Kişisel Veri Saklama ve İmha Politikası: Süreler, Periyodik İmha ve Yönetmelik Rehberi (2026)
Kişisel veriler süresiz saklanamaz: 6698 sayılı Kanun m.7 uyarınca işlenme amacı ortadan kalkan veriler resen veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hale getirilir. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik üç temel kural koyar: VERBİS’e kayıt yükümlüsü veri sorumluları, saklama ve imha politikası hazırlamak zorundadır; periyodik imha, politikada belirlenen ve her halde altı ayı geçmeyen aralıklarla yapılır; ilgili kişinin imha talebi en geç otuz gün içinde sonuçlandırılır. Saklama süreleri keyfi belirlenmez; her veri kategorisi için ilgili mevzuattaki süre, yoksa işleme amacı için gerekli süre esas alınır. Silme (erişilemez kılma), yok etme (geri getirilemez imha) ve anonim hale getirme (kimlikle ilişkilendirilemez kılma) farklı işlemlerdir; tüm imha işlemleri tutanak ve log kayıtlarıyla belgelenir, bu kayıtlar diğer hukuki yükümlülükler saklı kalmak üzere en az üç yıl saklanır.
Neden Süresiz Saklama Yasak?
6698 sayılı Kanun m.4, verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasını ve gerektiği süre kadar muhafazasını ilkeleştirir; m.7 ise amacı ortadan kalkan verinin imhasını emreder. Süresi dolmuş veri, şirket için varlık değil yükümlülüktür: her veri ihlalinde etkilenen kayıt sayısını büyütür, her denetimde hukuka aykırı işleme kalemi doğurur. İmha disiplini bu yüzden uyumun en ölçülebilir göstergesidir.
Kurul Yaklaşımı
Süresi dolan veriyi tutmak başlı başına ihlaldir
Kurul kararlarında; işleme amacı sona ermesine rağmen silinmeyen müşteri ve aday kayıtları, sızıntı olmasa dahi ilkelere aykırı işleme olarak değerlendirilmiş; ihlal olaylarında ise saklama fazlalığı, etkilenen kişi sayısını büyüten ağırlaştırıcı unsur sayılmıştır. İmha takvimi bu yüzden hem bağımsız yükümlülük hem ihlal anında hafifletici kalkandır.
Bu disiplin ve KVKK uyum sürecinin çekirdek adımlarındandır.
Politika Hazırlamak Kimler İçin Zorunlu?
Yönetmelik Kuralı
VERBİS yükümlüsüyseniz politika zorunlu
Silme, Yok Etme veya Anonim Hale Getirme Yönetmeliği; saklama ve imha politikası hazırlama yükümlülüğünü VERBİS’e kayıt yükümlülüğüne bağlar. Kayıt kapsamı için eşikler ve istisnalar VERBİS kaydı ve veri envanteri rehberimizde ayrıntılıdır. Politika yükümlüsü olmayanlar da m.7 imha kurallarına tabidir; fark, yazılı politika belgesi zorunluluğundadır. Politika hazırlamış olmak imha yapmış olmak anlamına gelmez: Kurul uygulamasında rafta duran politika, uygulanmayan uyumun delili olarak aleyhe okunur.
Silme, Yok Etme, Anonimleştirme Farkı
| İşlem | Sonuç |
|---|---|
| Silme | İlgili kullanıcılar için erişilemez ve tekrar kullanılamaz kılma |
| Yok etme | Hiç kimse tarafından geri getirilemeyecek şekilde imha |
| Anonim hale getirme | Kimlikle ilişkilendirilemez kılma; başarılıysa veri KVKK kapsamından çıkar |
Anonimleştirme en riskli yöntemdir: maskeleme ve toplulaştırma yetersiz kalır, başka veri setleriyle eşleştirilerek kimlik geri kazanılabilirse işlem anonimleştirme değil hukuka aykırı saklamadır. Yöntem seçiminde tersine döndürme riski mutlaka test edilmelidir.
Avukata Sor
Saklama ve İmha Politikası Kurulumu ve benzeri uyuşmazlıklarda durumunuzu bir avukatla değerlendirin; her dosya kendi delil durumuna göre incelenir.
