Kişisel Verilerin Korunması Kanunu Kapsamında Veri İmha Politikası Nasıl Hazırlanır?

Kişisel Verilerin Korunması Kanunu Kapsamında Veri İmha Politikası Nasıl Hazırlanır?

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), veri sorumlularına kişisel verilerin işlenme amaçları sona erdiğinde bu verileri silme, yok etme veya anonim hale getirme yükümlülüğü getirmektedir. 2026 yılı itibarıyla dijitalleşmenin artması ve veri sızıntısı risklerinin çeşitlenmesi, kurumların sadece veri toplama süreçlerine değil, veri imha süreçlerine de stratejik bir yaklaşım sergilemesini zorunlu kılmıştır. Veri İmha Politikası, bir kurumun elindeki veriyi hangi yöntemlerle, ne zaman ve nasıl yok edeceğini belirleyen temel bir yönetişim belgesidir.

Bu rehber, KVKK uyum sürecinde teknik ve idari gereklilikleri bir araya getirerek, kurumunuzun veri imha politikasını nasıl oluşturacağınızı adım adım açıklamaktadır. Doğru yapılandırılmış bir imha politikası, sadece yasal bir zorunluluk değil, aynı zamanda kurumunuzun siber güvenlik duruşunu güçlendiren ve veri ihlali risklerini minimize eden kritik bir savunma mekanizmasıdır. Politika hazırlama süreci, verinin yaşam döngüsünün en son aşamasını yönetmenizi sağlayarak, gereksiz veri birikiminin önüne geçer.

Veri İmha Politikası Hazırlarken İzlenmesi Gereken Hukuki ve Teknik Temeller

Bir veri imha politikası oluşturmadan önce, KVKK ve ilgili yönetmeliklerin temel ilkelerini anlamak gerekir. Veri imha süreci, verinin saklanma süresinin dolması veya işlenme amacının ortadan kalkmasıyla tetiklenen bir süreçtir. Bu aşamada, kurumun "Veri Envanteri" ile "İmha Politikası" arasında organik bir bağ kurulmalıdır.

Yasal Dayanaklar ve Kurumsal Sorumluluk

Veri sorumlusu, kişisel verileri yalnızca işlendikleri amaç için gerekli olan süre boyunca saklamakla yükümlüdür. Politikanızda, verinin saklanma süresini belirleyen yasal mevzuat (örneğin; Türk Ticaret Kanunu, Vergi Usul Kanunu veya özel sektör düzenlemeleri) açıkça referans gösterilmelidir. Hukuki dayanağı olmayan veya işlenme amacı sona ermiş verilerin tutulması, KVKK kapsamında idari para cezaları ile sonuçlanabilecek bir ihlaldir.

Veri İmha Politikasının Kapsamı ve Uygulama Alanı

Politikanız, kurum bünyesindeki tüm departmanları ve tüm veri türlerini (dijital ve fiziksel) kapsamalıdır. Hangi verilerin imha edileceği, hangi verilerin yasal zorunluluk nedeniyle saklanmaya devam edeceği net bir şekilde ayrıştırılmalıdır. Bu ayrıştırma, kurumun veri sınıflandırma matrisi ile uyumlu olmalıdır.

Adım Adım Veri İmha Politikası Oluşturma Rehberi

Veri imha politikasını hazırlarken izlemeniz gereken adımlar, kurumunuzun büyüklüğüne ve işlediği veri türlerine göre özelleştirilmelidir. Aşağıdaki adımlar, genel kabul görmüş KVKK uyum standartlarına dayanmaktadır.

