Kurumsal Yazılımlarda KVKK ve Veri İmhası Politikası

Hangi veri kategorisinin ne kadar saklanacağını ve süre dolunca hangi yöntemle ortadan kaldırılacağını tanımlayan belgedir. Yazılımdaki karşılığı otomasyondur: her veri tipine saklama süresi atanır, zamanlanmış imha görevi süresi dolan kayıtları siler ya da anonimleştirir ve her çalışmayı tutanak niteliğinde loglar. Otomasyon yoksa politika kağıt üzerinde kalır; uygulanmadığı da denetimde ilk karşılaştırmada ortaya çıkar.

Yönetmelik üç yöntem tanımlar. Silme: verinin ilgili kullanıcılar için hiçbir şekilde erişilemez hale getirilmesi. Yok etme: verinin hiç kimse tarafından geri getirilemeyecek biçimde tamamen ortadan kaldırılması; fiziksel medya imhası da buna dahildir. Anonimleştirme: verinin bir kişiyle ilişkilendirilemez hale getirilmesi; anonim veri artık kişisel veri sayılmaz ve istatistik amaçla tutulabilir. Hangi yöntemin seçileceği, veri kategorisine ve iş ihtiyacına göre imha politikasında belirlenir.

Yönetmelik, saklama ve imha politikası hazırlamış veri sorumlularının periyodik imhayı politikada belirledikleri aralıklarla yapmasını ister ve bu aralık hiçbir durumda altı ayı geçemez. Pratikte en sağlıklı yöntem, imha işini yazılımda zamanlanmış görev olarak kurmak ve her çalışmanın çıktısını (hangi kayıtlar, hangi yöntem, hangi tarih) otomatik raporlamaktır; böylece altı aylık takvim insan hafızasına ve elle tutulan listelere bırakılmaz. Edge Bilişim teslim ettiği sistemlerde bu raporu imha çalışmasının hemen ardından veri sorumlusuna e-posta olarak düşürüyor ve dosyayı sistemde tarihli biçimde saklıyor; denetimde istendiğinde geçmiş periyotların tutanağı arayıp bulunacak bir şey olmaktan çıkıyor.

Veri güvenliği yükümlülüklerini ihlal eden şirketlere kesilen idari para cezalarının üst sınırı 2024'te 7,3 milyon TL'yi aştı ve her yıl yeniden değerleme oranında artıyor. Ceza tek risk de değildir: ihlal bildirimi, denetim yaptırımları ve müşteri güveninin kaybı çoğu zaman cezanın kendisinden pahalıya mal olur. Şifrelemesiz saklama, kontrolsüz erişim ve süresi dolan verinin tutulmaya devam etmesi, Kurul kararlarında en sık geçen ihlal başlıklarıdır.

Başvuru kayıt altına alınır ve kanun gereği en geç 30 gün içinde sonuçlandırılır. Yazılım tarafında kişinin tüm modüllerdeki kayıtları tespit edilir; yasal saklama zorunluluğu olmayan veriler silinir veya anonimleştirilir, zorunlu olanlar (örneğin fatura kayıtları) erişimi daraltılarak süresi dolana kadar tutulur. İşlemin hangi kayıtlara hangi yöntemle uygulandığı loglanır ve başvurana yazılı cevap verilir; böylece unutulma hakkı belgeli biçimde yerine getirilir. Edge Bilişim bu akışı kurarken kişi bazlı tek bir arama ekranı bırakıyor: TC kimlik, e-posta veya telefon üzerinden tüm modüller taranıyor, çıkan kayıtlar "silinebilir" ve "yasal süre nedeniyle tutulacak" olarak ikiye ayrılıyor; ikinci gruptaki kayıtlar için de sürenin dolacağı tarih ekranda görünüyor ve o tarih geldiğinde imha kuyruğuna kendiliğinden giriyor.

KVKK log süresi için tek bir rakam vermez; süre, imha politikanızda ayrı bir veri kategorisi olarak tanımlanır. 5651 sayılı Kanun kapsamındaki internet erişim kayıtları için iki yıllık saklama yasal zorunluluktur; uygulama loglarında da bir–iki yıllık süreler yaygın kabul görür. Unutulmaması gereken nokta şudur: loglar da kişisel veri içerir, süresi dolduğunda onlar da imha veya anonimleştirme sürecine girer.

Evet ve bu en sık atlanan noktadır. Canlı veritabanından silinen kayıt yedek kopyalarda yaşamaya devam ediyorsa imha tamamlanmış sayılmaz. Pratik çözüm, imha politikasını yedek rotasyon döngüsüyle birlikte planlamaktır: yedeklerin saklama süresi tanımlanır, süresi dolan yedekler otomatik devreden çıkar ve bir yedekten geri dönüş yapıldığında, imha edilmiş kayıtların sisteme yeniden yüklenmemesi için imha listesi tekrar uygulanır.

