KVKK belgeleri arasında en çok göz ardı edileni, denetimde en çok işe yarayanıdır. Sebebi şu: aydınlatma metni bir vaattir, saklama politikası o vaadi tuttuğunuzun kanıtıdır.
Bir denetimde "verileri amaçla sınırlı süre tutuyoruz" demek yetmez; hangi süreçte hangi süreyi neye dayanarak belirlediğinizi ve süre sonunda ne yaptığınızı göstermeniz istenir.
Not: Genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir.
Politikanın dayanağı
Belge, Kanun'un 7. maddesindeki silme, yok etme ve anonim hâle getirme yükümlülüğü ile Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik'e dayanır. Periyodik imha dönemi ve kayıt tutma zorunluluğu da bu yönetmelikten gelir.
En kritik nokta: iki mevzuat çatışması
Uygulamada en çok kafa karıştıran durum budur ve politikanızın ayırt edici kısmı burada olmalı:
KVKK der ki: amaç ortadan kalktığında veriyi sil. Vergi ve ticaret mevzuatı der ki: bu belgeyi yıllarca sakla.
İkisi çelişmez, çünkü saklama yükümlülüğü getiren bir mevzuat varsa o süre boyunca saklamak zaten hukuka uygun bir sebeptir. Ama politikanızda bunu açıkça yazmanız gerekir:
Fatura kayıtları, vergi ve ticaret mevzuatındaki saklama yükümlülüğü nedeniyle X yıl saklanır; bu süre boyunca veri yalnızca söz konusu yükümlülüğün yerine getirilmesi amacıyla ve erişimi sınırlandırılmış şekilde tutulur.
Bu cümlenin ikinci yarısı önemli: yasal zorunlulukla sakladığınız veriyi pazarlama için kullanamazsınız. Saklama sebebi, kullanma hakkı vermez.
Süreç bazlı süre tablosu
Politikanın kalbi bu tablodur. Her satırda üç şey olmalı: süreç, süre ve sürenin gerekçesi.
| Süreç | Saklama süresi | Gerekçe | İmha yöntemi |
|---|---|---|---|
| Çalışan özlük dosyası | İş ilişkisi bitiminden itibaren mevzuattaki zamanaşımı | İş hukuku ve SGK mevzuatı | Fiziksel imha + güvenli silme |
| Fatura ve muhasebe kayıtları | Vergi/ticaret mevzuatındaki süre | Yasal saklama yükümlülüğü | Süre sonunda güvenli silme |
| İş başvurusu / aday CV | Süreç kapanışından itibaren belirlenen kısa süre | Amaç ortadan kalkar | Güvenli silme |
| Güvenlik kamerası kayıtları | Amaçla sınırlı kısa süre | Ölçülülük ilkesi | Otomatik üzerine yazma |
| Bülten / pazarlama izni | İzin geri alınana kadar | Açık rızaya dayalı | Kayıttan çıkarma |
| İlgili kişi başvuru kayıtları | Başvurunun sonuçlandırılmasından itibaren ispat süresi | İspat yükümlülüğü | Güvenli silme |
| Ziyaretçi kayıtları | Kısa süre | Ölçülülük ilkesi | Güvenli silme |
Tek bir genel süre yazmayın. "Tüm veriler 10 yıl saklanır" diyen bir politika, aday CV'sini 10 yıl tutmayı meşrulaştırmaz; sadece ölçülülük ilkesini ihlal ettiğinizi belgeler.
Silme, yok etme, anonimleştirme: üçü farklı
| İşlem | Ne yapar | Ne zaman kullanılır |
|---|---|---|
| Silme | Veriyi ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz hâle getirir | Dijital kayıtlarda en yaygın |
| Yok etme | Veriyi hiç kimse tarafından geri getirilemez hâle getirir | Fiziksel evrak, hurda donanım |
| Anonim hâle getirme | Veriyi hiçbir şekilde kimliği belirli/belirlenebilir kişiyle ilişkilendirilemez hâle getirir | İstatistik ve analiz ihtiyacı sürüyorsa |
Anonimleştirmede en sık yapılan hata, yalnızca ad-soyadı silmektir. Geriye kalan alanların birleşimi kişiye ulaştırıyorsa (örneğin doğum tarihi + posta kodu + cinsiyet) anonimleştirme gerçekleşmemiştir; bu hâlde veri hâlâ kişisel veridir.