1. Veri Envanterinin Gözden Geçirilmesi: Kurumunuzun hangi veriyi, nerede ve neden tuttuğunu belirleyen envanteri güncelleyin. İmha edilecek verilerin listesini bu envanter üzerinden çıkarın.
2. Saklama Sürelerinin Belirlenmesi: Her veri kategorisi için "saklama süresi" tanımlayın. Örneğin, müşteri iletişim verileri 1 yıl, finansal kayıtlar ise ilgili mevzuat gereği 10 yıl saklanabilir.
3. İmha Yöntemlerinin Seçimi: Verinin bulunduğu ortama (bulut, sunucu, fiziksel evrak, taşınabilir medya) uygun imha yöntemi seçilmelidir.
4. Rol ve Sorumlulukların Atanması: Veri imha sürecini kimin başlatacağı, kimin onaylayacağı ve kimin teknik olarak gerçekleştireceği belirlenmelidir.
5. İmha Sürecinin Kayıt Altına Alınması: Yapılan her imha işlemi, tarih, yöntem ve sorumlu bilgisi ile bir "İmha Tutanağı" ile belgelenmelidir.
6. Periyodik Denetim: Politikanın etkinliğini ölçmek için düzenli aralıklarla (örneğin 6 ayda bir) imha süreçlerini denetleyin.

Veri İmha Yöntemleri: Hangi Ortamda Hangi Yöntem Kullanılmalı?

Veri imhası, verinin geri döndürülemez şekilde yok edilmesini ifade eder. Yanlış yöntem seçimi, verinin kurtarılmasına olanak tanıyarak veri sızıntılarına yol açabilir. Bu nedenle, verinin bulunduğu ortama göre doğru tekniği uygulamak kritiktir.

Dijital Ortamdaki Verilerin İmhası

Dijital veriler, genellikle manyetik veya optik ortamlarda saklanır. Silme komutu kullanmak, veriyi diskten fiziksel olarak kaldırmaz; sadece dosya erişimini engeller. Bu yüzden, gerçek bir imha için "üzerine yazma" veya "kriptografik imha" yöntemleri tercih edilmelidir.

Fiziksel Ortamdaki Verilerin İmhası

Kağıt ortamındaki veriler için en güvenli yöntem "kağıt imha makinesi" ile çapraz kesim yapmaktır. Bu işlem, verinin tekrar birleştirilmesini imkansız hale getirir. Arşivlenmiş belgeler için ise profesyonel imha hizmeti sunan firmalardan destek alınabilir.

Kritik Uyarı: Veri imha sürecinde kullanılan üçüncü taraf hizmet sağlayıcılar ile mutlaka "Veri İşleyen Sözleşmesi" imzalanmalıdır. İmha işlemi kurumun gözetiminde gerçekleşmeli ve imha sertifikası alınmalıdır.

Veri İmha Sürecinde Karşılaşılan Zorluklar ve Çözüm Önerileri

Birçok kurum, veriyi imha ederken operasyonel sürekliliği bozmaktan veya yasal bir denetimde veriye ulaşamamaktan korkar. Bu durum, "gereğinden fazla veri tutma" riskini doğurur. Bu riskleri yönetmek için veri minimizasyonu ilkesi esas alınmalıdır.

Veri Minimizasyonu ve İmha Dengesi

İhtiyaç duyulmayan veriyi toplamak, kurum için bir yük ve güvenlik riskidir. Veri imha politikası, sadece imha etmeyi değil, aynı zamanda verinin toplanma aşamasında "gerçekten gerekli mi?" sorusunu sormayı da içermelidir.

Bulut Hizmetlerinde Veri İmha Süreci

Bulut ortamında saklanan verilerde, fiziksel bir disk imhası yapmak mümkün değildir. Bu durumda, verinin şifrelenmesi ve şifreleme anahtarının (encryption key) yok edilmesi (cryptographic erasure) en etkili yöntemdir. Bulut servis sağlayıcınızın KVKK uyumluluk raporlarını ve imha politikalarını incelemeyi ihmal etmeyin.

