İşleme sebebi ortadan kalkan kişisel veriyi saklamaya devam edemezsiniz; KVKK'nın 7. maddesi bu veriyi silmenizi, yok etmenizi ya da anonim hâle getirmenizi ister. Web sitesi ya da uygulama işletenlerin çoğu bunu veritabanındaki bir kayıt için düşünür. Oysa aynı kural sunucunun kendisi için de geçerlidir: hizmeti bitirdiğinizde, sağlayıcı değiştirdiğinizde ya da diski değiştirdiğinizde o diskteki her kişisel veri için bir imha kararı vermiş olursunuz. Bu yazı o kararın tekniğini anlatır; hukuki görüş değildir, saklama sürelerinizi hukuk danışmanınızla belirleyin.
Silme, yok etme, anonim hâle getirme: üç ayrı işlem
Yönetmelik üç işlemi ayrı tanımlar ve üçü aynı şey değildir:
- Silme: verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesi. Veritabanından kaydı kaldırmak, dosyayı silmek buraya girer; verinin fiziksel olarak diskte kalıp kalmadığıyla ilgilenmez.
- Yok etme: verinin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hâle getirilmesi. Diskin üzerine yazmak, donanım düzeyinde temizlemek ya da fiziksel olarak parçalamak buraya girer.
- Anonim hâle getirme: verinin başka verilerle eşleştirilse bile kimseyle ilişkilendirilemez hâle getirilmesi. İstatistik için saklanacak veride tercih edilir.
Sunucu düzeyinde kritik ayrım ilk ikisi arasındadır. Bir dosyayı silmek verinin diskteki bloklarını boşa çıkarır; üzerine başka bir şey yazılana kadar veri oradadır ve kurtarma araçlarıyla geri gelir. Disk elinizden çıkacaksa ya da başka birine tahsis edilecekse "silme" değil "yok etme" gerekir.
Yok etme nasıl ölçülür: NIST SP 800-88 düzeyleri
Türk mevzuatı yöntem adı vermez; "geri getirilemez" sonucunu ister. Yöntemin yeterliliğini tarif eden uluslararası referans NIST SP 800-88 kılavuzudur ve üç düzey tanımlar:
- Clear (temizleme): diskin tamamına üzerine yazma. Yazılım düzeyinde kurtarmaya karşı yeterlidir; manyetik disklerde tek geçiş çoğu durumda yeter.
- Purge (arındırma): diskin kendi denetleyicisine verilen temizleme komutları: NVMe diskte Sanitize, SATA diskte ATA Secure Erase, SAS diskte SCSI Sanitize. Laboratuvar düzeyinde kurtarmaya karşı da koruma sağlar; SSD'lerde üzerine yazma yerine bu yöntemler gerekir, çünkü SSD denetleyicisi yazılan veriyi istediğiniz bloğa yazmaz.
- Destroy (yok etme): fiziksel parçalama ya da manyetik imha. Disk tekrar kullanılmayacaksa.
Hangi düzeyin yeterli olduğu verinin hassasiyetine ve diskin akıbetine bağlıdır. Disk sağlayıcıda kalıp başka müşteriye tahsis edilecekse en az Purge; özel nitelikli kişisel veri taşıdıysa Purge sonrası doğrulama okuması da yapılmalıdır. Yönetmelik yöntemi size bırakır, sonucu ve kaydı bırakmaz.
| Disk | Yöntem | NIST düzeyi |
|---|---|---|
| Manyetik disk (HDD) | Tüm diske üzerine yazma | Clear |
| SATA SSD | ATA Secure Erase | Purge |
| NVMe SSD | NVMe Sanitize | Purge |
| SAS disk | SCSI Sanitize | Purge |
| Sanal disk (VDS) | Şifreli kurulum + anahtar imhası ya da üzerine yazma | Kriptografik silme / Clear |
| Disk hurdaya çıkacak | Parçalama ya da manyetik imha | Destroy |
Sunucu türüne göre ne yapılır
Aynı KVKK yükümlülüğü üç üründe üç farklı işe dönüşür, çünkü diske erişiminiz ürüne göre değişir: paylaşımlı hostingde diske hiç dokunamazsınız, VDS'te sanal diske dokunursunuz, fiziksel sunucuda diskin kendisine.
Paylaşımlı hosting
Diske siz dokunamazsınız; imha üç yerde yapılır: site dosyaları, veritabanı ve panelden alınan yedekler. Hesabı kapatmadan önce veritabanındaki kişisel veri tablolarını boşaltın, yüklenen dosyaları silin, panelde duran yedek dosyalarını kaldırın. Sağlayıcının kendi yedeğinde verinin ne kadar süre kalacağını sözleşmeden okuyun ve imha kaydına yazın.
