Kağıt Dosyalar da KVKK Kapsamında mı? Fiziksel Arşiv Güvenliği, Evrak İmhası ve Karartma Yöntemi
Kağıt dosyalar da KVKK kapsamında. Veri kayıt sistemi şartı, arşiv odası güvenliği, karartma ve kırpma ile imha, periyodik imha süreleri ve Kurul kararları.
Kısa cevap: evet. 6698 sayılı Kanun'un 2. maddesi, kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenmesini kapsıyor. Ölçüt verinin bilgisayarda olup olmaması değil, belirli kriterlere göre yapılandırılmış bir düzenin parçası olup olmaması. Çalışan adına göre sıralanmış özlük klasörleri, tarih sırasına dizilmiş hasta dosyaları, sayfa sayfa doldurulan ziyaretçi defteri, hepsi bu tanıma giriyor. Kapsam dışı kalan alan da sanıldığı kadar geniş değil, çünkü o evrakı tarayıp sunucuya attığınız anda işleme zaten kısmen otomatik hale geliyor. Kağıt olduğu için Kanun'a girmez savunması Kurul önünde tutmuyor; dosya dolabından çıkan bir olay da veri güvenliği yükümlülüğünün ihlali sayılıyor ve cezası aynı maddeden kesiliyor.
Tanımı doğru okumak gerekiyor. Kanun'un 3. maddesi veri kayıt sistemini, kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi olarak tarif ediyor. Aranan şey bir erişim kolaylığı: dosyalara isme, tarihe, müşteri numarasına ya da departmana göre ulaşabiliyorsanız ortada bir sistem vardır. Masanın üstünde unutulmuş tek bir teslimat fişi başka şeydir, alıcı adına göre ayrılmış bir klasör başka. İkincisi pratikte neredeyse her işletmede var. Bir şirkette gerçekten rastgele duran kağıt bulmak zordur; muhasebe, insan kaynakları ve satış süreçleri belgeyi bir düzene göre saklamak üzere kurulur zaten.
Karışıklık çoğunlukla VERBİS'ten çıkıyor. Kurul'un 2 Nisan 2018 tarihli ve 2018/32 sayılı kararıyla, herhangi bir veri kayıt sisteminin parçası olmak kaydıyla yalnızca otomatik olmayan yollarla kişisel veri işleyenler Veri Sorumluları Siciline kayıt yükümlülüğünden istisna tutuldu. O karar sicile kaydı kaldırıyor, Kanun'u değil. Aydınlatma yükümlülüğü, veri güvenliği tedbirleri, ilgili kişi başvurularına otuz gün içinde cevap verme, ihlalde Kurula bildirim, saklama ve imha düzeni yerinde duruyor. Üstelik istisnanın kendisi kırılgan. Aynı bilgiyi bir Excel dosyasına girdiğiniz, bir ön muhasebe programına işlediğiniz ya da bir e-postaya eklediğiniz anda işleme kısmen otomatik hale gelir ve istisna düşer.
Kurumun Kişisel Veri Güvenliği Rehberi fiziksel tarafı ayrı bir başlıkta ele alıyor ve beklentiyi açık yazıyor. Kişisel veri içeren kağıt ortamındaki evrakların ek güvenlik önlemi bulunan başka bir odaya alınması, kullanılmadığı zaman kilit altında tutulması ve giriş çıkış kayıtlarının tutulması isteniyor. Aynı bölüm, bu evrakların yalnızca yetkili kişilerin erişebileceği ortamlarda saklanmasını ve yetkisiz erişimin önlenmesini şart koşuyor. Fiziksel ortamların yangın ve sel gibi dış risklere karşı korunması da buraya ekleniyor. Maddeleri okuyup kendi arşivinize bakmak çoğu zaman yeterli oluyor. Anahtarı resepsiyonun çekmecesinde duran bir arşiv odası, yaz boyunca kapısı açık bırakılan bir dosya deposu ya da ortak yazıcıdan alınmayan bordro çıktıları bu tarife uymuyor.