Veri İmha Politikasının Denetimi ve Güncellenmesi

Politika, yaşayan bir doküman olmalıdır. Teknolojinin gelişimi ve siber tehditlerin değişimi, imha yöntemlerinin de güncellenmesini gerektirir. 2026 yılı standartlarında, imha süreçlerinin otomasyonu ve denetim izlerinin (log) tutulması, KVKK uyum denetimlerinde en çok dikkat edilen hususlardan biridir.

Denetim İzlerinin Önemi

Kurumunuzda hangi verinin, ne zaman, kim tarafından ve hangi yöntemle imha edildiğine dair tutulan kayıtlar, olası bir veri ihlali soruşturmasında kurumunuzun elindeki en güçlü savunma aracıdır. Bu kayıtlar, KVKK Kurulu tarafından talep edildiğinde sunulabilecek şekilde arşivlenmelidir.

Politika Güncelleme Periyotları

Veri İmha Politikası; kurumun iş süreçleri değiştiğinde, yeni bir veri işleme teknolojisi devreye alındığında veya mevzuatta bir değişiklik olduğunda mutlaka gözden geçirilmelidir. Yılda en az bir kez yapılacak "masa başı tatbikatı" ile politikanın uygulanabilirliği test edilmelidir.

Sıkça Sorulan Sorular

Veri imha süresi neye göre belirlenir?

Veri imha süresi; verinin işlenme amacına, ilgili kanunlardaki (VUK, TTK, İş Kanunu vb.) saklama sürelerine ve kurumun kendi iç politika gerekliliklerine göre belirlenir. Yasal bir zorunluluk yoksa, amaç ortadan kalktığı an imha süreci başlamalıdır.

Anonim hale getirme ile imha arasındaki fark nedir?

İmha, verinin geri döndürülemez şekilde yok edilmesidir. Anonim hale getirme ise verinin, başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek hale getirilmesidir. KVKK kapsamında anonim hale getirilen veriler, kişisel veri olma niteliğini kaybeder.

İmha tutanağında hangi bilgiler yer almalıdır?

Tutanakta; imha edilen verinin kategorisi, imha yöntemi, imha tarihi, işlemi gerçekleştiren kişi/birim ve denetleyen kişinin imzası bulunmalıdır. Bu belgeler, yasal saklama süresi boyunca muhafaza edilmelidir.

Kişisel verileri yedeklerden nasıl imha edebilirim?

Yedekleme sistemleri, veri imha sürecinin en zorlu kısmıdır. Politikanızda yedeklerin üzerine yazılma (overwrite) döngüsünü tanımlamalı ve yedekleme politikası ile imha politikasını eşgüdümlü hale getirmelisiniz.

Üçüncü taraflara aktarılan verilerin imhası nasıl sağlanır?

Veri işleyen veya veri aktarılan üçüncü taraflar ile yapılan sözleşmelere, verinin imha edilmesi gerektiğinde onların da imha yapmasını zorunlu kılan hükümler eklenmelidir. İlgili taraftan imha işleminin yapıldığına dair yazılı teyit veya sertifika alınmalıdır.

Sonuç

Kişisel Verilerin Korunması Kanunu kapsamında hazırlanan bir Veri İmha Politikası, kurumunuzun veri güvenliği stratejisinin ayrılmaz bir parçasıdır. Veriyi sadece toplamak değil, yaşam döngüsünü yöneterek güvenli bir şekilde sonlandırmak, hem yasal uyumunuzu sağlar hem de olası siber güvenlik risklerini minimize eder. Bu rehberde belirtilen adımları takip ederek, kurumunuza özgü, uygulanabilir ve denetlenebilir bir imha mekanizması kurabilirsiniz. Unutmayın ki, veri imha süreci bir "son" değil, verinin güvenli yönetimi için atılan profesyonel bir "adım"dır. Hukuki süreçlerde karmaşık durumlarla karşılaştığınızda, KVKK uyum süreçleri konusunda uzmanlaşmış hukukçulardan ve siber güvenlik danışmanlarından destek almanız, kurumunuzun menfaatine olacaktır.