Periyodik imha: politikanın uygulanan kısmı
Yönetmelik, periyodik imha için azami altı aylık bir dönem öngörür. Pratik kurulum:
- Takvime bağlayın. Belirli iki tarih seçin (örneğin haziran ve aralık sonu).
- Sorumluyu belirleyin. Kimin çalıştıracağı politikada yazmalı.
- Tutanak tutun. Hangi süreçte kaç kayıt, hangi yöntemle imha edildi. Denetimde istenen ilk şey budur.
- Yedekleri unutmayın. Aşağıda ayrı bölüm var, çünkü en sık atlanan yer burası.
Yedek sorunu
Ana sistemden silinen veri yedekte durmaya devam ediyorsa imha tamamlanmamıştır. Ama her silme talebinde tüm yedekleri açıp tek kaydı çıkarmak da pratikte mümkün değildir.
Kabul gören yaklaşım: yedeklerdeki veriyi erişimi kısıtlanmış olarak tanımlamak, yedek rotasyon süresini politikada yazmak ve o süre dolduğunda verinin yedekten de düşeceğini taahhüt etmek. Bir silme talebi geldiğinde ilgili kişiye bu süreci açıklamak gerekir.
İmha tutanağı: ne yazmalı?
Periyodik imhayı yaptığınızı belgelemezseniz yapmamış sayılırsınız. Tutanak karmaşık olmak zorunda değil; şu alanları içermesi yeterli:
| Alan | Örnek |
|---|---|
| Tutanak no / tarih | 2026-02 · 30.06.2026 |
| Dönem | 01.01.2026 – 30.06.2026 |
| İmha edilen veri kategorisi | İş başvurusu / aday özgeçmişleri |
| İlgili kişi grubu ve yaklaşık adet | Adaylar · 47 kayıt |
| Saklama süresinin dayanağı | Politikada belirlenen 1 yıl, süre 31.12.2025'te doldu |
| Bulunduğu ortam | İK klasörü (bulut), e-posta arşivi, kâğıt dosya |
| Uygulanan yöntem | Kalıcı silme + yedekten çıkarma takibi / kâğıt: evrak imha makinesi |
| Yedeklerde durum | 90 günlük yedek döngüsü sonunda düşecek — takip tarihi 28.09.2026 |
| Uygulayan / onaylayan | Ad-soyad, görev, imza |
Bu tutanakları bir klasörde biriktirin. Bir denetim veya ihlal incelemesinde "politikamız var" demek yetmez; politikanın işlediğini gösteren kayıt istenir.
Periyodik imha takvimi (örnek)
Politikanızı yazdıktan sonra bir takvime bağlamazsanız uygulanmaz. Tipik bir KOBİ takvimi:
| Dönem | Yapılacak | Sorumlu |
|---|---|---|
| Her 6 ayda bir (Haziran / Aralık) | Süresi dolan kayıtların taranması ve imhası + tutanak | İdari işler |
| Aylık | Yeni sistem/form eklendi mi? Envanter satırı açıldı mı? | Süreç sahibi |
| Çeyreklik | Yedek döngüsünde süresi dolmuş veri kaldı mı? | BT / dış sağlayıcı |
| Yıllık | Politikanın ve sürelerin gözden geçirilmesi | İşletme sahibi |
| Talep geldiğinde | İlgili kişi silme talebi — 30 gün içinde cevap | Başvuru sorumlusu |
Silme talebi geldiğinde karar akışı
İlgili kişi "verilerimi silin" dediğinde otomatik "sildik" demeyin; önce hukuki durumu ayırın:
- Saklama için yasal bir yükümlülük var mı? (fatura, ticari defter, özlük dosyası) → Bu kayıtlar silinmez; kişiye gerekçesiyle yazılı olarak açıklanır.