Kurul'un 20 Nisan 2021 tarihli ve 2021/407 sayılı kararı, kağıt arşivin ne kadara mal olabileceğini gösteriyor. Bir hastanede hasta dosyaları arşivden çıkarılıp yerleşke dışına taşınmış, etkilenen kişi sayısı 789. Olay güvenlik kamerası görüntüleri incelenerek ancak on yedi gün sonra fark edilmiş ve dosyaların yalnızca küçük bir bölümü geri alınabilmiş. Kurul, dosyaların yerleşke dışına çıkmasını engelleyecek tedbirlerin alınmadığını, arşive erişimin ve izlemenin yetersiz kaldığını, çalışanlara verilen eğitimin yeterli olmadığını saptadı. Sonuç, veri güvenliği yükümlülüğünün ihlali nedeniyle 450.000 TL, ihlal bildirimindeki gecikme nedeniyle 150.000 TL olmak üzere toplam 600.000 TL idari para cezası oldu. Karardaki asıl ders teknik değil: olayı fark etmek on yedi gün sürdüyse sorun kilitte değil, kontrol mekanizmasındadır.
Evrakın en kırılgan olduğu an hareket halinde olduğu andır. Güvenlik Rehberi, yerleşke dışında bulunan kağıt ortamları için de aynı seviyede önlem alınmasını istiyor. Bunun pratik karşılığı üç yerde çıkıyor. Birincisi dış arşiv ve depolama firmaları; kutularınızı başka bir şirketin deposuna gönderiyorsanız o şirket veri işleyendir ve Kanun'un 12. maddesinin ikinci fıkrası uyarınca güvenlik tedbirlerinin alınmasında sizinle müştereken sorumludur, Kurum da bu ilişkinin yazılı bir sözleşmeye bağlanmasını bekliyor. İkincisi evrak gönderimi; Kurul'un 31 Ocak 2018 tarihli ve 2018/10 sayılı ilke kararı, kağıt ortamı yoluyla aktarımda evrakın çalınması, kaybolması ya da yetkisiz kişilerce görülmesi risklerine karşı önlem alınmasını ve belgenin gizlilik dereceli belge formatında gönderilmesini istiyor. Üçüncüsü yerleşke dışında yapılan iş; eve götürülen dosya, araçta unutulan klasör ve şantiyedeki geçici ofis de aynı rejime tabi.
Saklama tarafında risk iki yönlü. Bir yanda gereğinden uzun tutulan evrak, diğer yanda erken imha edilen belge. Kişisel veri işleme envanteriniz yalnızca yazılımları değil kağıt ortamını da göstermeli; saklama ve imha politikası hazırlamakla yükümlüyseniz, politikanın kapsadığı kayıt ortamlarını saymanız zaten yönetmelik gereği. Süreleri belirlerken Türk Ticaret Kanunu'nun ticari defter ve belgeler için öngördüğü on yıl, Vergi Usul Kanunu'nun beş yıllık muhafaza süresi ve iş mevzuatındaki zamanaşımı süreleri birlikte değerlendirilir. Her imha talebinin kabul edilmek zorunda olmadığını gösteren bir karar da var: Kurul, 28 Haziran 2018 tarihli ve 2018/69 sayılı kararında sicil dosyalarındaki verilerin işlenmesini gerektiren sebepler ortadan kalkmadığı için imha edilmemesi gerektiğine hükmetti. Bir belgeyi saklamanız gerekiyorsa silmeyeceksiniz, gerekmiyorsa da elinizde tutmayacaksınız.
