Kişisel veri saklama süresini belirlemek için önce verinin hangi amaçla tutulduğunu ve bu amaç için hangi yükümlülüklerin geçerli olduğunu netleştirin. Ardından her veri kategorisine kaynak, başlangıç olayı, süre ve süre bitiminde yapılacak işlemi gösteren bir tablo satırı açın.
Not: Genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir.
Saklama süresi hangi amaçtan çıkar?
Saklama süresi, bir dosyanın işletmede ne kadar yer kapladığına veya ekiplerin onu ne kadar süre sonra unutacağına göre belirlenmez. Önce verinin hangi belirli amaç için toplandığı sorulur. Örneğin bir faturadaki bilgiler muhasebe ve kayıt süreçlerinde; bir özgeçmişteki bilgiler ise işe alım değerlendirmesinde kullanılabilir. Bu iki kaydın amacı, erişen ekipleri ve gerektirdiği saklama süresi aynı değildir. Tek bir “müşteri verisi” ya da “çalışan verisi” başlığı altında hepsine aynı süreyi vermek, farklı ihtiyaçları görünmez hâle getirir.
Amaç belirlendikten sonra, bu amaç için geçerli bir mevzuat yükümlülüğü olup olmadığı araştırılır. 6698 sayılı Kanun’un m.4 genel ilkeleri, kişisel verilerin belirli, açık ve meşru amaçlarla işlenmesi ile amaçla bağlantılı, sınırlı ve ölçülü olması ilkelerini içerir. Dolayısıyla “ileride lazım olabilir” ifadesi tek başına saklama süresinin gerekçesi değildir. İşletme, hangi kayıt türünün hangi ihtiyacı karşıladığını ve bu ihtiyacın ne zaman sona erdiğini açıklayabilmelidir.
Bunu uygulamak için “veri kategorisi” ile “kayıt türü”nü ayırın. “Kimlik verisi” geniş bir kategoridir; kimlik bilgisi içeren fatura, işe alım başvurusu ve ziyaretçi kaydı ise farklı kayıt türleridir. Tabloya önce kaydın işlevini yazın, sonra içinde bulunan veri türlerini belirtin. Ardından yasal yükümlülükleri ve işletmenin bu yükümlülüklerin ötesinde sürdürdüğü iş amaçlarını ayrı ayrı değerlendirin. Mevzuatın gerektirdiği süre ile şirketin operasyonel ihtiyacı aynı şey değildir.
Sık yapılan bir hata, hazır politika metnindeki genel ifadeyi tüm kayıtlar için süre belirlenmiş gibi kullanmaktır. Politika, yaklaşımı anlatır; veri kategorisi bazındaki tablo ise uygulamada hangi kaydın ne zaman gözden geçirileceğini gösterir. Önce kayıt envanterinizi çıkarın, sonra her satır için amacı ve dayanağı yazın. Politika metnini destekleyen Saklama ve İmha Politikası şablonuna bakabilir; süre tablosunu oluştururken Saklama ve İmha Politikası nasıl hazırlanır? içeriğindeki yöntemden yararlanabilirsiniz.
Mevzuat süreleri nasıl doğrulanır?
Mevzuat araştırmasına “bu veri için kaç yıl gerekir?” sorusuyla başlamak tek başına yeterli olmaz. Önce belgenin niteliği, işletmedeki işlevi, tarafları ve ilgili kayıt yükümlülüğü belirlenmelidir. Bir sözleşmenin imzalı nüshası, sözleşmenin yürütülmesi sırasında oluşan yazışmalar ve ödeme belgesi aynı kayıt değildir. Benzer biçimde, bordro kaydı ile çalışanla ilgili her iletiyi tek süreye bağlamak doğru bir yöntem olmayabilir. Süre, dosya adından değil, kaydın hukuki ve operasyonel işlevinden çıkarılmalıdır.