Veri İmha Sürecinde Sık Yapılan Hatalar ve Risk Yönetimi

Kurumların veri imha politikalarını oluştururken düştükleri en büyük hatalar, genellikle süreci sadece teknik bir işlem olarak görmelerinden kaynaklanır. Oysa KVKK uyumu, teknik ve idari tedbirlerin bir bütün olmasını gerektirir.

• Yedeklerin Unutulması: Ana veri tabanındaki verilerin silinmesi, ancak yedekleme ünitelerinde (tape, cloud, disk) verinin yıllarca saklanmaya devam etmesi en yaygın hatadır.
• İmha Kayıtlarının Tutulmaması: "Sildik ama kanıtımız yok" durumu, denetimlerde kurumun aleyhine sonuç doğurur.
• Yetersiz İmha Yöntemleri: Verinin sadece "çöp kutusuna" atılması veya formatlanması, verinin geri getirilebilir olduğu anlamına gelir.
• Sorumluluk Karmaşası: Veri imha sürecinin kimin yetkisinde olduğunun (IT mi, Hukuk mu, İK mı?) net tanımlanmaması.

Veri İmha Yöntemleri Karşılaştırma Tablosu

Hangi verinin hangi yöntemle imha edileceği, verinin türüne ve depolandığı ortama göre değişiklik gösterir. Aşağıdaki tablo, doğru yöntemi seçmenize yardımcı olacaktır.

Veri İmha Sürecinde Kullanılan Araç ve Yazılım Seçimi

Yazılımsal imha süreçlerinde "veri üzerine yazma" (overwriting) işleminin standartlara uygun yapılması gerekir. Rastgele karakterlerle verinin üzerine yazılması, verinin fiziksel olarak geri döndürülemez olmasını sağlar.

Güvenli Yazılım Seçim Kriterleri:

1. Sertifikasyon: Yazılımın NIST (National Institute of Standards and Technology) standartlarını karşılayıp karşılamadığı kontrol edilmelidir.
2. Loglama Yeteneği: İmha işleminin tarih, saat, kullanıcı adı ve işlem sonucu ile birlikte raporlanabilir olması şarttır.
3. Doğrulama (Verification): Yazılım, imha işleminden sonra verinin gerçekten silinip silinmediğini tarayarak onay vermelidir.

Fiziksel İmha: Donanım Parçalama ve İmha Protokolleri

Dijital ortamdaki verilerin imhası bazen yeterli olmaz; özellikle yüksek güvenlikli verilerin bulunduğu disklerin fiziksel olarak imha edilmesi (shredding) gerekebilir. Bu süreçte dikkat edilmesi gerekenler:

• Fiziksel Güvenlik: Disklerin, imha tesisine gidene kadar kilitli kutularda ve gözetim altında tutulması.
• Parçalama Boyutu: Disklerin veya medya ünitelerinin, yeniden birleştirilemeyecek kadar küçük parçalara (örneğin 2mm x 2mm) ayrılması.
• Gözetim: İmha işleminin bir kamera kaydı veya yetkili bir personel eşliğinde gerçekleştirilmesi.

Örnek Senaryo: İnsan Kaynakları Verilerinin İmhası

Bir çalışanın iş akdi sona erdiğinde, özlük dosyasındaki verilerin imha süreci şu şekilde kurgulanmalıdır:

1. Saklama Süresi Kontrolü: KVKK ve İş Kanunu uyarınca, verinin saklama süresinin dolup dolmadığı kontrol edilir.
2. Bildirim: İlgili departmana imha sürecinin başlayacağı bilgisi verilir.
3. Dijital İmha: Çalışanın e-posta hesabı, ERP sistemi üzerindeki erişimi ve kişisel klasörleri "overwriting" yöntemi ile silinir.
4. Fiziksel İmha: Basılı özlük dosyaları, kurumun imha protokolüne uygun olarak kağıt imha makinesinden geçirilir.
5. İmha Tutanağı: İmha işlemini gerçekleştiren iki yetkili tarafından imzalanan tutanak, kurumun KVKK envanterine işlenir.