İmha yöntemi kağıtta ikiye ayrılıyor ve ikisi aynı şey değil. Silme, Kurumun imha rehberine göre kağıt ortamında karartma yöntemiyle yapılır. Rehber karartmayı, evrak üzerindeki kişisel verilerin mümkün olan durumlarda kesilmesi, mümkün olmayan durumlarda ise geri döndürülemeyecek ve teknolojik çözümlerle okunamayacak şekilde sabit mürekkep kullanılarak görünemez hale getirilmesi olarak tarif ediyor. Tükenmez kalemle üstünü çizmek bu tanımı karşılamaz, çünkü ışığa tutulduğunda da tarandığında da altı okunur. Yok etme ise ana ortamın ortadan kaldırılması demek. Rehber bunu kağıt imha veya kırpma makineleriyle, anlaşılmaz boyutta, mümkünse yatay ve dikey olarak, geri birleştirilemeyecek şekilde küçük parçalara bölmek olarak tanımlıyor. Yalnızca şerit kesen basit makineler bu ölçütü zor karşılar. İkiye yırtıp çöpe atmak, hurdacıya kiloyla satmak ya da geri dönüşüm kutusuna bırakmak imha sayılmaz.
Kağıdı yok etmek işin yarısı. Aynı belge çoğu zaman en az üç yerde daha durur: tarandığı için dosya sunucusunda, bir müşteriye gönderildiği için e-posta kutusunda, gece alınan yedekte. İmha rehberi, orijinal kağıt formattan tarama yoluyla elektronik ortama aktarılan verilerin bulundukları ortama göre uygun yöntemlerle yok edilmesini istiyor. Çok işlevli cihazlar ayrı bir başlık. Sabit hafızası olan yazıcılar ve tarayıcılar baskı kuyruğundaki belgeleri tutar; cihazı kiralama sonunda iade ederken ya da satarken o hafızanın temizlenmesi gerekir.
Takvim ve kayıt kısmı çoğu şirkette eksik kalıyor. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, saklama ve imha politikası olan veri sorumluları için periyodik imha süresinin altı ayı geçemeyeceğini söylüyor. Politikası olmayan veri sorumlusu ise imha yükümlülüğünün doğduğu tarihi takip eden üç ay içinde işlemi tamamlamak zorunda. İlgili kişi silme ya da yok etme talebiyle başvurduysa süre otuz gün. Yönetmelik ayrıca bu işlemlerin kayıt altına alınmasını ve kayıtların en az üç yıl saklanmasını istiyor. Uygulamadaki karşılığı imha tutanağıdır: hangi belge grubu, hangi tarihte, hangi yöntemle ve kim tarafından imha edildi. Tutanak yoksa imha ettiğinizi de ispat edemezsiniz.
Fiziksel kaynaklı olaylar da veri ihlalidir, bildirim rejimi değişmiyor. Kaybolan bir özlük dosyası, yanlış hastaya verilen bir epikriz, yanlış zarfa konan bir hesap ekstresi, su alan bir arşiv odası, hepsi Kanun'un 12. maddesinin beşinci fıkrası kapsamına girer. Kurul'un 24 Ocak 2019 tarihli ve 2019/10 sayılı kararına göre ihlalin öğrenildiği andan itibaren en geç 72 saat içinde Kuruma bildirim yapılır, ilgili kişilere de makul olan en kısa sürede haber verilir. 2026 yılı için veri güvenliğine ilişkin yükümlülüklerin ihlalinde idari para cezası 256.357 TL ile 17.092.242 TL arasında, aydınlatma yükümlülüğünün ihlalinde 85.437 TL ile 1.709.200 TL arasında uygulanıyor. Aydınlatma tarafını hatırlatmakta fayda var: ziyaretçi defteri, hasta kabul formu, iş başvuru formu ve teslim fişi de aydınlatma yapmanız gereken temas noktaları.
Kendi durumunuzu birkaç soruyla ölçebilirsiniz. Arşiv odanıza kimin girdiği kayıt altında mı; kağıt ortamı envanterinizde ve saklama imha politikanızda görünüyor mu; kırpma makinenizin çıkardığı parçalar birleştirilemeyecek boyutta mı; dış arşiv firmanızla imzalanmış bir sözleşme var mı; son altı ayda bir periyodik imha yapılıp tutanağa bağlandı mı. Bunlardan birine net cevap veremiyorsanız, KVKK Danışman'ın ücretsiz ön değerlendirmesinde fiziksel arşivinizi, saklama sürelerinizi ve imha kayıtlarınızı birlikte gözden geçirip hangi eksiğin önce kapatılması gerektiğini çıkarabiliriz.