Fatura ve muhasebe kayıtları için vergi mevzuatını; ticari kayıt niteliği taşıyan belgeler için ticaret mevzuatını; iş ilişkisi belgeleri için iş ve sosyal güvenlik mevzuatını araştırın. Sözleşmelerde ilişkinin türünü, sözleşme hükümlerini ve olası uyuşmazlık ihtiyaçlarını; kamera kayıtlarında ise güvenlik amacını, görüntülerin kullanıldığı alanı ve ihtiyacın ne zaman sona erdiğini değerlendirin. Özgeçmişlerde başvurunun hangi aşamada olduğu ve aday havuzunda tutulmasına ilişkin ayrı bir amaç bulunup bulunmadığı incelenmelidir. Bu başlıklar araştırma yönünü gösterir; her kaydın kesin süresini otomatik olarak belirlemez.
Tabloda her süre için kaynağı da kaydedin. Yalnızca mevzuatın adını yazmak yerine hangi kayıt türüne, hangi yükümlülük nedeniyle ve hangi güncel metin veya uzman değerlendirmesine dayanarak süre verildiğini not edin. Doğrulama tarihi ile kontrolü yapan kişiyi de ekleyin. Kaynakta bir değişiklik olduğunda ilgili satırların yeniden değerlendirilmesi böylece kolaylaşır. Süreyi kesinleştiremediğiniz satırı tahminle doldurmayın; “hukukçu incelemesi gerekli” gibi açık bir durum notu verin ve sonuçlanana kadar sorumluyu belirleyin.
Tek tabloda pratik bir çalışma şöyle kurulabilir:
| Kayıt türü | Öncelikle incelenecek kaynak | Süre tablosunda gösterilecek süre | Başlangıç olayına örnek |
|---|---|---|---|
| Fatura ve muhasebe kaydı | Vergi mevzuatı ve kayıt yükümlülükleri | Kaynak doğrulandıktan sonra kayda işlenecek süre | İlgili kayıt döneminin veya işlemin tamamlanması |
| Sözleşme | Sözleşme türü, ilgili mevzuat ve uyuşmazlık ihtiyacı | Sözleşme ve ekleri için ayrı ayrı doğrulanacak süre | Sözleşmenin sona ermesi veya ilişkinin kapanması |
| Bordro kaydı | İş ve sosyal güvenlik mevzuatı ile iş ilişkisinin kayıt ihtiyacı | Belgenin niteliğine göre doğrulanacak süre | İlgili çalışma döneminin tamamlanması veya iş ilişkisinin sona ermesi |
| Kamera görüntüsü | Güvenlik amacı ve olası olay inceleme ihtiyacı | Amaçla sınırlı, gerekçelendirilmiş süre | Görüntünün kaydedildiği zaman veya inceleme ihtiyacının kapanması |
| Özgeçmiş | İşe alım amacı ve aday havuzunda tutma gerekçesi | Başvuru aşamasına göre doğrulanacak süre | Başvurunun sonuçlanması veya aday havuzundaki amacın sona ermesi |
Tablo, doğrulanmamış bir süreyi kanuni süreymiş gibi sunmamalıdır. Belirli kayıt türleri için geçerli süreyi güncel mevzuattan ve gerekiyorsa avukatınızdan veya hukukçunuzdan doğrulayın. 6698 sayılı Kanun’un m.10 veri sorumlusunun aydınlatma yükümlülüğünü düzenler; bu nedenle kişiye verilerin saklanma süresi ve ilgili süreçler hakkında verilen bilginin de işletmenin uygulamasıyla tutarlı olması gerekir.
Başlangıç olayı nasıl seçilir?
Süreyi yazmak kadar, ne zaman işlemeye başladığını belirlemek de önemlidir. “Saklama süresi” sütununda yalnızca bir süre bulunuyor, başlangıç olayı açıklanmıyorsa çalışanların farklı tarihlerden hesap yapması mümkündür. Örneğin sözleşme için imza tarihi, son teslim tarihi, son ödeme tarihi veya ilişkinin sona erdiği tarih gibi farklı seçenekler düşünülebilir. Hangisinin uygun olduğu kaydın işlevine ve geçerli yükümlülüğe göre değerlendirilmelidir. Tabloya tek bir başlangıç olayı yazın ve bu seçimin nedenini not edin.