VDS
Sanal diskin tamamı sizin kontrolünüzdedir, ama altındaki fiziksel disk sağlayıcınındır. Hizmeti kapatmadan önce sanal diskin içini kendiniz temizleyin: işletim sisteminden tam disk üzerine yazma (Clear düzeyi) yapabilirsiniz; Purge düzeyi sanal diskte anlamlı değildir, çünkü denetleyici komutları hipervizörün altındaki fiziksel diske ulaşmaz. En sağlam yol, VDS'i açarken diski şifreli kurmaktır: hizmet bittiğinde anahtarı yok etmek veriyi okunamaz kılar ve bu, kılavuzda kriptografik silme olarak ayrı bir yöntemdir. VDS'te sanal disk hizmet sonunda kaldırılır; kaydı yine siz tutarsınız.
Fiziksel sunucu
Fiziksel sunucu bu listenin en net olduğu üründür: disk gerçek bir disktir ve denetleyici komutları doğrudan ona ulaşır; Purge düzeyi burada mümkündür. Kiralık bir fiziksel sunucu hizmet sonunda diskiyle birlikte sağlayıcıya döner; bu yüzden imha ya siz sunucuyu bırakmadan önce yapılır ya da sağlayıcı tarafından yapılıp size belgelenir. Hangisi olacağını sözleşmeden ve sağlayıcınıza soracağınız tek sorudan öğrenirsiniz: "Disk yeniden tahsis edilmeden önce hangi yöntemle temizleniyor ve bunu bana nasıl gösteriyorsunuz?" Yazılı cevap alamıyorsanız imhayı kendiniz yapın.
Yedekler: en çok atlanan satır
Canlı diskten yok ettiğiniz veri, saklama süresi dolmamış bir yedekte durmaya devam eder. İmha planı yedek planını içermiyorsa yarım kalmıştır. Üç soru:
- Yedekler nerede ve kaç sürüm tutuluyor?
- Yedek saklama süresi, o verinin imha süresiyle uyumlu mu?
- Yedekten geri dönüş yapılırsa imha edilmiş veri geri gelir mi; geliyorsa bunu yakalayan bir adım var mı?
Sunucu ürünlerinde yedekleme ek hizmettir ve çoğu zaman yedeği siz alırsınız; 3-2-1 stratejisini kurarken her kopyanın imha tarihini de yazın. Yedeklerin şifreli olması burada da işe yarar: anahtarın yok edilmesi tüm kopyaları aynı anda okunamaz kılar.
İmha kaydı: ne yazılır, ne kadar saklanır
Yönetmelik silme, yok etme ve anonim hâle getirme işlemlerinin kayıt altına alınmasını ve bu kayıtların, başka hukuki yükümlülükler saklı kalmak üzere, en az üç yıl saklanmasını ister. Periyodik imha aralığı ise en çok altı aydır. Sunucu imhası için kayıtta şunlar bulunmalıdır:
- İşlemin tarihi, başlangıç ve bitiş saati.
- Sunucu ve disk tanımı: model, seri numarası, kapasite.
- Verinin kategorisi ve imha sebebi (saklama süresi doldu, hizmet sona erdi, disk değişti).
- Uygulanan yöntem ve düzeyi (ör. NVMe Sanitize, Purge).
- Doğrulama yapıldıysa yöntemi ve sonucu.
- İşlemi yapan kişi ya da kuruluş ve imzası; bir sağlayıcı ya da imha firması yaptıysa verdiği belge.
Fiziksel imha firmaları bu kaydı imha sertifikası adıyla verir. Sağlayıcınız hizmet sonunda böyle bir belge veriyorsa dosyanıza o girer; vermiyorsa kaydı kendi şablonunuzla tutarsınız. Her iki durumda da kayıt, denetimde "veriyi ne yaptınız" sorusunun cevabıdır; KVKK'nın 7. maddesindeki yükümlülüğü yerine getirdiğinizi gösteren tek şey budur.
Hizmet sonu kontrol listesi
- Diskte hangi kişisel veri kategorilerinin bulunduğu envanterden çıkarıldı.
- Yöntem disk türüne göre seçildi: SSD ve NVMe'de denetleyici komutu ya da kriptografik silme, manyetik diskte üzerine yazma.
- Yedekler ve kopyalar (anlık görüntüler dahil) plana dahil edildi.
- Sağlayıcıya "disk yeniden tahsis edilmeden önce ne yapıyorsunuz" sorusu soruldu, cevap yazılı alındı.
- İmha kaydı dolduruldu, üç yıl saklanacak yere kondu.
Altyapı tarafında hangi sorunun kimde olduğunu KVKK uyumu için sunucu altyapısı sayfasında topladık; sağlayıcı değiştirirken sıralama için bir sonraki yazıya geçin.
- #kvkk
- #güvenlik
- #sunucu
