KVSİ politikası standartlarına uygun olarak bu satırların veri tabanı komutları ile (Delete, Sil vb.) silmektedir. Bunu yaparken, ilgili kullanıcının aynı zamanda veri tabanı yöneticisi olup olmadığına dikkat edilmekte, silme işlemi bu bilgiler doğrultusunda yapılmaktadır.

Kişisel Verilerin Yok Edilmesi

Kişisel verilerin hiçbir kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlem ve faaliyetleri,  kişisel verilerin yok edilmesi olarak adlandırılır. 

KİŞİSEL VERİ SORUMLUSU, veri sorumlusu olarak işbu politika ve KVK Kanunu kapsamında, silinen kişisel verilerin yok edilmesi konusunda gerekli her türlü teknik ve idari tedbirleri almaktadır.

Kişisel Verilerin Yok Edilmesi Yöntemleri

1. Yerel Sistemler

KİŞİSEL VERİ SORUMLUSU, kişisel verilerin sakladığı sistemler üzerindeki verilerin yok edilmesi için aşağıdaki yöntemlerden bir ya da birkaçı kullanabilir.

      Manyetik medyanın özel bir cihazdan geçirilerek gayet yüksek değerde bir manyetik alana maruz bırakılması ile üzerindeki verilerin okunamaz biçimde bozulması işlemine tabi tutulması (De-manyetize etme)

      Optik medya ve manyetik medyanın eritilmesi, yakılması veya toz haline getirilmesi,  gibi fiziksel işlemlere tabi tutulması   (Fiziksel Olarak Yok Etme) 

      Özel yazılımlar kullanarak, manyetik medya ve yeniden yazılabilir optik medya üzerine en az yedi kez 0 ve 1’lerden oluşan rastgele veriler yazarak eski verinin kurtarılmasının engellenmesi işlemine tabi tutulması (Üzerine Yazma)

2. Çevresel Sistemler

KİŞİSEL VERİ SORUMLUSU, switch, router gibi ağ cihazlar , flash tabanlı ortamları, manyetik bant, manyetik disk, mobil sim kart ve bunlara ait sabit hafıza alanları, optik diskler, veri kayıt ortamı çıkartılabilen yazıcı, parmak izli güvenlik geçiş sistemi gibi çevre birimleri gibi sistemlerde kayıtlı ya da saklı kişisel verileri ,  işbu politikanın bir önceki “yerel sistemler” başlıklı paragrafında yer alan uygun yöntemlerden bir veya birkaçı   kullanılmak suretiyle yok edilmektedir.

3. Kâğıt Ortamı ve Mikro-fiş 

KİŞİSEL VERİ SORUMLUSU tarafından kalıcı ve fiziksel nitelik ve özelliklere sahip ortam üzerinde yazılı olarak kâğıt ve mikro-fiş ortamında saklanan kişisel veriler yok edilirken kağıt imha veya kırpma makinaları ile anlaşılmaz boyutta, mümkün olduğu kadarıyla yatay ve dikey olarak, geri birleştirilemeyecek şekilde küçük parçalara bölünmektedir. 

Kağıt formattan, tarama yoluyla elektronik ortama aktarılan kişisel veriler var ise bunlar da bulundukları elektronik ortama göre işbu politikanın bir önceki “yerel sistemler” başlıklı paragrafında yer alan yöntemlerden bir ya da birkaçı kullanılmak suretiyle yok edilmektedir.

4. Bulut Ortamı 

Bulut sistemlerinde tutulan kişisel verilerin depolanması ve kullanımı sırasında KİŞİSEL VERİ SORUMLUSU, kriptografik yöntemlerle şifrelenmekte,  kişisel veriler için mümkün olan yerlerde, özellikle hizmet alınan her bir bulut sistemi için ayrı ayrı şifreleme anahtarları kullanılmaktadır.

KİŞİSEL VERİ SORUMLUSU ile bulut hizmet sağlayıcı arasında bilişim hizmet ilişkisi sona erdiğinde; kişisel verileri kullanılır hale getirmek için gerekli şifreleme anahtarları ve bu anahtarların tüm kopyaları yok edilmektedir.

Bu ortamlara ek olarak; arızalanan ya da bakıma gönderilen cihazlarda yer alan kişisel verilerin yok edilmesi işlemleri ise aşağıdaki şekilde gerçekleştirilmektedir:

      İlgili cihazların bakım, onarım işlemi için üretici, satıcı, servis gibi üçüncü kurumlara aktarılmadan önce içinde yer alan kişisel veriler işbu politikanın bir önceki “yerel sistemler” başlıklı paragrafında yer alan yöntemlerden bir ya da birkaçı kullanılmak suretiyle yok edilmektedir.