Başlangıç olayı, işletmenin sisteminde bulunabilir ve düzenli biçimde kaydedilebilir olmalıdır. “İhtiyacın bittiği tarih” tek başına kullanışlı değildir; çünkü kimin, hangi ölçüte göre bu ihtiyacın bittiğine karar vereceği belirsiz kalır. Bunun yerine “sözleşmenin kapanış kaydının oluşturulduğu tarih” ya da “işe alım sürecinin sonuçlandırıldığı tarih” gibi işletmenin izleyebileceği bir olay tanımlayın. Bu örnekler her dosya için otomatik doğru başlangıç tarihi değildir; sorumlu ekip, kayıt türünü ve dayanağı inceleyerek seçimi doğrulamalıdır.
Olay tarihi ile sürenin hesaplanacağı dönem birbiriyle karıştırılmamalıdır. Örneğin belgeyi sisteme yükleme tarihi, belgenin düzenlendiği tarihle veya bir iş ilişkisinin sona erdiği tarihle aynı olmayabilir. Tabloya “başlangıç olayı” ve “olay tarihinin kaydedildiği alan” için ayrı sütunlar koyun. Bir olayın tarihi başka bir sistemde tutuluyorsa, kaydın hangi sistemden alınacağını ve sorumlunun kim olduğunu belirtin. Aksi hâlde silme zamanı yaklaşınca ekipler tarihi e-posta ve klasörlerde aramak zorunda kalır.
Fatura, sözleşme, bordro, kamera görüntüsü ve özgeçmiş için tek bir başlangıç kuralı kullanmayın. Fatura kaydında muhasebe dönemine ilişkin bir olay; sözleşmede ilişkinin sona ermesi; bordroda ilgili çalışma veya ücret döneminin kapanması; kamera görüntüsünde kayıt tarihi ya da incelemenin sonuçlanması; özgeçmişte işe alım kararının verilmesi değerlendirilebilir. Hangi olayın seçileceği, ilgili mevzuat ve gerçek süreçle uyumlu olmalıdır. İşletme içinde tarih alanı değiştirilecekse, tabloyu hazırlayan ekip bu etkiden haberdar edilmelidir.
Başlangıç kuralı açıklanamayan satırları yayıma hazır kabul etmeyin. Sorumlu kişiden süreç bilgisini alın, hukukçunuza danışın ve kararın gerekçesini kayıt altına alın. Periyodik imha akışını anlatan Saklama ve İmha Politikası hazırlama rehberi başlangıç olayını uygulama adımına bağlamanıza yardımcı olabilir.
Çalışan verileri nasıl ayrılır?
Çalışan verilerini tek klasör veya tek saklama süresi altında toplamak, hangi kaydın hangi amaçla tutulduğunu belirsizleştirir. Bordro, işe giriş belgeleri, özlük dosyası, izin kayıtları, iş başvurusu, eğitim bilgileri ve işyeri güvenliği kayıtları aynı amaç için kullanılmaz. Kimi kayıtlar çalışma ilişkisinin yürütülmesiyle; kimileri ücret, izin veya yasal bildirim süreçleriyle ilgilidir. Bu nedenle tabloda “çalışan verileri” yerine ayrı kayıt grupları oluşturun ve her grubun kullanım amacını yazın.
Bordro kaydı için önce belgenin hangi yükümlülüğe ve iş sürecine bağlı olduğunu saptayın. Bordro satırındaki her veriyi, bordronun tamamıyla aynı biçimde sınıflandırmak gerekmez; ancak ayrıştırma işlemi kaydın bütünlüğünü bozmayacak şekilde yapılmalıdır. İşe alım sırasında toplanan özgeçmiş ve değerlendirme notlarını da çalışan dosyasına otomatik olarak eklemeyin. Başvuru sonuçlandığında aday kaydının hangi amaçla tutulmaya devam edeceği açıkça belirlenmelidir. Başvuru için toplanmış kayıtların, işe başlayan kişinin çalışan dosyasıyla aynı gerekçeye sahip olduğunu varsaymayın.
Çalışan kayıtlarında erişim yetkisini de süre tablosuyla birlikte düşünün. İnsan kaynakları, muhasebe ve yöneticiler farklı kayıtlara farklı nedenlerle erişebilir. Herkese aynı klasör erişimini vermek, saklama süresini belirlemiş olsanız bile verinin gereksiz kullanımını engellemez. Her satıra kayıt sahibi birim, erişim rolü, başlangıç olayı, doğrulanmış süre ve süre sonundaki işlemi ekleyin. Kayıt başka bir sisteme aktarılıyorsa, kopyaların hangi süreçle bulunup silineceğini veya imha edileceğini de belirtin.
