Kişisel veri saklama ve imha politikası, şirketin her kişisel veri kategorisini ne kadar süre, hangi gerekçeyle ve hangi ortamda sakladığını ve süre dolunca veriyi silme, yok etme ya da anonimleştirmeyle nasıl imha edeceğini yazan belgedir. VERBİS'e kayıt yükümlüsü veri sorumluları için zorunludur; değeri ise yazılan sürelerin sistemlerde gerçekten uygulanmasıyla ortaya çıkar.
Kısaca
- Saklama ve imha politikası, Veri Sorumluları Siciline (VERBİS) kayıt yükümlüsü olan veri sorumluları için 2017 tarihli imha yönetmeliğiyle zorunludur.
- Politika uygulamada dokuz başlık içerir: kapsam, kayıt ortamları, sorumlular, tedbirler, saklama gerekçeleri, imha teknikleri, süre tablosu, periyodik imha ve güncellemeler.
- Periyodik imha en fazla 6 ayda bir yapılır; her imha işlemi kayda geçirilir ve bu kayıtlar en az 3 yıl saklanır.
- Silme, yok etme ve anonimleştirme farklı yöntemlerdir; anonimleştirilen veri artık kişisel veri sayılmaz ve istatistikte kullanılabilir.
- KVKK 2025 Faaliyet Raporu'na göre Kurul 876 veri sorumlusuna idari para cezası verdi; bunların 594'ü VERBİS kayıt ve bildirim yükümlülüğüyle ilgiliydi.
"Her şeyi saklayalım" yaklaşımı neden KVKK'ya aykırıdır?
Pek çok şirkette veri silinmez, yalnızca birikir. Beş yıl önce işe başvurmuş adayların özgeçmişleri e-posta kutusunda, eski çalışanların kimlik fotokopileri arşiv dolabında, yıllar öncesine ait kartlı geçiş kayıtları sunucuda durur. Gerekçe genellikle aynıdır: "Belki bir gün lazım olur." Özlük dosyaları için hangi sürelerin geçerli olduğunu çalışan kişisel verileri ve KVKK yazımızda ayrıca ele aldık.
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), "belki lazım olur" gerekçesiyle saklamayı kabul etmez. Kanun'un 4. maddesi, kişisel verilerin ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesini, 7. maddesi ise işleme şartları ortadan kalktığında verinin re'sen ya da ilgili kişinin talebiyle silinmesini, yok edilmesini veya anonim hâle getirilmesini ister.
Ayrıntılar, 28 Ekim 2017 tarihli Resmî Gazete'de yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'te düzenlenmiştir. Yönetmeliğe göre Veri Sorumluları Siciline kayıt yükümlüsü olan veri sorumluları, kişisel veri envanterine uygun bir saklama ve imha politikası hazırlamak zorundadır. 2026 itibarıyla bu yükümlülük yürürlüktedir.
Kişisel veriyi gereğinden uzun saklamanın maliyeti nedir?
Gereğinden uzun saklanan her kişisel veri kaydı iki risk taşır: ilgili kişi şikâyeti ve veri ihlali.
Şikâyet tarafında hacim büyüyor. KVKK 2025 Yılı Faaliyet Raporu'na göre Kurum'a 2025'te 12.512 ihbar ve şikâyet başvurusu yapıldı ve Kurul 876 veri sorumlusu hakkında idari para cezası uyguladı; bu cezaların 594'ü Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüyle ilgiliydi. "Verilerimin silinmesini istedim, silinmedi" başvurusu, en kolay somutlaşan şikâyet türlerinden biridir.
İhlal tarafında ise hesap basit: elinizde olmayan veri çalınamaz. Microsoft Digital Defense Report 2025'e göre Microsoft ekiplerinin incelediği siber olayların %80'inde saldırganlar veri çalmaya çalıştı. IBM Cost of a Data Breach Report 2026 ise bir veri ihlalinin küresel ortalama maliyetini 4,99 milyon dolar olarak veriyor.