Çoğu durumda evet. Eski programlarda şifreleme, erişim logu ve otomatik imha genellikle yoktur; kaynak kodu kapalı hazır scriptlerde ise bu yetenekleri sonradan ekleme şansınız sınırlıdır ve güncellenmeyen eklentiler bilinen açıklarla çalışmaya devam eder. Hazır altyapıların taşıdığı güvenlik ve sürdürülebilirlik sorunlarını hazır scriptler ve WordPress riskleri rehberinde ayrıntılı inceledik. Kişisel veri işleyen bir sistemde bu boşluklar doğrudan idari yaptırım riskine dönüşür.

Özel nitelikli veriler için ek tedbir aranır: bu alanlar veritabanında ayrıca şifrelenir, erişim çok daha dar bir role indirilir ve mümkünse iki adımlı doğrulama şartına bağlanır; erişimler ayrı loglanır. Sağlık verisi işleyen sistemlerde işleme şartları da farklıdır; çoğu senaryoda açık rıza ya da mevzuattaki istisnalardan biri gerekir. Bu nedenle alan tasarımına başlamadan önce hukuki dayanağın netleştirilmesi şarttır.

VERBİS'e kayıt şirketin idari yükümlülüğüdür; yazılım kaydı sizin yerinize yapmaz ama besler. Sicile beyan ettiğiniz veri kategorileri, işleme amaçları ve saklama süreleri, yazılımdaki alanlar ve imha otomasyonuyla tutarlı olmak zorundadır; bir denetimde beyanınız ile sistemin gerçek davranışı karşılaştırılır. Envanteri yazılımdan üretilebilir biçimde tutmak, VERBİS güncellemelerini de büyük ölçüde kolaylaştırır.

Her entegrasyon bir veri aktarımıdır ve envantere işlenmelidir: hangi alanlar, hangi amaçla, hangi sıklıkla dışarı çıkıyor. Teknik tarafta yalnızca gerekli alanlar paylaşılır, iletişim şifreli kurulur ve API anahtarları yetki bazlı daraltılır. Hukuki tarafta, veri işleyen konumundaki tedarikçilerle gizlilik ve veri koruma yükümlülüklerini içeren sözleşmeler yapılır; NDA ve gizlilik sözleşmesi rehberinde bu sözleşmelerin kapsamını anlattık.

Tutulabilir, ancak 2024'te değişen yurt dışı aktarım rejimine uymak şartıyla: yeterlilik kararı bulunmayan ülkeler için standart sözleşme imzalanması ve süresi içinde Kuruma bildirilmesi gibi yükümlülükler vardır. Yabancı bir SaaS veya bulut sağlayıcısı kullanmak, verinin fiilen yurt dışına aktarılması anlamına gelebilir; bu yüzden sunucu konumu proje başında verilecek bir karardır. Bulut sistemlerin güvenlik değerlendirmesini bulut tabanlı ERP güvenliği rehberinde bulabilirsiniz.

Evet. IP adresi, çerez kimlikleri ve form alanlarına girilen bilgiler kişisel veridir. Pazarlama ve istatistik çerezleri ancak ziyaretçi onayıyla çalışmalı, zorunlu çerezler ayrı kategoride tutulmalıdır. İletişim ve teklif formları aydınlatma metniyle birlikte tasarlanır; önceden işaretli rıza kutusu kullanılmaz. Çerez bandının görünmesi tek başına yeterli değildir: onay verilmeden pazarlama çerezlerinin gerçekten yüklenmediği teknik olarak da doğrulanmalıdır.

Web ile aynı ilkeler geçerlidir; üzerine cihaz izinleri eklenir: konum, kamera, rehber gibi erişimler yalnızca gerçekten gereken işlev için ve kullanım anında istenir. Aydınlatma metni uygulama içinden erişilebilir olmalı, veriler cihazda ve iletimde şifrelenmelidir. Mağazaların kendi gizlilik beyanı zorunlulukları da vardır: veri beyan formları eksik doldurulan uygulamalar reddedilebilir. App Store ve Google Play onay süreçleri rehberinde bu adımları anlattık.

Mümkündür ve genellikle üç aşamada ilerler: veri envanteri ile boşluk analizi; şifreleme, loglama, rıza ve imha modüllerinin eklenmesi; test ve dokümantasyon. Maliyeti belirleyen etkenler veri hassasiyeti, entegrasyon sayısı, eski kod tabanının durumu ve özel nitelikli veri bulunup bulunmadığıdır. Uyum, sıfırdan geliştirilen bir projede baştan tasarlandığında toplam bütçe içinde küçük bir kalemken, mevcut sisteme sonradan eklemede kapsam analizi yapılmadan sağlıklı bir rakam verilemez.