Özel nitelikli kişisel veri içerebilecek çalışan kayıtları ayrıca değerlendirilmelidir. 6698 sayılı Kanun’un m.6 özel nitelikli kişisel verilerin işlenme şartlarını düzenler; bu nedenle bu tür veriler bulunduğunda yalnızca genel çalışan kayıtlarına ilişkin süreyi kopyalamak yeterli değildir. Kayıt türünü, işleme amacını, erişim düzenini ve saklama gerekçesini birlikte inceleyin. Bu değerlendirme, hukuki durumun işletmenize uygulanması konusunda tereddüt varsa avukatınız veya hukukçunuzla yapılmalıdır.
Sık yapılan hata, çalışan işten ayrıldığında tüm kayıtları tek seferde silmek ya da hiçbir kayda dokunmadan süresiz bırakmaktır. Bunun yerine her kayıt türünü kendi amacı ve yükümlülüğüyle değerlendirin. İşten ayrılma, bazı kayıtlar için başlangıç olayı olabilir; bazı kayıtların süresini ise farklı bir kayıt dönemi veya işlem belirleyebilir. Tabloyu hazırlarken insan kaynakları, muhasebe ve bilgi işlem ekiplerinden süreç bilgisi alın; kararların tek bir kişinin hafızasına bağlı kalmamasını sağlayın.
Müşteri verileri nasıl ayrılır?
Müşteri verileri denince çoğu işletmede iletişim bilgileri, siparişler, faturalar, sözleşmeler, destek talepleri ve pazarlama kayıtları aynı gruba girer. Oysa bu kayıtlar farklı işlevlere sahiptir. Siparişin yerine getirilmesi için kullanılan adres bilgisi, muhasebe belgesindeki bilgi ve müşteriye tanıtım iletisi göndermek için tutulan iletişim tercihi aynı amaç değildir. Tabloda yalnızca “müşteri verisi” yazmak yerine, kaydın hangi süreçte kullanıldığını ve hangi ekip tarafından yönetildiğini belirtin.
Fatura ve sözleşme kayıtlarını da tek süreye bağlamayın. Fatura, muhasebe veya kayıt yükümlülükleri açısından; sözleşme ise tarafların ilişkisi, edimlerin tamamlanması ve ilgili uyuşmazlık ihtiyaçları açısından incelenebilir. Sözleşme eklerinde yer alan iletişim bilgileri ya da sipariş sistemindeki teslimat adresi, ana belgenin tüm saklama gerekçelerini taşımayabilir. Ancak bilgiyi ayırmak teknik olarak mümkün değilse, bunu tabloda belirtin ve kayıt bütünlüğü ile veri minimizasyonunu birlikte değerlendirin. Ayırma işlemi, belgeyi anlamını kaybettirecek hâle getirmemelidir.
Müşteri destek kayıtlarında talebin çözülmesi, tekrar başvuru ihtiyacı veya işlem geçmişinin gösterilmesi gibi amaçlar olabilir. Bu amaçların her biri kendiliğinden süresiz saklama gerekçesi oluşturmaz. Talep kapandığında kaydın başka bir ihtiyaca hizmet edip etmediğini sorun. Pazarlama amacı için tutulan iletişim bilgilerini de fatura ya da sözleşme kaydının içinde kalmış diye aynı süreyle saklamayın. Kullanım amacı sona ermişse, diğer kayıtlarla bağlantıyı ve silme ya da erişimi sınırlandırma seçeneklerini değerlendirin.
Tabloya müşteri kayıtlarının kaynağını ve sistemini ekleyin: satış yazılımı, muhasebe sistemi, e-posta kutusu veya destek kaydı gibi. Bu bilgi süre sonunda kaydın bulunmasını ve işleme alınmasını kolaylaştırır. Bir müşterinin aynı bilgisi farklı sistemlerde bulunuyorsa, tek satırdaki imha kararı tüm kopyaları kapsıyor mu diye kontrol edin. 6698 sayılı Kanun’un m.8 kişisel verilerin aktarılmasını düzenler; hizmet sağlayıcılarla paylaşılan müşteri kayıtları varsa, saklama ve imha sorumluluklarının uygulamada nasıl yürütüleceğini ayrıca gözden geçirin.
