Kişisel Veri Saklama ve İmha Politikası

Diğer adları: Saklama Süreleri, Periyodik İmha, İmha Politikası, Data Retention Policy

Kısaca

Veri sorumlusunun kişisel verileri hangi süreyle saklayacağını, sürenin sonunda hangi yöntemle imha edeceğini ve periyodik imhayı hangi aralıklarla yapacağını gösteren politika; VERBİS kayıt yükümlüleri için zorunludur.

Kişisel veri saklama ve imha politikası, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’te düzenlenen ve veri sorumlusunun saklama ve imha süreçlerini gösteren belgedir. VERBİS‘e kayıt yükümlüsü olan veri sorumluları bu politikayı hazırlamakla yükümlüdür.

Politikanın İçeriği

Politikanın amacı ve kapsamı,
Verilerin saklandığı ortamlar (sunucular, bulut hizmetleri, kâğıt arşivler),
Saklama ve imhanın hukuki ve teknik sebepleri,
Alınan teknik ve idari tedbirler,
İmha yöntemleri: silme, yok etme ve anonim hâle getirme,
Süreçte görev alanların unvanları ve sorumlulukları,
Veri kategorilerine göre saklama ve imha süreleri tablosu,
Periyodik imha süreleri.

Saklama Sürelerinin Belirlenmesi

Saklama süresi, öncelikle mevzuatta öngörülen sürelere göre belirlenir: örneğin ticari defter ve belgeler için on yıl, işçi özlük dosyaları için iş ilişkisinin sona ermesinden itibaren zamanaşımı süreleri. Mevzuatta bir süre yoksa, işleme amacının gerektirdiği süre ve olası uyuşmazlıklar için zamanaşımı süreleri dikkate alınır. Süreler, kişisel veri envanteri ve VERBİS kaydıyla tutarlı olmalıdır.

Periyodik İmha

Veri sorumlusu, saklama süresi dolan verileri politikada belirlediği periyodik imha süreleri içinde imha eder; bu süre altı ayı geçemez. Yapılan bütün silme, yok etme ve anonim hâle getirme işlemleri kayıt altına alınır ve bu kayıtlar, diğer hukuki yükümlülükler hariç, en az üç yıl saklanır.

Uygulamada

Politikanın kâğıt üzerinde kalmaması önemlidir. Kurul incelemelerinde, politikada yazılan sürelerin sistemlerde fiilen uygulanıp uygulanmadığı ve imha kayıtlarının tutulup tutulmadığı sorgulanır.

Sık Sorulan Sorular

Verileri ne kadar saklamalıyız?

Mevzuatta bir süre öngörülmüşse o süre kadar, örneğin iş ve vergi mevzuatındaki saklama süreleri; öngörülmemişse işleme amacının gerektirdiği süre kadar. Her veri kategorisi için süre, kişisel veri envanterinde ve saklama ve imha politikasında belirlenmelidir.

VERBİS'e kayıt yükümlüsü değiliz; politika hazırlamamız gerekir mi?

Kanunen zorunlu değildir. Ancak saklama süresi dolan verileri imha etme yükümlülüğü herkes için geçerli olduğundan, bu yükümlülüğün nasıl yerine getirildiğini gösteren bir politika her şirket için yararlıdır.

← Tüm Kavramlar