E-posta Arşivleme ve KVKK: Kurumsal Mailleri Ne Kadar Saklamalı, Kim Erişmeli, Ne Zaman Silmeli?

E-posta arşivleme KVKK açısından iki yükümlülüğü aynı anda karşılamaktır: ticari yazışmaları kanunun öngördüğü süre boyunca erişilebilir tutmak ve süresi dolan ya da amacı ortadan kalkan kişisel verileri silmek. Doğru kurulmuş bir arşivde her mail türünün bir saklama süresi, her kutunun yetkili kişileri ve kimin neye eriştiğini gösteren bir kayıt vardır.

"Her şeyi sonsuza kadar saklayalım" da "eski mailleri silelim gitsin" de tek başına uyumlu bir yaklaşım değildir.

Kurumsal e-posta neden bir kişisel veri deposudur?

Bir şirketin posta sunucusu, farkında olmadan tuttuğu en büyük kişisel veri kaynaklarından biridir. Müşterinin adı, telefonu ve adresi imzada; çalışanın sağlık raporu insan kaynaklarına gelen ekte; adayın özgeçmişi ik@ kutusunda; tedarikçi yetkilisinin kimlik fotokopisi bir sözleşme ekinde durur. Bunların hepsi 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında kişisel veridir ve bir kısmı özel nitelikli kişisel veridir. Kişisel veri taşıyan ekleri kutudan çıkarıp yetkili bir belge alanına almanın yolunu e-posta eklerini arşivleme yazısında anlattık.

Sahada en sık gördüğümüz tablo şudur:

• Sınırsız birikim. Kutular on yıldır hiç temizlenmemiş; ayrılan çalışanların kutuları "ne olur ne olmaz" diye açık bırakılmış.
• Dağınık kopyalar. Aynı yazışma sunucuda, çalışanın bilgisayarındaki yerel dosyada ve kişisel telefonunda duruyor.
• Belirsiz erişim. Ortak kutuların parolası birkaç kişide; kimin hangi maili açtığı bilinmiyor.
• Yazılı olmayan kural. Kişisel veri saklama ve imha politikası belgesi var, ama e-postadan hiç söz etmiyor.

Bu durumda iki yönden risk doğar. Bir yanda gereğinden uzun tutulan veri, bir ihlal anında sızabilecek veri miktarını büyütür. Diğer yanda plansız silme, bir ticari uyuşmazlıkta ihtiyaç duyacağınız yazışmayı ortadan kaldırır. Müşterisi adına yazışan bürolarda bu denge daha hassastır: dava dosyası ve müvekkil yazışmaları için hukuk bürosu dosya yönetimi, mükellef yazışmalarının saklama süresi için mali müşavirlik belge yönetimi yazısına bakın.

E-posta arşivleme ve KVKK: saklama ve silme yükümlülüğü

E-posta arşivlemede dengeyi iki mevzuat grubu belirler:

1. Saklama yükümlülüğü. Türk Ticaret Kanunu, tacirin gönderdiği ve aldığı ticari mektupları on yıl saklamasını öngörür; e-posta ile yapılan ticari yazışmalar da genel kabulle bu kapsamda değerlendirilir. Vergi Usul Kanunu da defter ve belgeler için ayrı saklama süreleri tanımlar. Yani fatura, sipariş, teklif ve sözleşme yazışmalarını keyfî olarak silemezsiniz.
2. Silme yükümlülüğü. KVKK, kişisel verinin işlendiği amaçla bağlantılı, sınırlı ve ölçülü tutulmasını ve ilgili mevzuatta öngörülen ya da amacın gerektirdiği süre kadar saklanmasını ister. Süre dolduğunda veri silinmeli, yok edilmeli ya da anonim hâle getirilmelidir. Saklama ve imha politikası hazırlamakla yükümlü veri sorumluları bunu periyodik imha takvimiyle yürütür.

Bu iki yükümlülük çelişmez; birbirini tamamlar. Ticari yazışma süresince korunur, süresi dolduğunda imha edilir. Asıl sorun, çoğu kurumun mailleri bu ayrımı yapabilecek biçimde sınıflandırmamasıdır. Saklama ve imha politikasının genel çerçevesini saklama ve imha politikası rehberimizde ayrıca anlatıyoruz. Arşiv yurt dışındaki bir sunucuda duruyorsa yurt dışına aktarım kurallarını da hesaba katın.

Düzensiz arşivin maliyeti

Arşiv sorununun maliyeti genellikle bir olayla görünür hâle gelir: bir ihlal, bir şikâyet ya da bir mahkeme talebi.