Müşteri kayıtlarının sürelerini belirlerken satış, muhasebe, müşteri hizmetleri ve bilgi işlem ekiplerinden süreç bilgisi alın. Ekiplerin “biz her zaman saklıyoruz” veya “artık lazım değil” şeklindeki genel değerlendirmelerini gerekçeli karara dönüştürün. Verinin hangi işlem için kullanıldığını, o işlemin ne zaman kapandığını ve hangi mevzuat yükümlülüğünün sürdüğünü yazın. İhtiyaç devam ediyorsa gerekçeyi; sona ermişse uygulanacak işlemi kayda geçirin.
Hukuki zorunluluk süresi ile iş amacı süresi nasıl karşılaştırılır?
Hukuki zorunluluk süresi ile iş amacı süresi aynı soruya cevap vermez. Hukuki zorunluluk, belirli bir kaydın hangi yükümlülük veya hak nedeniyle tutulması gerektiğinin incelenmesini gerektirir. İş amacı süresi ise kaydın günlük iş akışında hangi ihtiyacı karşıladığını ve bu ihtiyacın ne zaman sona erdiğini gösterir. Süre tablosunda bunları tek bir gerekçe gibi yazmak, yükümlülük sona erdiğinde işletmenin veriyi başka bir amaçla saklamayı sürdürmesine veya tersine, iş ihtiyacı kalmadığı hâlde bütün kaydı sınırsız tutmasına yol açabilir.
| Karşılaştırma başlığı | Hukuki zorunluluk süresi | İş amacı süresi |
|---|---|---|
| Amaç | Mevzuatla bağlantılı kayıt yükümlülüğünü yerine getirmek | Belirli bir operasyonel ihtiyacı karşılamak |
| Kapsam | İlgili yükümlülüğün kapsadığı kayıt ve veri alanları | İş sürecinde gerçekten kullanılan kayıtlar |
| Süreç | Güncel kaynak ve kayıt türü doğrulanır; başlangıç olayı belirlenir | Sürecin sahibi ve ihtiyacın sona erdiği olay belirlenir |
| Sonuç | Yükümlülük bittiğinde diğer gerekçeler de incelenerek imha değerlendirilir | İhtiyaç sona erdiğinde başka dayanak yoksa saklamaya devam edilmez |
Uygulamada iki süre aynı kayda uygulanabilecekse, bunları ayrı sütunlarda tutun. Bir kaydın yasal yükümlülük nedeniyle tutulması gereken süre ile işletmenin operasyonel ihtiyacının devam ettiği dönem farklı olabilir. Tabloya “geçerli saklama kararı” sütunu ekleyin ve bu kararın hangi gerekçelere dayandığını açıklayın. Hangi sürenin ne şekilde uygulanacağı konusunda tereddüt varsa, kendi başınıza genel bir kural koymayın; ilgili mevzuatı güncel kaynaklardan doğrulayın ve avukatınıza veya hukukçunuza danışın.
İş amacı süresi, “işe yarayabilir” gibi sınırı olmayan ifadelerle tanımlanmamalıdır. Örneğin bir destek kaydı için talebin açık kalması, kaydın çözüm sürecinde kullanıldığını gösterebilir. Talep kapandıktan sonra başka hangi ihtiyacın devam ettiği ise ayrıca açıklanmalıdır. Buna karşılık mevzuatla bağlantılı bir yükümlülük devam ediyorsa, kaydın günlük iş akışında kullanılmaması tek başına silme kararı için yeterli değerlendirme olmayabilir. Her iki durumda da gerekçe, sorumlu ve gözden geçirme tarihi bulunmalıdır.