      Yok etmenin mümkün ya da uygun olmadığı durumlarda veri saklama ortamı sökülerek fiziki olarak saklanmakta, sistemin arızalı olan diğer parçaları üretici, satıcı, servis gibi üçüncü şahıslara bu şekilde gönderilmektedir.

      Dışarıdan bakım, onarım gibi amaçlarla gelen personelin, kişisel verileri kopyalayarak kurum dışına çıkartmasının engellenmesi için KVK Politikası standartlarında veri güvenliğine ilişkin gerekli idari ve teknik diğer tedbirler de titizlikle alınmaktadır.

       

Kişisel Verilerin Anonim Hale Getirilmesi

KVK Kanunu’nda ve KVK Politikası’nda,   kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesine kişisel verilerin anonim hale getirilmesi olarak tanımlanmaktadır.

İşbu politika kapsamındaki kişisel verilerin anonim hale getirildiği sonucunu çıkarabilmek adına, bu verilerin, veri sorumlusu veya alıcı grupları tarafından geri döndürülmesi ve/veya verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesi gerektiğinden KİŞİSEL VERİ SORUMLUSU, işbu politika standartları çerçevesinde,  verilerin  anonimleştirilmesi için  gerekli olan her türlü teknik ve idari tedbirleri almaktadır.

Her ne kadar KİŞİSEL VERİ SORUMLUSU, sakladığı kişisel verilerin imha edilmesi seçeneklerinden birisi olan kişisel verilerin anonim hale getirilmesi yolunu sıklıkla kullanmasa da, böyle bir seçeneğe başvurduğu takdirde, aşağıda belirtilen kişisel verilerin anonim hale getirilmesi yöntemlerinden birini veya bir kaçını birlikte veya ayrı ayrı kullanmaktadır.

Kişisel Verilerin Anonim Hale Getirilmesi Yöntemleri

Bir veri kümesindeki tüm doğrudan veya dolaylı tanımlayıcıların çıkartılarak ya da değiştirilerek, ilgili kişinin kimliğinin saptanabilmesinin engellenmesi veya bir grup içinde ayırt edilebilir olma özelliğini bir gerçek kişiyle ilişkilendirilemeyecek şekilde kaybetmesi yolunda yürütülen işlem,  kişisel verilerin anonim hale getirme işlemi olarak adlandırılmaktadır. 

İşbu KVSİ Politikasına göre, veri kümesindeki tüm tanımlayıcıların çıkartılarak ya da değiştirilmek suretiyle   ilgili kişinin kimliğini saptayabilme özelliğinin engellenmesi veya kaybedilmesi sonucunda belli bir kişiye işaret etmeyen veriler, anonim hale getirilmiş veri sayılır.

Yine işbu politika standartlarına göre, kişisel verinin tutulduğu KİŞİSEL VERİ SORUMLUSU’na ait veri kayıt sistemindeki kişisel verilere uygulanan otomatik olan veya olmayan gruplama, maskeleme, türetme, genelleştirme, rastgele hale getirme gibi yöntemlerle yürütülen bağ koparma işlemlerinin ve faaliyetlerinin tümü anonim hale getirme yöntemleri olarak adlandırılmaktadır.

Anonim hale getirme yöntemlerinden bazıları aşağıda örnekleme yoluyla sayılmış olup, kişisel verinin özellikleri, nitelikleri, kayıtlı bulunduğu ortam ve şartları dikkate alınarak, bu yöntemlerden bir veya birkaçı,  birlikte veya ayrı ayrı olarak KİŞİSEL VERİ SORUMLUSU tarafından uygulanmaktadır.

1. Değer Düzensizliği Sağlamayan Anonim Hale Getirme Yöntemleri

Değer düzensizliği sağlamayan yöntemlerde kümedeki verilerin sahip olduğu değerlerde bir değişiklik ya da ekleme, çıkartma işlemi uygulanmamaktadır. Bunun yerine kümede yer alan satır veya sütunların bütününde değişiklikler yapılmakta, bu suretle verinin genelinde değişiklik yaşanırken, alanlardaki değerler orijinal hallerini korumaya devam etmektedir. KİŞİSEL VERİ SORUMLUSU tarafından uygulanan bu yöntemlerden bazıları aşağıda sayılmıştır.

