GDPR Silinme Hakkı: EDPB 2025 Bulguları
2026 için güncellenmiştir
EDPB'nin 2025 Silme Hareketi
Avrupa Veri Koruma Kurulu 2025 yılında önemli bir hareket başlattı. GDPR Madde 17 — silinme hakkını kapsıyordu. AB ve AEA genelinde 32 VKO bu sürece katıldı. Hepsi aynı anda hareket etti. Amaç, tek seferlik vakaları değil geniş çaplı başarısızlıkları tespit etmekti.
Bu hareket Koordineli Uygulama Çerçevesi ya da KUÇ olarak bilinmektedir. Dokuz VKO o tarihten bu yana bulgularına dayanarak resmi soruşturma açmıştır.
Yedi Tekrarlayan Başarısızlık
KUÇ raporu, incelediği kuruluşlarda saptanan yedi sorunu adlandırdı:
- Kaldırma taleplerini işlemek için zayıf adımlar
- Geçerli taleplerin aşırı geniş kapsamlı reddedilmesi
- Talep gönderen kişilere haksız yük yüklenmesi
- Sistemler genelinde tüm kişisel kayıtların bulunamayışı
- 30 günlük GDPR yanıt penceresinin aşılması
- Kişilere talep sonuçları hakkında yetersiz geri bildirim
- Silme yerine kullanılan hatalı anonimleştirme. Kuruluşlar "anonimleştirme" iddiasında bulundu, ancak kayıtlar izlenebilir kalmaya devam etti.
Yedinci madde en karmaşık olanıdır. Tutulan kişisel öğeleri azaltmak için bu yöntemi kullanan her kuruluşu etkiler.
Anonimleştirme ve Silme Karşılaştırması
GDPR'ın silinme hakkı her zaman tam silme anlamına gelmez. 65. Gerekçe, silmenin uygulanamadığı durumlarda bu yaklaşıma izin verir. Yedek bantlar ve analitik sistemler yaygın örneklerdir.
KUÇ, bu seçeneğin kötüye kullanıldığını ortaya koymaktadır. Kuruluşlar gerçek silmeden kaçınmak için bir süreci "anonimleştirme" olarak etiketlemektedir. Ancak süreç, öğeleri gerçek kişilere izlenebilir hâlde bırakmaya devam etmektedir.
EDPB net bir çizgi çizmektedir.
Gerçek anonimleştirme, öğeler ile bir kişi arasındaki bağlantının yeniden kurulamayacağı anlamına gelir. Veri sorumlusunun bunları yeniden ilişkilendirme yolu yoktur. Hiçbir üçüncü tarafın yeniden ilişkilendirme yolu yoktur. Bu öğeler GDPR kapsamı dışına çıkar. Talep karşılanmış olur.
Takma ad kullanımı farklıdır. Doğru anahtarla yeniden ilişkilendirme hâlâ mümkündür. Kişisel öğeler hâlâ mevcuttur. Talep karşılanmamıştır. Öğeler silinmeli ya da anahtar imha edilmelidir.
İki Katmanlı Bir Yaklaşım
Analitik amaçlarla bu yöntemi kullanan kuruluşların iki katmana ihtiyacı vardır.
1. Katman — Alım: Ham kişisel öğeler burada tutulur. Bu öğeler kaldırma taleplerine tabidir. Bir kişi Madde 17 haklarını kullandığında bu katmandaki öğeler silinir.
2. Katman — Analitik: Yalnızca anonimleştirilmiş çıktılar bu katmana ulaşır. Maskeleme adımı tam ve tek yönlü yapılmışsa bu çıktılar kişisel veri değildir. Bir kaldırma talebi geldiğinde değişmezler.
Bu yapı yalnızca maskeleme adımı üç testi geçtiğinde işe yarar.
Birincisi: tek yönlü. Geri alınabilir jetonlar ve şifreli takas bu niteliği taşımaz.
İkincisi: eksiksiz. Tüm tanımlayıcı türleri ele alınmalıdır. Yalnızca isimler yeterli değildir.
Üçüncüsü: kayıt altında. Kuruluşun bir VKO'ya yöntemin nasıl çalıştığını gösterebilmesi gerekir.
Müşteri adlarını şifreli jetonlarla değiştiren bir perakendeci, gerçek silme değil takma ad kullanımı yapmıştır. Analitik katman hâlâ kişisel öğeler içerir. Silme talepleri hâlâ geçerlidir.
GDPR uyumluluk kılavuzumuz her yaklaşım için hukuki dayanağı kapsar. Güvenlik uyumluluğuna genel bakış sayfamız gerekli kontrolleri listeler. Adım adım yardım için bkz. GDPR anonimleştirme denetim kılavuzu.