Tabloyu gözden geçiren ekipler, birbiriyle çelişen süreleri fark edebilmelidir. Örneğin bir satırda “iş ihtiyacı sona erince sil” denirken başka bir notta kayıt yükümlülüğünün devam ettiği belirtilmişse, satır kapanmış sayılmamalıdır. Çelişki giderilene kadar kararın sahibi belirlenmeli, ilgili kaynaklar incelenmeli ve sonucu tabloya işlenmelidir. Bu yaklaşım bir hukuk görüşü yerine geçmez; işletmenin kayıtlarını tutarlı ve izlenebilir hâle getirmesine yardımcı olur.
Süre bitince ne yapılır?
Süre bitimi, yalnızca takvimde bir tarihin gelmesi değildir. Kayıt türü için belirlenen amaçların ve saklama gerekçelerinin sona erip ermediği kontrol edilir. 6698 sayılı Kanun’un m.7 silme, yok etme veya anonim hâle getirmeyi düzenler; uygulanacak işlem, kaydın niteliğine ve koşullara göre değerlendirilmelidir. Tablo bu nedenle “süre sonu işlemi” sütunu içermelidir. Burada yalnızca “sil” yazmak yerine hangi sistemde, hangi kopyaların ve hangi sorumlunun işlem yapacağını belirtin.
Bir kayıt artık kullanılmıyorsa ama farklı bir hukuki yükümlülük nedeniyle tutulması gerekiyorsa, aktif iş akışından ayrılması, erişiminin sınırlandırılması ve sürenin yeniden gözden geçirilmesi gibi seçenekler değerlendirilmelidir. Bu seçeneklerin uygulanabilirliği ve uygunluğu kaydın niteliğine göre değişir. Süresi sona eren her kaydı hemen silmek de tüm kayıtları yedekte süresiz saklamak da güvenli bir genel kural değildir. Karar verilmeden önce ilgili gerekçeler ve teknik kopyalar incelenmelidir.
Silme veya imha adımını kayıt altına alın. İşlem tarihi, kayıt türü, ilgili sistem, yapılan işlem, sorumlu birim ve varsa istisna notu tutulabilir. İşletmenin yedekleme düzeni varsa, ana sistemde silinen kaydın yedeklerde nasıl ele alındığı açıklanmalıdır. Dosya sunucusu, e-posta, taşınabilir ortam ve hizmet sağlayıcı sistemleri de kontrol listesine eklenmelidir. Bir veri birden fazla sistemde bulunuyorsa, tek bir ekibin ana kaydı silmesi bütün kopyaların ortadan kalktığı anlamına gelmeyebilir.
Periyodik imha sürecini çalıştıracak takvim ve sorumlular belli olmalıdır. Kayıt türünü kullanan ekip, süre ve başlangıç olayını tanımlayabilir; bilgi işlem ekibi uygulama yöntemini yürütebilir; sorumlu yönetici ise istisnaları ve tamamlanma kayıtlarını izleyebilir. 6698 sayılı Kanun’un m.12 veri güvenliğine ilişkin yükümlülükleri düzenler; saklama ve imha sürecindeki erişim, kontrol ve kayıt adımlarını da bu çerçevede değerlendirin. Belirsiz veya ihtilaflı bir kayıt için karar verilene kadar kontrolsüz erişim bırakmayın.
İmha sürecini yalnızca politika belgesinde bırakmayın. Hangi ekiplerin ne zaman liste alacağını, hangi kayıtların otomatik işleme uygun olduğunu ve başarısız işlemlerin kime bildirileceğini yazın. Uygulama ayrıntıları için ilgili araç ve şablonları ve işletmenin adımlarını gözden geçirmek için ücretsiz belge sihirbazını kullanabilirsiniz. Sitedeki araçlar ücretsizdir; kayıt ve kart bilgisi istemez.
Tablo nasıl güncellenir?
Saklama süresi tablosu bir kez hazırlanıp değişmeden kalacak bir belge değildir. Mevzuat değişikliği, yeni bir kayıt sistemi, yeni bir iş akışı, dış hizmet sağlayıcı kullanımı veya bir kaydın amacındaki değişiklik ilgili satırların yeniden incelenmesini gerektirebilir. Ayrıca şirket içindeki sorumlular veya sistemler değiştiğinde, başlangıç olayını ve imha yöntemini de güncellemek gerekebilir. Güncel tutulmayan bir tablo, geçmişte doğru olan bir uygulamayı bugün de doğruymuş gibi gösterebilir.