Beş yıl önce işten ayrılmış 300 kişinin kimlik ve banka bilgisi, bir ihlalde etkilenen kişi sayısını, 72 saatlik ihlal bildirimi yükünü ve itibar kaybını doğrudan büyütür. Üstelik ihlal yaşayan kurumların yalnızca %37'si hassas veriyi hem saklamada hem aktarımda şifrelediğini söylüyor (IBM 2026 basın bülteni); eski arşivler de çoğu zaman bu korumanın dışında kalır.
Kişisel veri saklama ve imha politikasında neler bulunmalı?
Yönetmelik, saklama ve imha politikasının asgari içeriğini sayar. Uygulamada politika şu dokuz başlıkla hazırlanır:
- Amaç ve kapsam. Politikanın hangi tüzel kişileri, tesisleri ve kişi gruplarını kapsadığı.
- Kayıt ortamları. Verinin bulunduğu tüm ortamlar: ERP, bordro, e-posta, dosya sunucusu, bulut depolama, PDKS, IP kamera kayıt cihazı, kâğıt arşiv. Bulut depolama yurt dışındaysa yurt dışına veri aktarımı kuralları da devreye girer.
- Sorumlular. Saklama ve imha süreçlerinde yer alanların unvanı, birimi ve görev tanımı.
- Teknik ve idari tedbirler. Verinin güvenli saklanması ve hukuka aykırı erişimin önlenmesi için alınan önlemler.
- Saklama gerekçeleri. Hukuki (kanunda öngörülen süreler), teknik veya diğer saklama sebepleri. Örneğin internet erişim kayıtları için süreyi 5651 log tutma yükümlülüğü belirler.
- İmha teknikleri. Her ortam için silme, yok etme ya da anonimleştirme yöntemi.
- Saklama ve imha süreleri tablosu. Süreç ve veri kategorisi bazında saklama süresi ve imha zamanı. Mevzuatın süre öngördüğü kayıtların sistemde nasıl izlendiğine bir örnek: İSG eğitim kayıtlarının dijital takibi.
- Periyodik imha süresi. Yönetmeliğe göre periyodik imha en fazla 6 aylık aralıklarla yapılır.
- Güncellemeler. Politikadaki değişikliklerin tarihi ve içeriği.
Silme, yok etme ve anonimleştirme arasındaki fark nedir?
Yönetmelik, kişisel verinin imhası için üç yöntem tanımlar. Yöntemin seçimi, verinin bulunduğu ortama ve verinin imhadan sonra istatistik olarak kullanılıp kullanılmayacağına bağlıdır.
| Yöntem | Ne anlama gelir? | Tipik örnek |
|---|---|---|
| Silme | Verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesi | Veritabanı kaydının silinmesi, yetkinin kalıcı kaldırılması |
| Yok etme | Verinin hiç kimse tarafından erişilemez, geri getirilemez ve tekrar kullanılamaz hâle getirilmesi | Kâğıdın imha makinesinde kırpılması, diskin fiziksel imhası |
| Anonim hâle getirme | Verinin başka verilerle eşleştirilse dahi kimliği belirli ya da belirlenebilir bir kişiyle ilişkilendirilemez hâle getirilmesi | Geçiş kayıtlarından kişi bilgisinin çıkarılıp yalnızca sayısal istatistiğin tutulması |
Örnek saklama süreleri tablosu
Saklama süreleri şirketin faaliyetine göre değişir; aşağıdaki satırlar yalnızca yöntemi göstermek içindir ve hukukçunuzla doğrulanmalıdır. Belge türüne göre daha geniş bir liste için şirket belgeleri saklama süreleri tablomuza bakın. Politikayı hazırlarken hukuki ve teknik uzmanlığın neden birlikte gerektiğini KVKK danışmanlık firması seçimi yazımızda ele aldık.
