Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik

Özet

Yönetmelik, kişisel verilerin işlenmesini gerektiren şartlar ortadan kalktığında bu verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi usul ve esaslarını belirler. 28.10.2017 tarihli ve 30224 sayılı Resmî Gazete'de yayımlanmıştır. Kaydın ilişkili kaynakları 6698 sayılı Kanun'un 7. maddesi, ISO/IEC 27040 ve NIST SP 800-88'dir.

Saklama ve imha politikası, en azından amacı, kayıt ortamlarını, tanımları ve saklama ile imhayı gerektiren hukuki ve teknik sebepleri kapsamak zorundadır (6. maddenin birinci fıkrası). Bir politika oluşturmuş veri sorumluları, yükümlülük doğduktan sonraki ilk periyodik imha işleminde veriyi siler, yok eder veya anonim hale getirir (11. maddenin birinci fıkrası).

Periyodik imha aralığı politikada belirlenir ve hiçbir durumda altı ayı aşamaz (11. maddenin ikinci fıkrası). Bu üst sınır, silme işinin bir ürün veya hizmet içinde yapılandırılabilir bir zamanlanmış iş olarak tasarlanması gerektiğini gösterir. Ayrıca 'ilgili kullanıcı' tanımı, verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu kişi veya birimi kapsam dışı bırakır (4. maddenin birinci fıkrasının (b) bendi).

Veri merkezi işletimi açısından bu yönetmelik, yedekler dahil tüm kopyalarda silme ve imhanın nasıl uygulanacağını ve ortamın hizmet dışı bırakılırken nasıl bertaraf edileceğini gündeme getirir. Bu kayıttaki bilgiler yönetmelik metninin özetidir; hukuki yorum için resmî metin esas alınmalıdır.

Öne çıkan noktalar

1. Saklama ve imha politikası en azından amacı, kayıt ortamlarını, tanımları ve saklama ile imhanın hukuki ve teknik sebeplerini kapsar (Madde 6).
2. Politika sahibi veri sorumluları, yükümlülük doğduktan sonraki ilk periyodik imhada veriyi siler, yok eder veya anonim hale getirir (Madde 11).
3. Periyodik imha aralığı politikada belirlenir ve hiçbir durumda altı ayı aşamaz (Madde 11).
4. 'İlgili kullanıcı' tanımı, verinin teknik depolanması, korunması ve yedeklenmesinden sorumlu kişi veya birimi kapsam dışı bırakır (Madde 4).
5. Resmî Gazete 30224, 28.10.2017.
6. İlişkili kaynaklar: 6698 sayılı Kanun Madde 7, ISO/IEC 27040, NIST SP 800-88.
7. Sicile kayıt yükümlüsü veri sorumlularına uygulanır.

Tasarımda kullanımı

• Yedekler dahil, yapılandırılabilir aralıklı ve altı ayı aşmayan zamanlanmış silme veya anonimleştirme işleri uygulayın.
• Veri merkezi hizmet dışı bırakma kontrol listesine sertifikalı ortam imhasını ekleyin.
• Saklama ve imha politikasında amaç, kayıt ortamları ve saklama gerekçelerini ürün ayarlarıyla eşleştirin.
• İmha yöntemlerini seçerken ilişkili ortam sanitasyon kılavuzlarına (örneğin NIST SP 800-88) başvurun.

Kimler okumalı

Kişisel veri işleyen hizmet sağlayıcılar, veri merkezi işletmecileri, bilgi güvenliği ve uyum sorumluları ile ürün ekipleri.

İlgili standartlar

• 6698 sayılı Kanun Madde 7
• ISO/IEC 27040
• NIST SP 800-88

Yayın bilgileri

Yazarlar

Kişisel Verileri Koruma Kurumu (KVKK)

Yayıncı

Kişisel Verileri Koruma Kurumu (KVKK)

Yıl

2017

Belge numarası

RG 30224 (28.10.2017)

Belge dili

Türkçe

Kaynak türü

Türkiye mevzuatı

Erişim

Ücretsiz okunur

Lisans

Yalnızca künye bilgisi — belge burada yeniden dağıtılmıyor; kullanım koşullarını özgün kaynaktan doğrulayın

Künye