Saklama Süreleri Nasıl Belirlenir? (Tablo)
Süre belirleme iki basamaklıdır: önce ilgili mevzuat taranır, özel süre varsa o uygulanır; yoksa işleme amacı için gerekli süre gerekçelendirilerek belirlenir. Örnek çerçeve:
| Veri Kategorisi | Tipik Dayanak ve Yaklaşım |
|---|---|
| Muhasebe ve ticari kayıtlar | Ticari ve vergi mevzuatındaki 10 yıllık defter-belge saklama düzeni |
| Özlük dosyası | İş mevzuatı yükümlülükleri ve alacak zamanaşımları gözetilerek işten ayrılmadan itibaren uzun saklama |
| İSG ve sağlık gözetimi kayıtları | İş sağlığı mevzuatındaki özel uzun süreler |
| İnternet trafik kayıtları | 5651 rejimindeki saklama yükümlülükleri |
| Aday CV’leri | Mevzuat süresi yok; amaçla sınırlı kısa süre (tipik uygulama 6 ay – 1 yıl, rızayla uzatılabilir) |
| Kamera kayıtları | Amaçla ölçülü kısa süre; olay halinde ilgili kesit delil olarak ayrılır |
Çalışan verilerinde saklama-imha dengesi ayrıca hassastır; işveren yükümlülükleri için KVKK ve işçi verileri yazımıza bakınız.
Periyodik İmha: 6 Ay Kuralı
Yönetmelik m.11
Politika dönemi her halde 6 ayı geçemez
Periyodik imha; saklama süresi dolan verilerin, politikada belirlenen tekrar eden aralıklarla resen imha edilmesidir ve bu aralık altı ayı aşamaz. Sağlıklı kurulum: yılda iki imha penceresi, pencere öncesi envanter taraması, imha listesinin hukuk onayı, işlem ve tutanak. İmhanın yapılmamış olması, ilgili kişi şikayetlerinde ve veri ihlali incelemelerinde ağırlaştırıcı kusur kalemidir; ihlal anındaki etkiyi de büyütür, bkz. 72 saat veri ihlali bildirimi.
Talep Üzerine İmha: 30 Gün
İlgili kişi, m.11 ve m.13 uyarınca verilerinin silinmesini veya yok edilmesini talep ettiğinde veri sorumlusu talebi en geç otuz gün içinde sonuçlandırır; şartlar oluşmuşsa imha eder, veriler üçüncü kişilere aktarılmışsa imha talebini alıcılara da iletir. Talebin reddi gerekçeli olmalıdır (örneğin saklamayı zorunlu kılan mevzuat süresi dolmamışsa) ve ret, ilgili kişiye Kurula şikayet yolunu açar; sürecin işleyişi KVKK şikayeti nasıl yapılır ana rehberimizde, talep dilekçesinin kurulumu başvuru dilekçesi örneği yazımızdadır.
Politikanın Zorunlu İçeriği
Asgari Set
Politikada bulunması gerekenler
Hazırlanma amacı ve kapsam; kayıt ortamları (fiziki arşiv, sunucular, bulut, e-posta, yedekler); saklamayı ve imhayı gerektiren hukuki-teknik sebepler; teknik ve idari tedbirler; imha yöntemleri ve yetkili unvanlar; veri kategorisi bazlı saklama ve imha süreleri tablosu; periyodik imha dönemleri. Politika; envanter, VERBİS beyanı ve aydınlatma metinleriyle tutarlı olmalıdır; metin mimarisi için aydınlatma metni ve çerez politikası hazırlama rehberimize bakınız.
İmhanın Belgelenmesi ve Denetim
İspat Kuralı
Tutanaksız imha, yapılmamış sayılma riskindedir
Silme, yok etme ve anonimleştirme işlemleri tutanağa ve log kayıtlarına bağlanır; bu kayıtlar, diğer hukuki yükümlülükler saklı kalmak kaydıyla en az üç yıl saklanır. İlgili kişi uyuşmazlığında “verileriniz imha edildi” savunması ancak bu kayıtlarla ayakta kalır. Fiziki arşiv imhasında imha firmasından alınan sertifikalar, dijital ortamda ise sistem logları dosyaya eklenmelidir; imha edilmeyen verinin sızması halinde hem m.7 hem veri güvenliği ihlali birlikte gündeme gelir ve tazminat riski büyür, hak arama cephesi için kişisel verilerim izinsiz paylaşıldı yazımız yol göstericidir.