KVKK 2025 Yılı Faaliyet Raporu'na göre Kurum'a 2025 yılında 328 veri ihlali bildirimi yapıldı ve 12.512 ihbar ve şikâyet başvurusu geldi. Kurul'un 2019/10 sayılı kararına göre veri sorumlusu bir ihlali öğrendiği andan itibaren en geç 72 saat içinde Kurul'a bildirmek zorunda. 72 saat içinde "hangi kutuda, kimin, hangi kişisel verisi vardı?" sorusunu cevaplamak, düzensiz bir arşivde neredeyse imkânsızdır. Bildirimin adımlarını KVKK veri ihlali 72 saat rehberinde anlattık.

IBM'in 2026 Veri İhlali Maliyeti raporuna göre bir veri ihlalinin küresel ortalama maliyeti, önceki yıla göre %12 artışla 4,99 milyon dolara ulaştı. (IBM Cost of a Data Breach Report 2026)

Aynı araştırmanın IBM basın bülteninde paylaşılan bir bulgu, arşiv tarafı için de önemli: ihlal yaşayan kurumların yalnızca %37'si hassas verileri hem saklamada hem aktarımda şifrelediğini söyledi. Yıllarca biriken mail arşivi tam da bu "saklamadaki hassas veri" sınıfındadır.

Hacim ise sorunu her gün büyütür. Microsoft'un 2025 Work Trend Index özel raporuna göre ortalama bir çalışan günde 117 e-posta alıyor. Elli kişilik bir şirkette bu, yılda bir milyonu aşkın mesaj demektir; kural yoksa hepsi aynı yerde, aynı süreyle ve aynı erişimle birikir.

E-posta arşivleme politikası: 6 adımlık çerçeve

1. Mail türlerini sınıflandırın. Ticari yazışma (sipariş, fatura, teklif, sözleşme), insan kaynakları yazışması (özgeçmiş, izin, sağlık raporu), müşteri iletişimi, pazarlama ve bülten, kişisel yazışma. Her sınıfın saklama gerekçesi farklıdır.
2. Her sınıfa saklama süresi yazın. Süreyi ilgili mevzuata ve işleme amacına göre belirleyin; gerekçesini politikaya not edin. Örneğin işe alınmayan adayın özgeçmişini, ticari yazışmayla aynı süre saklamanın bir gerekçesi yoktur.
3. Erişimi ihtiyaçla sınırlayın. Her ortak kutuya kimin, hangi yetkiyle eriştiğini belirleyin. Okuma yetkisi olan herkesin silme yetkisi olmamalı.
4. Ayrılan çalışan kutusunu kurala bağlayın. Kutu kapatılır mı, yöneticiye mi devredilir, ne kadar süre açık kalır? Bu karar kişiye göre değil, yazılı kurala göre verilmeli. Konuyu işten ayrılan çalışanın e-posta erişimi yazımızda ayrıntılı ele alıyoruz.
5. İşlemleri kayıt altına alın. Kim hangi mesajı açtı, taşıdı, sildi; hangi yetki kime ne zaman verildi? Bu kayıt, hem ihlal bildiriminde hem de ilgili kişi başvurusunda ilk bakacağınız yerdir.
6. Periyodik imhayı takvime bağlayın. Süresi dolan kayıtlar belirli aralıklarla gözden geçirilip imha edilmeli ve imha işlemi de tutanakla kayıt altına alınmalı.

Hangi mail ne kadar saklanır? Örnek tablo

Bu tablo bir başlangıç örneğidir, hukuki görüş yerine geçmez. Süreleri kendi faaliyetinize ve hukuk danışmanınızın görüşüne göre kesinleştirin.

Teknik tarafta nelere bakmalı?

Politika kâğıt üzerinde kalmasın diye e-posta altyapınızda şu soruların cevabı "evet" olmalı. Bu kontrolleri siber güvenlik danışmanlığı kapsamında mevcut sisteminiz için tek tek raporlayabiliyoruz. Yeni bir altyapı arıyorsanız seçim ölçütlerini kurumsal e-posta nasıl seçilir rehberimizde topladık:

• Kişi bazlı erişim var mı? Ortak kutular parola paylaşımıyla değil, her çalışanın kendi kimliğiyle açılıyor mu?
• Yetki parçalı mı? Görüntüleme, gönderme ve silme ayrı ayrı verilebiliyor mu?
• Denetim kaydı tutuluyor mu? Mesaj bazında ve kutu bazında kimin ne yaptığı görünüyor mu?
• Veri ayrıştırılmış mı? Kurumunuzun verisi başka kurumların verisiyle aynı yerde mi, ayrı mı tutuluyor? Arşivi eski bir sunucudan buluta taşıyorsanız bu soruyu bulut geçiş ve altyapı danışmanlığı aşamasında sormak en ucuzudur.
• Oturumlar yönetilebiliyor mu? Kaybolan telefondaki oturum uzaktan kapatılabiliyor mu?

