Kişisel veri saklama ve imha politikası: kim hazırlar, periyodik imha kaç ayda bir yapılır, çalışan verisi ne kadar saklanır?

Kişisel veri saklama ve imha politikası nedir?

Bu politikada veri sorumlusu, her kişisel verinin işlendiği amaç için gereken azami saklama süresini belirler. Silme, yok etme ya da anonim hâle getirme işlemlerini de bu politikaya dayanarak yapar. Dayanağı 6698 sayılı KVKK'nın 7. maddesi ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'tir. Yönetmelik 28.10.2017 tarihli ve 30224 sayılı Resmî Gazete'de yayımlandı ve 01.01.2018'de yürürlüğe girdi.

Temel kural KVKK'nın 4. maddesinde yazar. Kişisel veriler, mevzuatta öngörülen ya da işlendikleri amaç için gereken süre kadar saklanır. İşleme şartlarının hepsi ortadan kalkınca veri sorumlusu veriyi kendiliğinden ya da ilgili kişinin talebiyle siler, yok eder veya anonim hâle getirir (KVKK m.7).

Saklama ve imha politikasını kimler hazırlamak zorunda?

Politika, Veri Sorumluları Siciline (VERBİS) kayıt olmak zorunda olan veri sorumluları için zorunludur ve kişisel veri işleme envanterine uygun hazırlanır (Yönetmelik m.5/1). Yani asıl soru, sizin VERBİS'e kayıt olmanızın zorunlu olup olmadığıdır.

• Kurul'un 2025/1572 sayılı kararına göre, ana faaliyeti özel nitelikli kişisel veri işlemek olmayan veri sorumlularından yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olanlar VERBİS kaydından muaftır.
• Ana faaliyeti özel nitelikli veri işlemek olanlarda muafiyet eşiği 10 çalışan ve 10 milyon TL'dir.
• Kurul'un 2025/2393 sayılı kararına göre bilanço esasına göre defter tutmayanlarda yalnızca çalışan sayısına bakılır.

Çoğu fabrika çalışan sayısı yüzünden eşiğin üstünde kalır.

Politikada en az neler bulunmalı?

Yönetmeliğin 6. maddesine göre politika en az şu başlıkları içerir.

1. Politikanın hazırlanma amacı.
2. Politikanın kapsadığı kayıt ortamları (kâğıt özlük dosyası, bordro programı, PDKS, e-posta, kamera kayıt cihazı, yedekler vb.).
3. Politikada geçen hukuki ve teknik terimlerin tanımları.
4. Verilerin saklanmasını ve imhasını gerektiren hukuki, teknik ve diğer sebepler.
5. Verilerin güvenle saklanması ve hukuka aykırı erişimin önlenmesi için alınan teknik ve idari tedbirler.
6. Verilerin hukuka uygun imhası için alınan teknik ve idari tedbirler.
7. Saklama ve imha süreçlerinde görev alanların unvanları, birimleri ve görev tanımları.
8. Saklama ve imha sürelerini gösteren tablo.
9. Periyodik imha süreleri.
10. Politikada yapılan güncellemeler.

Silme, yok etme ve anonim hâle getirme arasındaki fark nedir?

Kurul aksine karar vermedikçe uygun yöntemi veri sorumlusu kendisi seçer. İlgili kişi talepte bulunursa seçtiğiniz yöntemin gerekçesini ona açıklarsınız. Yaptığınız bütün imha işlemlerini kayda geçirmeniz ve bu kayıtları, başka hukuki yükümlülükler saklı kalmak üzere en az 3 yıl saklamanız gerekir (m.7).

Periyodik imha süresi ne kadar?

Periyodik imha, işleme şartları ortadan kalkan verileri politikada belirlediğiniz aralıklarla kendiliğinden silmeniz, yok etmeniz ya da anonim hâle getirmenizdir. Aralığı politikada siz belirlersiniz, ama bu süre hiçbir durumda 6 ayı geçemez (Yönetmelik m.11/2). Politika hazırlamış bir veri sorumlusu, imha yükümlülüğünün doğduğu tarihten sonraki ilk periyodik imhada veriyi imha eder.

Çalışan verileri ne kadar saklanır? Örnek saklama süreleri tablosu

Tabloda yalnızca mevzuatta açıkça yazan saklama süreleri var. Bir belgeye birden fazla süre uygulanıyorsa en uzun olanı esas alırsınız. Mevzuatta süresi yazmayan veriler için süreyi siz belirlersiniz. Bunu yaparken tablonun altındaki zamanaşımı süreleri yol gösterir.

Mevzuatta süresi yazmayan veriler için zamanaşımı

• Ücret gibi dönemsel alacaklarda zamanaşımı 5 yıldır (Türk Borçlar Kanunu m.147).
• Kıdem, ihbar, kötüniyet ve eşit davranma tazminatları ile yıllık izin ücretinde zamanaşımı 5 yıldır (İş Kanunu ek m.3).
• Kanunda aksine bir hüküm yoksa genel zamanaşımı 10 yıldır (Türk Borçlar Kanunu m.146).

Bu süreler, bir verinin olası bir davada delil olarak ne zamana kadar gerekebileceğini gösterir. Ama her veriyi 10 yıl saklamanız için gerekçe değildir. İşe alınmayan adayın CV'si, ziyaretçi kaydı ve kamera görüntüsü gibi verilerde süreyi amaca göre kısa tutun. Kurum, kamera kayıtları için mümkün olan en kısa süreyi ve otomatik imhayı istiyor.

Verileri süresinde silmemenin cezası nedir?

KVKK'nın 7. maddesine aykırı olarak kişisel verileri silmeyen ya da anonim hâle getirmeyenler, Türk Ceza Kanunu'nun 138. maddesine göre 1 yıldan 2 yıla kadar hapis cezası alır (KVKK m.17/2). KVKK'nın 18. maddesi politika hazırlamamayı ayrı bir kabahat olarak saymıyor. Ama verilerin hukuka aykırı işlenmesini önleyecek teknik ve idari tedbirleri almamak, veri güvenliği yükümlülüğünün (m.12) ihlalidir. Kurum'un 2026 tablosundaki tutarlar aşağıdaki gibidir.

Fabrikada politika nasıl hazırlanır?

1. Önce envanteri çıkarın. Çalışan, aday, ziyaretçi ve alt işveren çalışanı için hangi veriyi, hangi amaçla ve hangi ortamda tuttuğunuzu listeleyin. VERBİS'e bildirdiğiniz azami süreler bu envanterle aynı olmalı.
2. Her veri için bir süre belirleyin. Önce mevzuattaki süreyi kontrol edin. Mesela puantaj kayıtları için bu süre 10 yıldır. Mevzuatta süre yoksa amaca ve zamanaşımına göre süreyi siz belirleyin ve gerekçesini yazın.
3. Kayıt ortamlarını tek tek sayın. Kâğıt özlük arşivini, bordro ve PDKS yazılımlarını, e-posta kutularını, paylaşılan klasörleri, yedekleri ve kamera kayıt cihazını ayrı ayrı ele alın.
4. Periyodik imha takvimini belirleyin. İmha en fazla 6 ayda bir yapılmalı, örneğin her yıl ocak ve temmuz aylarında.
5. Sorumluları atayın. İK, muhasebe ve bilgi işlemde kimin neyi imha edeceğini unvanıyla yazın.
6. Her imha için tutanak tutun. Neyin, hangi yöntemle, kim tarafından ve ne zaman imha edildiğini yazın ve tutanakları en az 3 yıl saklayın.