- Sözleşme hâlâ devam ediyor mu? → Sözleşmenin ifası için gerekli veriler işlenmeye devam eder.
- İşleme açık rızaya mı dayanıyordu? → Rıza geri alınmış sayılır, işleme durdurulur.
- Meşru menfaate mi dayanıyordu? → Kişinin itirazı karşısında denge testini yeniden yapın ve sonucu yazılı gerekçelendirin.
- Hiçbiri değilse → Silin, yok edin veya anonim hâle getirin; işlemi tutanaklayın.
- Her hâlükârda 30 gün içinde cevap verin — hangi kalemi neden sakladığınızı açıklayan bir yanıt, sessiz kalmaktan çok daha güvenlidir (başvuru süreci).
Kısmi silme normaldir: bir müşterinin pazarlama kaydını silip fatura kaydını yasal süre boyunca tutmak doğru uygulamadır — yeter ki bunu kişiye açıklayın.
Politikayı yazmak yetmez
Uygulanmayan bir saklama politikası, yokluğundan daha kötüdür: yükümlülüğü bildiğinizi ama yerine getirmediğinizi belgeler. Denetimde bu, ağırlaştırıcı bir unsurdur.
Bu yüzden politikayı yazarken kendinize tek soru sorun: "Önümüzdeki haziran ayında bu tabloyu gerçekten uygulayabilecek miyim?" Cevap hayırsa süreleri değil, süreçleri gözden geçirin.
Sık sorulan sorular
Periyodik imha ne sıklıkla yapılmalı?
İlgili yönetmelik azami altı aylık bir dönem öngörür. Takvime bağlayıp her dönem sonunda tutanak tutmak en güvenli uygulamadır.
Saklama sürelerini kim belirler?
Veri sorumlusu belirler, ancak keyfî olamaz. Süre; işleme amacının gerektirdiği süre, ilgili mevzuattaki saklama yükümlülükleri ve zamanaşımı süreleri dikkate alınarak gerekçelendirilmelidir.
Müşteri silme talebi gönderdi, faturasını da silmeli miyim?
Hayır. Yasal saklama yükümlülüğü bulunan kayıtlar süre dolana kadar saklanır. Ancak bu veriyi başka amaçlarla (örneğin pazarlama) kullanmayı bırakmanız ve talebi bu gerekçeyle yanıtlamanız gerekir.
İmha tutanağı zorunlu mu?
İmha işlemlerinin kayıt altına alınması beklenir ve bu kayıtlar denetimde ilk istenen belgelerdendir. Tutanak, yükümlülüğü yerine getirdiğinizin tek somut kanıtıdır.
Anonimleştirmek silmek yerine geçer mi?
Gerçekten geri döndürülemez şekilde anonimleştirilmişse veri kişisel veri olmaktan çıkar ve KVKK kapsamı dışına düşer. Ancak tekil kayıtlar birleştirildiğinde kişiye ulaşılabiliyorsa anonimleştirme gerçekleşmemiş sayılır.
Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (tam metin)
- Kişisel Verileri Koruma Kurumu
- Resmî Gazete
Bu yazıdaki bilgiler yukarıdaki resmî kaynaklara dayandırılarak hazırlanmıştır. Mevzuat ve Kurul kararları değişebilir; güncel metinler için kaynakları esas alın.
Hazır belge: Süre tablosunu kendi süreçlerinizle doldurulmuş hâlde üretmek için saklama ve imha politikası şablonuna gidin — şirket bilgilerinizi girin, metin anında oluşsun. Süreçlerinizi çıkarmak için envanter rehberi, mevcut durumunuzu ölçmek için uyum testi. Süreçlerinizi çıkarıp imha takvimini kurma işini biz üstlenelim isterseniz: uyum dosyası hizmeti.