Veri Minimizasyonu ve İmha Dengesi

Veri imha politikası, sadece "silme" üzerine değil, "toplamama" üzerine de kurulmalıdır. Veri minimizasyonu prensibi, verinin imha yükünü doğrudan azaltır.

"İhtiyacınız olmayan veriyi toplamazsanız, onu imha etmek zorunda da kalmazsınız."

Bu yaklaşım, kurumların veri depolama maliyetlerini düşürürken, veri ihlali risklerini de en aza indirger. Politikanızda, her bir veri kategorisi için "toplama amacı sona erdiğinde imha et" kuralını mutlaka tanımlayın.

Bulut Hizmetlerinde Veri İmha Süreci ve Sözleşmesel Sorumluluk

Bulut bilişimde verinin fiziksel olarak nerede olduğu belirsiz olabilir. Bu nedenle bulut hizmet sağlayıcı (CSP) ile yapılan sözleşmelerde şu hükümler bulunmalıdır:

• Veri Taşıma ve Silme Hakları: Hizmet sona erdiğinde verilerin nasıl silineceği ve bunun kanıtının nasıl sunulacağı.
• Çoklu Kiracılık (Multi-tenancy): Verinin, diğer müşterilerin verileriyle karışmadan, güvenli bir şekilde ayrıştırılarak silinmesi.
• Yedekleme Politikası Uyumu: Bulut sağlayıcının yedekleme döngüsü ile kurumun imha politikasının uyumlu olması.

Denetim İzlerinin Önemi

Kurum içinde yapılan her imha işlemi, bir "Denetim İzi" (Audit Trail) bırakmalıdır. Bu izler, ileride yaşanabilecek bir veri ihlali durumunda, ilgili verinin yasal süresinde ve usulüne uygun imha edildiğini kanıtlamanızı sağlar. Denetim izlerinde bulunması gereken temel unsurlar:

• İmha edilen verinin kategorisi.
• İmha işleminin yapıldığı tarih ve saat.
• İmha işlemini gerçekleştiren personelin kimlik bilgisi.
• Kullanılan imha yöntemi ve araç.
• İmha işleminin başarıyla sonuçlandığına dair doğrulama verisi.

Veri İmha Sürecinde Sık Yapılan Hatalar ve Risk Yönetimi

Kişisel Verilerin Korunması Kanunu (KVKK) uyum sürecinde, veri imhası genellikle göz ardı edilen veya yüzeysel geçilen bir aşamadır. Ancak, verinin saklanması kadar, süresi dolan verinin usulüne uygun imha edilmemesi de ciddi idari para cezalarına ve itibar kaybına yol açar. Kurumların sıkça düştüğü hatalar şunlardır:

• Sadece "Sil" Komutu Kullanmak: Dosyayı "çöp kutusuna" atmak veya "delete" tuşuna basmak, verinin fiziksel olarak diskten silindiği anlamına gelmez. Veri, disk sektörlerinde hala erişilebilir durumdadır.
• Yedeklerin Unutulması: Ana veritabanı temizlense bile, eski yedekleme kasetlerinde veya bulut yedeklerinde verinin kalması, imha işleminin geçersiz sayılmasına neden olur.
• İmha Tutanaklarının Tutulmaması: "İmha ettik" beyanı hukuken yeterli değildir. İşlemin kim tarafından, ne zaman ve hangi yöntemle yapıldığını gösteren imzalı bir tutanak şarttır.
• Üçüncü Taraf Sorumluluğunun Devredilmesi: Veri imhasını dış kaynaklı bir firmaya yaptırmak, kurumun sorumluluğunu ortadan kaldırmaz. Seçilen firmanın güvenilirliği ve imha sertifikası denetlenmelidir.