Her satıra son inceleme tarihini, sorumlu birimi, doğrulanan kaynağı ve bir sonraki gözden geçirme tetikleyicisini ekleyin. Takvime bağlı inceleme kadar, önemli bir değişikliğe bağlı inceleme de belirleyin. Örneğin yeni bir müşteri kayıt sistemi kullanıma alındığında, veri kategorisi ve saklama süresi değişmese bile kayıtların nerede bulunduğu ve kopyaların nasıl imha edileceği yeniden kontrol edilmelidir. Yeni bir işe alım süreci başladığında özgeçmişler için belirlenmiş başlangıç olayı ve devam eden amaç da incelenmelidir.
Güncelleme işini tek bir kişinin belleğine bırakmayın. Kayıt sahibi birim, mevzuat kaynağını takip edecek kişi, teknik uygulamadan sorumlu ekip ve değişikliği onaylayacak yönetici tanımlanmalıdır. Mevzuatın uygulamaya etkisi anlaşılmıyorsa, güncel metni inceleyin ve avukatınıza veya hukukçunuza danışın. 6698 sayılı Kanun’un m.5 kişisel verilerin işlenme şartlarını düzenler; tablodaki amacın veya işleme koşullarının değiştiği durumlarda satırın yalnızca süresini değil, veri işleme gerekçesini de yeniden değerlendirin.
Tabloda yapılan her değişikliğin izi kalmalıdır. Önceki değer, yeni karar, değişikliğin nedeni, inceleyen kişi ve yürürlük tarihi gibi bilgiler işletme içinde izlenebilirliği artırır. Eski kararları sessizce silmek, değişikliğin hangi ihtiyaca karşılık verildiğini sonradan anlamayı zorlaştırır. Bir süre değişikliği nedeniyle sistem ayarı da değişecekse, tablo ile teknik uygulamanın eş zamanlı güncellenmesini planlayın. Aksi hâlde dokümanda yeni süre yazarken sistem eski kuralla çalışmaya devam edebilir.
Gözden geçirmeyi somut bir kontrol listesine bağlayın: yeni kayıt türü eklendi mi, süreç sahibi değişti mi, başlangıç olayı sistemde bulunabiliyor mu, kullanılan kaynak doğrulandı mı, imha adımı uygulanabiliyor mu, kopyalar ve erişim yetkileri kontrol edildi mi? Bu soruların yanıtı her satır için kaydedilmelidir. 2026 KVKK uyum kontrol listesini kullanarak işletmenizdeki ilgili süreçleri inceleyebilir, ayrıca Kurul kararları indeksinde yer alan içerikleri genel çerçeve için değerlendirebilirsiniz.
Örnek hesap: uygulama seçiminin değerlendirilmesi
Bir işletme, iş başvurularında aldığı özgeçmişleri, işe alım süreci tamamlandıktan sonra da ortak klasörde tutuyor. Ekip, ileride başka bir pozisyon açılabileceğini söylüyor; ancak aday havuzunda tutma amacını, bu amacın nasıl yönetileceğini ve hangi olayda sona ereceğini kayda geçirmemiş. Bu senaryoda ilk adım belirli bir süre tahmin etmek değil; başvuru kaydının işe alım amacıyla mı, yoksa ayrıca tanımlanmış aday havuzu amacıyla mı tutulduğunu ayırmaktır. İkinci amaç varsa bunun dayanağı, kapsamı ve başlangıç olayı ayrıca değerlendirilmelidir. Uygulama seçiminin işletme açısından doğurabileceği riskleri incelemek için KVKK ceza riski hesaplayıcıyı kullanabilirsiniz; bu araç hukuki değerlendirme yerine geçmez.
Senaryo: Bir işletme müşteri tekliflerini ve tamamlanmış sözleşmeleri farklı saklama gerekçeleriyle tabloya işler.
Uygulanabilir kalemler ve kanundaki bantlar:
Kalemlerin alt sınırları toplandığında 0 TL, üst sınırları toplandığında 0 TL eder. Bu bir tahmin değil, Kanun'daki bandın toplamıdır: Kurul her kalemi ayrı değerlendirir, kusurun ağırlığına ve veri sorumlusunun ekonomik durumuna göre band içinde takdir kullanır. Kendi durumunuz için ceza riski hesaplayıcısı hangi kalemin size uygulanabileceğini gösterir.