Arşivdeki hassas yazışmaların yolda ve diskte nasıl korunacağını e-posta şifreleme rehberinde anlattık. Delil niteliği gereken resmî gönderimler için ise KEP (kayıtlı elektronik posta) yazısına bakabilirsiniz.

Digital Bridge'de bu işi nasıl yapıyoruz?

E-posta arşivleme, yazılım seçimiyle değil envanterle başlar. Kurumlara şu sırayla eşlik ediyoruz:

• Envanter ve risk haritası: Hangi kutularda hangi kişisel veri kategorilerinin bulunduğunu, kimlerin eriştiğini ve ayrılan çalışan kutularının durumunu çıkarıyoruz. Bu envanter, VERBİS kaydı için hazırlanan kişisel veri envanteriyle aynı zemini kullanır.
• Politika ve süre tasarımı: KVKK uyum danışmanlığı kapsamında e-posta sınıflarını saklama ve imha politikanıza bağlıyor, erişim matrisini ve imha takvimini yazıya döküyoruz.
• Altyapının uyarlanması: Politikayı uygulayacak yetki yapısını e-posta sisteminizde kuruyoruz; kendi ürünümüz Smart360 üzerinde ya da mevcut altyapınızda.
• Yazılı teklif: Kapsam, aşamalar ve bedel yazılı olarak netleşir; hazır paket satmayız.

SmartMail ve Smart360 arşivde neyi kolaylaştırır?

Smart360; kurumsal e-posta ürünü SmartMail, kurumsal dosya yönetimi ürünü SmartFiles, web sitesi için yapay zeka müşteri temsilcisi SmartOperator ve geçiş kontrolü ürünü SmartPass'i tek panel ve tek kimlikle (SmartID) birleştiren kendi ürün ailemizdir. Arşiv politikasının e-posta ve belge tarafındaki teknik karşılıkları şöyledir:

• Ham arşiv ve bütünlük belgesi. SmartMail her maili ham hâliyle ve ekleriyle arşivler; her mail SHA-256 özetiyle saklanır ve değişmediği yeniden doğrulanabilir. Arşivle birebir doğrulanan eski mailler posta sunucusundan kaldırılsa da SmartMail'de görünmeye devam eder ve tek tek geri yüklenir.

• Kurum verisi ayrı tutulur. Her kurumun verisi, her ürün için ayrı veritabanında tutulur; belgeler ve mail arşivi S3 uyumlu nesne depolamada saklanır. Birden çok şirketi tek hesaptan yönetseniz de hiçbiri diğerinin verisini görmez.
• Kutu başına dokuz izin. Görüntüleme, yazma-gönderme, silme, etiketleme, karantina, yapay zeka ile yeniden yorumlama, yapay zeka sohbeti, not ve dikkat çekme izinleri ayrı verilir. Silme ve karantina yönetimi yeni atamada kapalı gelir; böylece "okuyabilen herkes silebilir" durumu baştan önlenir.
• Denetim kaydı ve işlem dökümü. Kutu bazında denetim kaydı tutulur, her mesajda işlem dökümü görünür.
• Parola dağıtılmaz. Posta kutusu parolalarını sistem üretir, AES-256-GCM ile şifreli saklar; çalışanlara dağıtılmaz. Oturumlar cihaz bilgisiyle listelenir, uzaktan kapatılır.
• Ayrılan çalışan tek işlemle çıkar. İşten ayrılan kişinin tüm Smart360 erişimi tek işlemle kapanır; departmandan ayrılanın kutu erişimi otomatik kalkar.

Somut bir senaryo: İnsan kaynakları uzmanı ayrılıyor. Yönetici panelden tek işlemle kişinin SmartMail ve SmartFiles erişimini kapatıyor; ik@ ortak kutusu ekipte kalan uzmanlara departman üyeliği üzerinden açık kalıyor. Aday özgeçmişleri SmartMail'den tek tıkla SmartFiles'taki İK alanına kaydedildiği için ekip, bilgisayarlara indirilmiş dağınık kopyalar yerine tek bir alanda çalışıyor; kimin hangi mesajı açtığı denetim kaydında görünüyor.

Sonraki adım

Bu hafta iki soruyu cevaplayın: En eski maili kaç yıllık? Ayrılan çalışanlardan kaçının kutusu hâlâ açık? Cevaplar sizi rahatsız ediyorsa önce envanter, sonra politika, en son araç. Ortak kutulardaki düzen için ortak posta kutusu yönetimi yazımıza bakabilir, envanterden imha takvimine kadar arşiv politikanızı birlikte kurmak için iletişim sayfamızdan bize ulaşabilirsiniz. E-posta ve belge yönetiminin diğer başlıkları Kurumsal E-posta ve Belge rehberimizde bir arada.