| Veri / belge | Saklama gerekçesi | Süre |
|---|---|---|
| Ticari defterler ve belgeler | Türk Ticaret Kanunu md. 82 | 10 yıl |
| Vergi kayıtları ve belgeleri | Vergi Usul Kanunu md. 253 | 5 yıl (izleyen takvim yılından) |
| Çalışan özlük dosyası | İş ilişkisinden doğabilecek talepler, genel zamanaşımı | İş ilişkisinin bitiminden itibaren şirketin belirleyeceği süre |
| İşe alınmayan aday özgeçmişi | Başvuru değerlendirme amacı | Kısa ve açıkça yazılmış bir süre |
| Kartlı geçiş ve PDKS kayıtları | Güvenlik ve puantaj amacı | Puantaj ve olası uyuşmazlık süresiyle sınırlı |
| Kamera kayıtları | Fiziksel güvenlik | Amaçla sınırlı, kısa süre |
Saklama ve imha politikası sistemlerde nasıl uygulanır?
Saklama ve imha politikasını yazmak işin kolay kısmıdır; zor olan, belgede yazan sürenin yazılımlarda gerçekten işlemesidir. Şu altı adım, politikayı kâğıttan sistemlere taşır:
- Her sisteme bir sahip atayın. "Bu tablodaki veriyi kim siler?" sorusunun cevabı bir isim olmalı.
- Saklama süresini yazılıma işleyin. Belge yönetim sistemi, e-posta ve geçiş kontrolü gibi sistemlerde süre dolan kayıtlar otomatik olarak imha listesine düşmeli ya da anonimleştirilmeli. E-posta için ayrıntıları e-posta arşivleme ve KVKK yazımızda, belgeler için EBYS ve kâğıtsız ofis rehberimizde anlattık.
- Sürüm geçmişini unutmayın. Silinen belgenin eski sürümleri ya da çöp kutusu kopyaları da veridir; dosya sürüm kontrolü yazımız bu ayrıntıya değiniyor.
- Yedekleri politikaya dahil edin. Canlı sistemden silinen verinin yedeklerde ne kadar kalacağı yazılı olmalı; fidye yazılımı ve 3-2-1 yedekleme rehberimiz yedek saklama düzenine yardımcı olur.
- Her imhayı kayda geçirin. Yönetmeliğe göre silme, yok etme ve anonimleştirme işlemleri kayıt altına alınır ve bu kayıtlar diğer yasal yükümlülükler hariç en az 3 yıl saklanır.
- İlgili kişi taleplerine süre tanımlayın. Kişi verisinin silinmesini istediğinde, talep en geç 30 gün içinde sonuçlandırılmalıdır; başvuru akışını ilgili kişi başvurusu yanıtlama yazımızda anlattık.
Sık atlanan bir nokta da imhanın yalnızca bilgi işlemin işi olmamasıdır. Kâğıt arşivdeki özlük dosyaları, eski dizüstü bilgisayarlar ve servis dışı kalan diskler de kayıt ortamıdır. Kırpma makinesi, disk imhası ya da güvenli silme yazılımı gibi yöntemler politikada ortam bazında yazılmalı; dış firmaya yaptırılan imhalarda tutanak alınmalıdır. Yedek kopyaların saklama döngüsü ve eski cihazların güvenli imhası temel güvenlik hijyeninin de parçasıdır; bu maddeleri KOBİ siber güvenlik kontrol listemizde topladık.
Saklama ve imha politikasındaki süreler, VERBİS'e girdiğiniz azami saklama süreleriyle aynı olmalıdır; bunun için VERBİS kaydı rehberimize, bütün tablo için KVKK uyum süreci yazımıza bakabilirsiniz.
Digital Bridge saklama ve imha kurallarını sistemlere nasıl işliyor?
Digital Bridge, KVKK uyum danışmanlığı kapsamında saklama ve imha politikasını kişisel veri envanterinden türetir, ardından yazılımlara işler. Yazılım ve donanımı aynı ekipte geliştirdiğimiz için süre kuralını hem belgede hem kodda tanımlayabiliyoruz.
- Belge türüne göre saklama süresi ve imha listesini EBYS ve doküman yönetimi projelerinde doğrudan sisteme kuruyoruz.