Kanundaki bantlar
Bu bölümdeki değerlendirme, tek başına bir saklama süresinin uygun olup olmadığını belirlemez. Önce kayıt türü, işleme amacı, uygulanan süreç ve süre sonunda yapılan işlem birlikte incelenmelidir. Bir özgeçmişin hangi amaçla tutulduğu açık değilse, yalnızca ortak klasörde erişilebilir durumda bulunmasına bakarak geçerli bir süre belirlenmiş sayılmaz. İşletme, kararını kayıt altına almalı ve durumun hukuki değerlendirmesi için avukatına veya hukukçusuna danışmalıdır.
| Ceza kalemi | Dayanak | 2026 alt sınır | 2026 üst sınır |
|---|
Tutarlar 6698 sayılı Kanun m. 18'deki kabahat kalemlerinin 2026 yılı için yeniden değerleme oranıyla (%25,49; 585 Sıra No'lu VUK Genel Tebliği, Resmî Gazete 27.11.2025, sayı 33090) güncellenmiş hâlidir. Kaynak: /blog/kvkk-cezalari-ne-kadar/.
Kurul kararlarında kişisel veri saklama süreleri
Bu yazı kapsamında saklama süreleri konusunda anılabilecek bir Kurul kararı verilmemiştir; bu nedenle belirli bir karara atıf yapılmamaktadır. Aşağıdaki bölüm karar özeti değil, saklama tablosunu hazırlayan ekibin kullanabileceği genel uygulama hatırlatmalarını içerir.
- Her kayıt türü için amaç, başlangıç olayı, doğrulanmış kaynak ve süre sonundaki işlemi ayrı ayrı yazın.
- “İhtiyaç kalmadı” veya “ileride gerekebilir” gibi ifadeleri tek başına gerekçe kabul etmeyin; kararı ölçülebilir bir iş olayıyla ilişkilendirin.
- Kaynak, süreç veya sistem değiştiğinde ilgili satırları yeniden inceleyin; hukuki değerlendirme gereken noktaları avukatınıza veya hukukçunuza danışın.
Sık sorulan sorular
Tüm kişisel veriler için ortak bir saklama süresi belirlenebilir mi?
Genel bir süreyi her kayıt türüne uygulamak, kayıtların farklı amaçlarını ve yükümlülüklerini göz ardı edebilir. Fatura, sözleşme, bordro, kamera görüntüsü ve özgeçmiş ayrı satırlarda değerlendirilmeli; süreleri dayanaklarıyla doğrulanmalıdır.
Saklama süresi tablosunda hangi bilgiler bulunmalı?
En azından kayıt türü, işleme amacı, ilgili kaynak, başlangıç olayı, doğrulanmış süre, sorumlu birim ve süre sonunda yapılacak işlem bulunmalıdır. Kayıt farklı sistemlerde veya kopyalarda tutuluyorsa, bu konumu ve imha adımını da gösterin.
İş amacı sona erdiğinde kayıt hemen silinir mi?
Önce kayıt için devam eden başka bir yükümlülük veya gerekçe olup olmadığı incelenir. Gerekçe kalmamışsa, uygulanacak silme, yok etme veya anonim hâle getirme yöntemi değerlendirilir; tereddütte avukatınıza veya hukukçunuza danışın.
Özgeçmişler işe alım süreci bittikten sonra ne olur?
Başvuru amacı sona erdiğinde kaydın başka bir amaçla tutulup tutulmayacağı ayrıca değerlendirilmelidir. Aday havuzu amacı varsa bunu ayrı, belirli ve gerekçeli bir süreç olarak ele alın; otomatik biçimde tüm çalışan kayıtlarına uygulanan süreyi kullanmayın.
Tablo ne zaman güncellenmelidir?
Mevzuat, iş süreci, kayıt sistemi, hizmet sağlayıcı veya sorumlu birim değiştiğinde ilgili satırı yeniden inceleyin. Ayrıca düzenli bir gözden geçirme takvimi oluşturun ve değişikliğin gerekçesiyle kimin tarafından yapıldığını kaydedin.