Veri İmha Yöntemleri Karşılaştırma Tablosu

Farklı depolama ortamları için en uygun imha yöntemini seçmek, veri güvenliği ve maliyet dengesi açısından kritiktir. Aşağıdaki tablo, yaygın yöntemlerin etkinlik düzeylerini özetlemektedir:

Veri İmha Sürecinde Kullanılan Araç ve Yazılım Seçimi

Yazılımsal imha süreçlerinde, verinin üzerine rastgele veriler yazan (overwriting) araçlar tercih edilmelidir. Bu araçların, uluslararası standartlara (örneğin; DoD 5220.22-M veya NIST SP 800-88) uygunluğu kontrol edilmelidir.

Güvenli Yazılım Seçim Kriterleri:

• Doğrulama (Verification) Özelliği: Yazılım, imha işlemi bittikten sonra verinin gerçekten silindiğini teyit eden bir rapor oluşturmalıdır.
• Log Kaydı: İşlemin başlangıç ve bitiş zamanını, silinen dosya yollarını kaydedebilmelidir.
• Sertifikasyon: Yazılımın bağımsız kuruluşlarca onaylanmış bir güvenlik sertifikasına sahip olması tercih edilmelidir.

Fiziksel İmha: Donanım Parçalama ve İmha Protokolleri

Donanımın ömrünü tamamladığı veya artık kullanılmayacağı durumlarda, fiziksel imha en güvenli yöntemdir. Ancak bu süreç rastgele yapılmamalıdır.

• Taşıma Güvenliği: İmha edilecek cihazlar, parçalama tesisine gidene kadar "kilitli kutularda" ve kayıt altında tutulmalıdır.
• Kayıt Altına Alma: Parçalanacak her bir cihazın seri numarası, imha öncesinde envanter listesi ile karşılaştırılmalıdır.
• İzlenebilirlik: Parçalama işlemi, mümkünse bir kamera kaydı veya yetkili bir gözlemci eşliğinde gerçekleştirilmelidir.

Örnek Senaryo: İnsan Kaynakları Verilerinin İmhası

Bir kurumda çalışanların özlük dosyalarının imha süreci şu şekilde kurgulanmalıdır:

1. Tespit: İşten ayrılan personelin yasal saklama süresi (Örn: 10 yıl) dolan verileri tespit edilir.
2. Sınıflandırma: Veriler dijital (ERP sistemi) ve fiziksel (klasörler) olarak ayrılır.
3. Dijital İmha: ERP sistemindeki veriler, "veritabanı temizleme" (data purging) scriptleri ile silinir ve log dosyası oluşturulur.
4. Fiziksel İmha: Kağıt üzerindeki veriler, "DIN 66399" standardına uygun bir kağıt imha makinesinde (P-4 veya üzeri güvenlik seviyesi) parçalanır.
5. Tutanak: İK Müdürü ve Bilgi İşlem Sorumlusu tarafından imzalanan "İmha Tutanağı" saklanır.

Veri Minimizasyonu ve İmha Dengesi

Veri imha politikası sadece "silmek" üzerine değil, aynı zamanda "gereksiz veri toplamamak" üzerine kurulmalıdır. Veri minimizasyonu, imha yükünü azaltan en önemli stratejidir. Kurumlar, "İhtiyacın yoksa toplama, süresi dolduğunda imha et" kuralını mutlaka tanımlamalıdır.

Bu dengeyi sağlamak için:

• Veri envanterinde her veri kategorisi için bir "saklama süresi" tanımlayın.
• Saklama süresi dolan verileri otomatik olarak uyaran sistemler kurun.
• İmha işlemini, iş süreçlerinin bir parçası haline getirin; manuel süreçlerden kaçının.

