Şirketim müşterilerin kişisel verilerini nasıl saklamalı?

Konuya özel açıklama

Müşteri verileri, belirli bir iş amacı ve geçerli hukuki sebep için, gerekli kapsam ve süreyle sınırlı olarak saklanmalıdır. Güvenli bir yazılım satın almak veya müşteriden genel bir onay almak tek başına KVKK uyumu sağlamaz. Şirketin hangi veriyi neden tuttuğu, kimlerin erişebildiği, hizmet sağlayıcıya ne aktarıldığı ve ne zaman imha edileceği birlikte belirlenmelidir.

Önce veriyi ve amacı belirleyin

İsim, telefon, teslimat adresi, sipariş geçmişi, destek yazışmaları ve kişiyi belirlenebilir kılan dijital kayıtlar kişisel veri olabilir. KVKK m.4 gereğince işleme; hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel, belirli ve meşru amaçlı, amaçla bağlantılı, sınırlı ve ölçülü olmalıdır. Veriler mevzuatta öngörülen veya amaç için gerekli süreden fazla tutulmamalıdır.

Başlangıç için her süreçte veri kategorisini, amacı, hukuki sebebi, erişen ekibi, alıcıları, saklama süresini ve imha yöntemini kaydedin. Satışın yapılması, fatura düzenlenmesi, müşteri desteği ve reklam gönderimi ayrı amaçlardır. Bir amaç için toplanan verinin başka bir süreçte kullanımını ayrıca değerlendirin. İleride lazım olabileceği düşüncesi, sınırsız veri toplama ve saklama gerekçesi değildir.

Her veri için açık rıza gerekir mi?

Hayır. KVKK m.5’te açık rıza dışında da işleme şartları vardır. Sözleşmenin kurulması veya yerine getirilmesi için gerekli müşteri bilgileri, kanuni yükümlülük için tutulması gereken kayıtlar ya da bir hakkın korunması için zorunlu belgeler, somut koşullar sağlandığında ilgili hukuki sebebe dayanabilir. Meşru menfaat için ayrıca gereklilik ve kişinin temel haklarına zarar vermeme değerlendirmesi yapılmalıdır.

Gerçek hukuki sebep belirlenmeden her işlem için açık rıza istenmesi doğru değildir. Aydınlatma metnini okuduğuna ilişkin kayıt da tek başına açık rıza oluşturmaz. Sağlık veya biyometrik veri gibi özel nitelikli bilgiler söz konusuysa m.6’nın 1 Haziran 2024’te değişen işleme şartları ve Kurulun yeterli önlemleri ayrıca uygulanır. Olağan müşteri verisine ilişkin değerlendirme bu verilere aynen taşınamaz.

Müşteriyi bilgilendirin

Veri elde edilirken m.10 kapsamındaki aydınlatma yapılmalıdır. Veri sorumlusunun kimliği, işleme amaçları, verilerin kimlere ve hangi amaçlarla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile ilgili kişinin hakları anlaşılır biçimde açıklanır. Bu yükümlülük yalnız açık rızaya dayanan işlemlerde doğmaz. İnternet sitesi, çağrı merkezi ve mağaza gibi farklı toplama noktalarının gerçek veri akışı metinlere yansıtılmalıdır.

Saklama süresini kayıt türüne göre kurun

KVKK bütün müşteri verileri için tek bir yıl sınırı belirlemez. Fatura ve ticari kayıtların kanuni saklama yükümlülükleriyle müşteri destek kayıtları veya pazarlama listelerinin ihtiyaçları farklıdır. Her kategoride uygulanabilir özel mevzuat, sözleşme ve hakkın korunması ihtiyacı birlikte incelenmelidir. Devam eden uyuşmazlık ilgili kayıtların korunmasını gerektirebilir; bu gerekçe ilgisiz tüm müşteri verilerini süresiz tutmaya dönüştürülmemelidir.

İşleme şartlarının tamamı ortadan kalktığında m.7 uyarınca silme, yok etme veya anonimleştirme yapılır. Yalnız ekranda gizlemek her durumda silme değildir. Anonimleştirmede veri, başka verilerle eşleştirilse bile kişiyle ilişkilendirilememelidir. Ana sistem, dışa aktarılan dosyalar ve yedekler için uygulanabilir bir plan kurulmalıdır.

Saklama ve imha politikası hazırlama yükümlülüğü olanlarda periyodik imha aralığı altı ayı aşamaz. Bu yükümlülüğü bulunmayanlarda, imha zorunluluğu doğduktan sonra Yönetmelikteki üç aylık süre uygulanır. İlgili kişinin başvurusu ise ayrıca değerlendirilir ve en geç otuz gün içinde sonuçlandırılır. VERBİS kaydından istisna olmak genel koruma ve imha yükümlülüklerini kaldırmaz.

Güvenlik ve bulut hizmetleri

KVKK m.12, riskle uyumlu teknik ve idari tedbirler alınmasını gerektirir. Göreve göre erişim, gereksiz yetkilerin kaldırılması, güçlü kimlik doğrulama, uygun şifreleme, yedeklerin korunması, erişim kayıtları, çalışan eğitimi ve düzenli denetim birlikte planlanmalıdır. Veri işleyen hizmet sağlayıcı kullanılması, şirketin sorumluluğunu ortadan kaldırmaz; sözleşme, alt işleyenler, güvenlik ve hizmet bitimindeki iade/imha koşulları incelenmelidir.

Yurt dışındaki bulut sistemi veya yabancı destek ekibinin erişimi, m.9 kapsamındaki aktarım kurallarını gündeme getirebilir. 2024’te değişen sistemde işleme şartıyla birlikte yeterlilik kararı veya uygun güvence mekanizması değerlendirilir; bunların yokluğundaki istisnalar yalnız kanuni koşullarıyla kullanılabilir. Rutin aktarımı genel bir açık rıza kutusuna bağlamak yeterli değildir. Standart sözleşme kullanılıyorsa imzadan itibaren beş iş günlük Kuruma bildirim yükümlülüğü de izlenir.

Son olarak ihlal müdahale planı ve müşteri başvuru kanalı oluşturun. Kanuni olmayan elde etme olayı öğrenildiğinde Kurula bildirim için en geç 72 saat kuralı, etkilenen kişilere bildirim için makul en kısa süre yaklaşımı uygulanır. Her olayın kapsamı ayrıca değerlendirilmelidir. Bu rehber Türkiye’deki KVKK çerçevesine odaklanır; yabancı mevzuatın ayrıca uygulanıp uygulanmadığı şirketin faaliyetleri üzerinden incelenir.