Bu yazıda atıf yapılan kanunun güncel ve resmi metnine mevzuat.gov.tr üzerinden ulaşabilirsiniz.
Saklama ve İmha Politikası Kurulumu ve Avukat Desteği
Veri kategorilerinize özgü saklama sürelerinin belirlenmesi, periyodik imha düzeninin kurulması ve politika setinizin hazırlanması için süreci birlikte yönetelim.
Sık Sorulan Sorular
Kişisel verileri ne kadar süre saklayabiliriz?
Tek bir süre yoktur; her veri kategorisi için ayrı belirleme yapılır. Kural şudur: ilgili mevzuat bir süre öngörüyorsa o süre (örneğin ticari defter ve dayanak belgelerinde 10 yıl, iş sağlığı kayıtlarında uzun saklama, internet trafik kayıtlarında 5651 rejimi), mevzuatta süre yoksa işleme amacının gerektirdiği makul süre esas alınır. Süre dolduğunda saklamaya devam etmek, hukuka aykırı işlemeye dönüşür; ‘ileride lazım olur’ gerekçesi Kurul uygulamasında geçerli kabul edilmez.
Saklama ve imha politikası hazırlamak zorunda mıyız?
VERBİS’e kayıt yükümlüsü iseniz evet; Yönetmelik, politika hazırlamayı kayıt yükümlülüğüne bağlamıştır. Kayıt yükümlüsü olmayanlar için yazılı politika şart değildir; ancak m.7’deki imha yükümlülüğü herkes için geçerlidir ve amaçla bağlı saklama, talep üzerine 30 günde imha ve imhanın ispatı kuralları kayıt yükümlüsü olmayanları da bağlar. Pratikte politika, bu yükümlülüklerin yönetilebilir tek yolu olduğundan eşik altı şirketlere de hazırlanmasını öneriyoruz.
Silme, yok etme ve anonim hale getirme arasındaki fark nedir?
Silme; verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesidir (veri tabanında erişim yetkilerinin kaldırılması gibi). Yok etme; verinin hiç kimse tarafından geri getirilemeyecek şekilde imhasıdır (fiziki imha, üzerine yazma, de-manyetize etme). Anonim hale getirme; verinin başka verilerle eşleştirilse dahi kimliği belirli bir kişiyle ilişkilendirilemeyecek hale getirilmesidir ve başarılıysa veri KVKK kapsamından çıkar. Yöntem seçimi veri sorumlusuna aittir; ancak ilgili kişi hangi yöntemin uygulandığını öğrenme hakkına sahiptir ve seçim, gerekçesiyle savunulabilir olmalıdır.
Periyodik imha ne sıklıkla yapılmalı?
Politikada belirlenen aralıklarla ve her halde altı ayı geçmeyecek şekilde. Uygulamada sağlıklı düzen; yılda iki imha dönemi (örneğin Haziran ve Aralık) belirleyip, o döneme kadar saklama süresi dolan tüm kayıtların topluca gözden geçirilmesi, imha edilmesi ve tutanaklanmasıdır. Saklama süresi dolan verinin bir sonraki periyodik imha dönemini beklemesi hukuka uygundur; ancak ilgili kişiden talep gelirse 30 günlük bireysel süre işler ve periyodik dönem beklenemez.
Yedeklerdeki veriler de imha edilmek zorunda mı?
Evet; yedekler KVKK kapsamı dışında değildir. Teknik olarak anlık silmenin mümkün olmadığı yedek ortamlarında kabul gören yaklaşım; verinin yedekten geri dönüş halinde otomatik imhasını sağlayacak kontrollerin kurulması ve yedek saklama döngüsü tamamlandığında verinin kalıcı olarak yok olmasıdır. Politikada yedek ortamları için ayrı prosedür yazılmalı, log kayıtları tutulmalıdır. Bulut ve yurt dışı yedekleme kullanılıyorsa imha taahhütleri veri işleyen sözleşmesine eklenmelidir.