Veri İmha Sürecinde Sık Yapılan Hatalar ve Risk Yönetimi

Veri imha süreci, sadece bir "delete" tuşuna basmaktan ibaret değildir. Kurumların en sık yaptığı hatalar, verilerin geri döndürülebilir şekilde silinmesi veya imha kayıtlarının tutulmamasıdır. Bu durum, KVKK uyumluluğunu doğrudan riske atar.

• Yetersiz Silme Yöntemleri: Dosyaların sadece "Çöp Kutusu"na atılması, verinin disk üzerinde hala erişilebilir olduğunu gösterir. Profesyonel "wipe" yazılımları kullanılmalıdır.
• Yedeklerin Unutulması: Ana sistemdeki veriler silinse dahi, eski yedekleme ünitelerinde (LTO bantlar, harici diskler) verilerin kalması büyük bir güvenlik açığıdır.
• İmha Kayıtlarının Tutulmaması: Hangi verinin, ne zaman, kim tarafından ve hangi yöntemle imha edildiğinin belgelenmemesi, denetim sırasında kurumun elini zayıflatır.
• Sorumluluk Belirsizliği: İmha işleminin kimin yetkisinde olduğunun tanımlanmamış olması, yetkisiz kişilerin verilere erişimine veya yanlış verilerin silinmesine yol açabilir.

Veri İmha Yöntemleri Karşılaştırma Tablosu

Hangi verinin hangi yöntemle imha edileceği, verinin türüne ve depolandığı ortama göre değişiklik gösterir. Aşağıdaki tablo, en yaygın imha yöntemlerini karşılaştırmalı olarak sunmaktadır.

Veri İmha Sürecinde Kullanılan Araç ve Yazılım Seçimi

Veri imha araçları, verinin fiziksel olarak üzerine yazılmasını (overwriting) sağlayan profesyonel çözümler olmalıdır. Standart bir formatlama işlemi, verinin kurtarılmasına olanak tanır.

Güvenli Yazılım Seçim Kriterleri:

• Uluslararası Standart Uyumu: Yazılımın NIST 800-88 veya DoD 5220.22-M gibi uluslararası kabul görmüş standartları desteklemesi şarttır.
• Doğrulama (Verification) Özelliği: Yazılım, imha işleminden sonra verinin gerçekten silindiğini teyit eden bir "imza" veya "doğrulama raporu" üretmelidir.
• Log Kaydı: İşlemin başlangıç ve bitiş zamanını, silinen cihazın seri numarasını içeren detaylı loglar tutmalıdır.
• Çoklu Geçiş Desteği: Verinin üzerine kaç kez rastgele veri yazılacağını (pass) belirleyebilme yeteneği.

Fiziksel İmha: Donanım Parçalama ve İmha Protokolleri

Dijital verilerin saklandığı donanımlar (HDD, SSD, SD kartlar) kullanım ömürlerini tamamladıklarında veya arızalandıklarında, yazılımsal silme işlemi her zaman mümkün olmayabilir. Bu durumlarda fiziksel imha devreye girer.

Fiziksel imha süreçlerinde dikkat edilmesi gereken protokoller:

1. Envanter Takibi: Parçalanacak olan her bir donanımın seri numarası, imha öncesi listelenmelidir.
2. Güvenli Taşıma: Donanımlar, imha edileceği noktaya kadar kilitli kutularda ve yetkili personel gözetiminde taşınmalıdır.
3. Parçalama Boyutu: SSD'ler için parçacık boyutu, çiplerin geri birleştirilemeyecek kadar küçük (genellikle 2mm x 2mm) olması gerekir.
4. İmha Sertifikası: Parçalama işlemi bir üçüncü taraf (destek hizmeti) tarafından yapılıyorsa, mutlaka "İmha Sertifikası" alınmalıdır.