- Personel verisinin saklama ve erişim kurallarını İK, bordro ve personel yönetimi yazılımlarında tasarlıyoruz.
- Kişi bazlı veriyi raporlama için anonim istatistiğe dönüştüren yapıları veri ambarı çalışmalarında kuruyoruz.
- Birden çok sistemde tekrar eden kişi kayıtlarını ve veri sahipliğini veri yönetişimi ve kalite ile netleştiriyoruz.
- Dosya arşivi için hazır bir ürün isteyen kurumlarda SmartFiles kurumsal dosya yönetimini kullanıyoruz: klasöre 1–30 yıl arası saklama süresi atanır, süresi dolan belgeler kendiliğinden silinmez, sorumluya listelenir; yasal saklama kilidi konan belge çöpe gönderilemez ve kalıcı silinemez. Çöp kutusunda bekleme süresini (varsayılan 30 gün) ve belge başına saklanacak sürüm sayısını (en çok 10) kurum yöneticisi belirler. SmartFiles.com.tr'yi satın almak için Smart360 satın alma sayfasını kullanabilirsiniz.
Özel yazılım projelerinde hazır paket satmıyoruz; ihtiyaç analizinden sonra kapsamı, aşamaları ve bedeli yazılı teklifle sunuyoruz.
SmartPass geçiş kayıtlarında saklama ve imhayı nasıl yönetir?
Kartlı geçiş ve PDKS kayıtları, her çalışanın her gün nerede olduğunu gösterdiği için saklama politikasının en hassas satırlarından biridir. Digital Bridge'in geliştirdiği SmartPass; kartlı geçiş, PDKS, ziyaretçi kabulü ve yemekhane yönetimini tek panelde toplar. SmartPass'in geçiş kayıtlarında KVKK açısından öne çıkan özellikleri şunlardır:
- Saklama süresi kurum tarafından seçilir. Kurum, geçiş kayıtlarının saklama süresini 30 gün ile paketindeki üst sınır arasında belirler.
- Süresi dolan kayıtlar kişiden arındırılır. Kişiyle ilişkilendiren alanlar her gün kendiliğinden silinir; ayrılan personelin adı, iletişim bilgileri ve fotoğrafı da silinir, sayılar ve raporlar korunur.
- Kart numarası saklanmaz. Numara okunduğu anda cihazda kuruma özel anahtarla tek yönlü özete çevrilir; veritabanında yalnızca özet ve son dört hane bulunur.
- Denetim kaydı ve kayıt zinciri. Her değişiklik önceki ve sonraki değeriyle kaydedilir; geçiş ve denetim kayıtları özet zinciriyle bağlı olduğu için silme ya da değiştirme tespit edilir.
- Ayrı veritabanı ve ayrıntılı yetki. Her kurumun verisi kendi veritabanında tutulur; 43 ayrı panel izni vardır ve kişi listesi ile denetim kaydı raporları ayrıca izin ister.
SmartPass çevrimiçi satın alınmaz; geçiş noktası sayısı, kişi sayısı ve donanım ihtiyacına göre fiyatlandırılır. SmartPass'i satın almak için SmartPass teklif formunu doldurmanız yeterlidir. SmartPass'in PDKS tarafı için PDKS nedir, biyometrik okuyucular için biyometrik PDKS ve KVKK yazılarımıza göz atabilirsiniz.
Sonraki adım: saklama politikanızı tek bir sistemde test edin
Saklama ve imha politikasını sınamanın en hızlı yolu tek bir sistemle başlamaktır: en çok kişisel veri tutan uygulamanızı seçin ve içindeki en eski kaydın tarihini bulun. O kaydı saklamak için yazılı bir gerekçeniz yoksa, politikanız henüz sistemlere ulaşmamış demektir. Bulduklarınızla iletişim sayfamızdan bize ulaşın; saklama süreleri tablonuzu birlikte çıkaralım ve imha kurallarını yazılımlarınıza işleyelim. Uyumun diğer adımları için Siber Güvenlik ve KVKK rehberimize göz atabilirsiniz.