      Değişkenleri Çıkartma

      Kayıtları Çıkartma

      Bölgesel Gizleme

      Genelleştirme

      Alt ve Üst Sınır Kodlama

      Global Kodlama

      Örnekleme

2. Değer Düzensizliği Sağlayan Anonim Hale Getirme Yöntemleri

Değer düzensizliği sağlayan yöntemlerle yukarıda bahsedilen yöntemlerden farklı olarak; mevcut değerler değiştirilerek veri kümesinin değerlerinde bozulma ve tahribat gerçekleştirilir. Bu tür bir anonim hale getirme yöntemi uygulandığında kayıtların taşıdığı değerler değiştiği için, veri kümesinden elde edilmesi planlanan faydanın doğru hesaplanması zorunludur. Veri kümesindeki değerler değişiyor olsa bile toplam istatistiklerin bozulmaması gerekir. Böyle bir şart gerçekleştiği takdirde yapılan işlem bir değer ifade eder ve söz konusu veriden fayda sağlanmaya devam edilebilir.  KİŞİSEL VERİ SORUMLUSU tarafından uygulanan bu yöntemlerden bazıları aşağıda sayılmıştır.

      Mikro Birleştirme

      Veri Değiş-Tokuşu

      Gürültü Ekleme

ORTAK HÜKÜMLER, POLİTİKA EKLERİ

1. Ortak Hükümler

1. İşbu KVSİ Politikası kitabı, KİŞİSEL VERİ SORUMLUSU’nun KVK Politikasının tamamlayıcı bir parçası ve eki olarak kişisel verilerin saklanması ve imha edilmesine ilişkin standartlarını belirlemektedir. KVK Politikasında değinilen tüm tablolar, şemalar, listeler, grafikler, özet metinler, sözleşmeler, taahhütnameler, beyanlar, bilgi ve açıklama formları, görev tanımları gibi her türlü belge işbu politikanın da ayrılmaz bir parçası ve ekidir.
2. İşbu KVSİ Politikası içerisinde yer alan terim, tanım ve kavram açıklamaları, KİŞİSEL VERİ SORUMLUSU ile ilgili tüm tablolar, şemalar, listeler, grafikler, özet metinler, sözleşmeler, taahhütnameler, beyanlar, bilgi ve açıklama formları, görev tanımları gibi belge içinde yer alan tanımlar, kavramlar, terimler, hüküm ve şartlar için de geçerlidir.
3. KVSİ Politikasına ilişkin bu kitap, KİŞİSEL VERİ SORUMLUSU’nun merkezinde tutulmakta ve ilgili birimlerin, yöneticilerin, hissedarların, çalışanların, kısacası KİŞİSEL VERİ SORUMLUSU’nun etkileşim ve iletişim içerisinde bulunduğu herkesin bilgilenmesine açıktır.
4. KİŞİSEL VERİ SORUMLUSU, gerek web sayfasında gerekse kamuya açık ve ortak alanlarda, panolarda fiziki olarak bulundurmanın olanaksızlığı nedeni ile işbu detaylı politika kitabı yerine, özet metinlerini bulundurma ve ilan etme hakkını saklı tutmaktadır.   

2. Politika Ekleri ve Risk Analiz Raporları

İş bu politika çerçevesinde KİŞİSEL VERİ SORUMLUSU adına hazırlanan KVK Politikası kitabında geçen başta KVSI Politika Kitabı olmak üzere, Özet Metinler, Sözleşme Ekleri, Açık Rıza Onay ve Beyanları teslim ve tesellüm belgeleri, görev tanımları, veri envanteri, tablo, şekil v ve şemalar iş bu politikanın ekleri olarak kabul edilir. Diğer yandan KİŞİSEL VERİ SORUMLUSU’nun yönetim sistemine ve görev tanımlarına göre hazırlanmış olan bu politika ile birlikte teslim edilen ve dökümü verilen risk analiz raporları da iş bu politikanın eki olarak kabul edilir.

[1] Bu kitapta yer alan yazı, fotoğraf ve sair içeriklerin, 5846 sayılı FSEK kapsamında bireysel kullanım dışında yazılı izin veya onay alınmadan kısmen ya da tamamen kopyalanması, çoğaltılması, kullanılması, yayınlanması, dağıtılması, aşırma yoluyla ticari piyasaya sürülmesi kesinlikle yasaktır.  Bu yasağa uymayanlar hakkında 5846 sayılı Fikir ve Sanat Eserleri Kanunu uyarınca yasal işlem yapılacaktır. Bu ürünün tüm hakları saklıdır.