28.10.2017 tarihli Resmi Gazete’de yayınlanan Kişisel Verilerin Silinmesi, Yok Edilmesi Veya Anonim Hale Getirilmesi Hakkında Yönetmelik kapsamında;
- Veri Sorumluları Siciline kayıt olmakla yükümlü olan veri sorumluları, kişisel veri işleme envanterine uygun olarak kişisel veri saklama ve imha politikası hazırlamakla yükümlüdür. Kişisel veri saklama ve imha politikası hazırlama yükümlülüğü altında bulunmayan veri sorumluları da KVKK ve yönetmelik uyarınca kişisel verileri saklama, silme ve yok etme veya anonim hale getirme yükümlülüğü altında bulunmaktadır.
- Kişisel veri saklama ve imha politikasının kapsamına; kişisel veri saklama ve imha politikasının hazırlanma amacı, düzenlenen kayıt ortamları, politikada yer verilen hukuki ve teknik terimlerin tanımları, saklama ve imhayı gerektiren hukuki, teknik ya da diğer sebeplere ilişkin açıklama, hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi için alınmış teknik ve idari tedbirler, imha edilmesi için alınmış teknik ve idari tedbirler, saklama ve imha süreçlerinde yer alanların unvanları, birimleri ve görev tanımları, saklama ve imha sürelerini gösteren tablo, periyodik imha süreleri ve varsa politikadaki değişikliklere ilişkin bilgiler girmektedir.
- Kişisel verilerin işlenme şartlarının tamamının ortadan kalkması halinde, kişisel verilerin veri sorumlusu tarafından resen veya ilgili kişinin talebi üzerine silinmesi, yok edilmesi veya anonim hâle getirilmesi gerekmektedir. Bu işlemlere ilişkin yapılan bütün işlemler ise kayıt altına alınacak ve en az üç yıl süreyle saklanacaktır.
- Kişisel verilerin silinmesi, kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesini ifade ederken; kişisel verilerin yok edilmesi, kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesini ifade etmektedir. Kişisel verilerin anonim hale getirilmesi ise, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir.
- Kişisel verileri silme, yok etme veya anonim hale getirme yükümlülüğünün ortaya çıktığı tarihi takip eden ilk periyodik imha işleminde, kişisel verileri silinmeli, yok edilmeli veya anonim hale getirilmelidir. Periyodik imhanın gerçekleştirileceği zaman aralığı her halde altı ayı geçemeyecektir. İmha politikası hazırlama yükümlülüğü olmayan veri sorumluları ise; silme, yok etme veya anonim hale getirme yükümlülükleri ortaya çıktığı tarihten itibaren üç ay içinde kişisel verileri siler, yok eder veya anonim hale getirir.
- İlgili kişi, veri sorumlusuna kendisine ait kişisel verilerin silinmesi veya yok edilmesi için başvurduğunda; kişisel verileri işleme şartları tamamen ortadan kalkmışsa veri sorumlusu, talebi en geç otuz gün içinde sonuçlandırır. Kişisel verileri işleme şartları tamamen ortadan kalkmış fakat talebe konu veriler üçüncü kişilere aktarılmışsa, veri sorumlusu bu durumu üçüncü kişiye bildirir ve talebin sonuçlandırılması için gerekli işlemlerin yapılmasını temin eder. Kişisel verileri işleme şartlarının tamamı ortadan kalkmamışsa, ilgilinin talebi gerekçesi açıklanarak reddedilebilir ve ret cevabı ilgiliye en geç otuz gün içinde yazılı olarak veya elektronik ortamda bildirilir.