Örnek Senaryo: İnsan Kaynakları Verilerinin İmhası

İK departmanları, en hassas kişisel verilerin (maaş bilgileri, sağlık raporları, performans değerlendirmeleri) bulunduğu birimdir. Bu verilerin imha süreci şu şekilde kurgulanmalıdır:

1. Tespit: İşten ayrılan personelin yasal saklama süresi (Örn: 10 yıl) dolan verileri tespit edilir.
2. Sınıflandırma: Veriler dijital (ERP sistemi) ve fiziksel (klasörler) olarak ayrılır.
3. Dijital İmha: ERP sistemindeki veriler, "veritabanı temizleme" (data purging) scriptleri ile silinir ve log dosyası oluşturulur.
4. Fiziksel İmha: Kağıt üzerindeki veriler, "DIN 66399" standardına uygun bir kağıt imha makinesinde (P-4 veya üzeri güvenlik seviyesi) parçalanır.
5. Tutanak: İK Müdürü ve Bilgi İşlem Sorumlusu tarafından imzalanan "İmha Tutanağı" saklanır.

Veri Minimizasyonu ve İmha Dengesi

Veri imha politikası sadece "silmek" üzerine değil, aynı zamanda "gereksiz veri toplamamak" üzerine kurulmalıdır. Veri minimizasyonu, imha yükünü azaltan en önemli stratejidir. Kurumlar, "İhtiyacın yoksa toplama, süresi dolduğunda imha et" kuralını mutlaka tanımlamalıdır.

Bu dengeyi sağlamak için:

• Veri envanterinde her veri kategorisi için bir "saklama süresi" tanımlayın.
• Saklama süresi dolan verileri otomatik olarak uyaran sistemler kurun.
• İmha işlemini, iş süreçlerinin bir parçası haline getirin; manuel süreçlerden kaçının.

Bulut Hizmetlerinde Veri İmha Süreci ve Sözleşmesel Sorumluluk

Bulut ortamında veriler fiziksel olarak sizin kontrolünüzde değildir. Bu nedenle imha süreci, bulut hizmet sağlayıcısı (CSP) ile yapılan sözleşmelerle yönetilmelidir.

Önemli Not: Hizmet sağlayıcınızın "Veri İşleyen" olarak veriyi nasıl imha ettiğine dair "Veri İşleme Sözleşmesi" (DPA) maddelerini inceleyin. Sözleşmede, hizmet sonlandığında verilerin güvenli bir şekilde silineceğine dair taahhüt bulunmalıdır.

Bulut ortamında imha süreci için şu adımlar izlenmelidir:

• Hizmet Bitimi: Sözleşme sona erdiğinde verilerin ne kadar süre içinde silineceği netleştirilmelidir.
• Kriptografik İmha: Bulut üzerindeki verileri şifreleyerek saklayın. Veriyi silmeniz gerektiğinde, sadece şifreleme anahtarını (encryption key) yok ederek veriyi erişilemez kılabilirsiniz.
• Raporlama: Sağlayıcıdan, verilerin silindiğine dair teknik bir teyit raporu talep edin.

Denetim İzlerinin Önemi

KVKK denetimlerinde, kurumun "Veri İmha Politikası"nı sadece kağıt üzerinde hazırlayıp hazırlamadığına değil, bu politikanın uygulanıp uygulanmadığına bakılır. Denetim izleri (audit trails), bu noktada en güçlü kanıtınızdır.

Bir imha denetim izinde bulunması gereken temel unsurlar:

• İmha edilen verinin kategorisi (Örn: Müşteri iletişim verisi).
• İmha yöntemi (Örn: Yazılımsal üzerine yazma).
• İmha işlemini gerçekleştiren kişinin kimliği.
• İmha işleminin onayını veren yetkili.
• İmha işleminin tarih ve saat damgası.

Bu kayıtların, kurumun genel veri saklama ve imha politikası ile uyumlu olması, olası bir veri ihlali durumunda "Kurul" nezdinde iyi niyet ve uyum göstergesi olarak kabul edilir.