KVKK saklama ve imha politikası, bir şirketin işlediği kişisel verileri ne kadar süreyle saklayacağını, bu süre dolduğunda verileri hangi yöntemle sileceğini, yok edeceğini veya anonim hale getireceğini gösteren temel uyum dokümanlarından biridir.
Bu politika yalnızca matbu bir belge olarak düşünülmemelidir. Gerçek bir saklama ve imha politikası; veri envanteri, VERBİS bildirimi, saklama süreleri, yasal yükümlülükler, periyodik imha takvimi, kayıt ortamları, imha yöntemleri ve imha kayıtlarıyla birlikte yaşayan bir sistem olarak hazırlanmalıdır.
KVKK saklama ve imha politikası, kişisel verilerin işleme amacı sona erdiğinde ne kadar süreyle saklanacağını ve bu süre sonunda hangi yöntemle silineceğini, yok edileceğini veya anonim hale getirileceğini gösteren temel uyum dokümanlarından biridir.
VERBİS’e kayıt yükümlülüğü bulunan veri sorumluları, kişisel veri işleme envanterine uygun şekilde saklama ve imha politikası hazırlamalıdır. Ancak politika hazırlama yükümlülüğü bulunmayan veri sorumlularının da kişisel verileri süresiz saklama hakkı yoktur.
Politika; veri kategorilerini, kayıt ortamlarını, saklama sürelerini, periyodik imha aralığını, imha yöntemlerini, görevli birimleri, imha kayıtlarını ve teknik-idari tedbirleri içermelidir.
Saklama ve imha politikanızı veri envanterinizle uyumlu hale getirebiliriz.
Şirketinizin veri kategorileri, saklama süreleri, VERBİS bildirimi, kayıt ortamları ve periyodik imha takvimi birlikte değerlendirilerek uygulanabilir bir politika yapısı oluşturulabilir.
KVKK Saklama ve İmha Politikası Nedir?
Kişisel veri saklama ve imha politikası, veri sorumlusunun kişisel verileri işlendikleri amaç için gerekli olan azami süre boyunca saklaması ve bu sürenin sonunda silme, yok etme veya anonim hale getirme işlemlerini hangi esaslara göre yapacağını açıklayan politikadır.
Bu politika üç temel soruya cevap vermelidir:
- Hangi kişisel veriler işleniyor?
- Bu veriler hangi hukuki sebeple ve ne kadar süreyle saklanıyor?
- Saklama süresi sona erdiğinde veri hangi yöntemle imha ediliyor?
Bu nedenle saklama ve imha politikası, şirketin veri envanterinden bağımsız hazırlanamaz. Envanterde yer alan veri kategorileri, kişi grupları, işleme amaçları, hukuki sebepler, alıcı grupları, aktarım süreçleri ve saklama süreleri politika ile tutarlı olmalıdır.
Gerçek bir saklama ve imha politikası yalnızca matbu bir belge değildir. Politika; fiziksel arşiv, dijital sistemler, insan kaynakları yazılımları, muhasebe programları, e-posta kutuları, yedekler, bulut sistemleri ve kamera kayıtları gibi tüm kayıt ortamlarını kapsayacak şekilde yaşayan bir sistem olarak kurgulanmalıdır.
Kimler Saklama ve İmha Politikası Hazırlamalıdır?
VERBİS’e kayıt yükümlülüğü bulunan veri sorumluları, kişisel veri işleme envanterine uygun şekilde kişisel veri saklama ve imha politikası hazırlamakla yükümlüdür.
Ancak burada önemli bir ayrım vardır: Saklama ve imha politikası hazırlama yükümlülüğü bulunmayan veri sorumlularının da kişisel verileri süresiz saklama hakkı yoktur. Bu kişiler de kişisel verileri KVKK’ya uygun şekilde saklamak, işleme sebebi ortadan kalktığında silmek, yok etmek veya anonim hale getirmek zorundadır.
Bu nedenle küçük işletmeler, serbest meslek mensupları veya VERBİS istisnası kapsamında bulunan yapılar bakımından da saklama sürelerinin belirlenmesi ve imha sürecinin kayıt altına alınması gerekir. Politika hazırlama yükümlülüğü olmasa bile veri saklama disiplini bulunmalıdır.
VERBİS değerlendirmesi yapılırken yalnızca çalışan sayısı veya mali bilanço toplamı dikkate alınmamalıdır. Ana faaliyet konusu, özel nitelikli kişisel veri işlenip işlenmediği, veri sorumlusunun niteliği ve güncel Kurul kararları birlikte değerlendirilmelidir. Bu konuda ayrıntılı bilgi için VERBİS kayıt zorunluluğu ve muafiyet kriterleri rehberine bakabilirsiniz.
Saklama ve İmha Politikası ile Veri Envanteri Arasındaki Bağlantı
Kişisel veri işleme envanteri, şirketin hangi kişisel verileri, hangi amaçla, hangi hukuki sebebe dayanarak, kimlerden, kimlere aktararak ve ne kadar süreyle işlediğini gösteren ana tablodur.
Saklama ve imha politikası ise bu envanterde belirlenen saklama sürelerinin nasıl uygulanacağını gösterir.
Bu nedenle önce veri envanteri hazırlanmalı, ardından saklama ve imha politikası bu envanterle uyumlu hale getirilmelidir. Aksi halde politika genel ifadelerden oluşan bir belgeye dönüşür ve uygulamada şirketi korumaz.
Örneğin bir şirketin çalışan özlük dosyaları, müşteri sözleşmeleri, kamera kayıtları, aday çalışan CV’leri, tedarikçi iletişim bilgileri ve muhasebe belgeleri aynı süreyle saklanamaz. Her veri kategorisi için işleme amacı, ilgili mevzuat, hukuki ilişki ve zamanaşımı ihtimali ayrı ayrı değerlendirilmelidir.
Saklama Süresi Nasıl Belirlenir?
Kişisel veri saklama süresi belirlenirken ilk bakılması gereken yer ilgili özel mevzuattır. Vergi Usul Kanunu, Türk Ticaret Kanunu, İş Kanunu, Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu, iş sağlığı ve güvenliği mevzuatı, tüketici mevzuatı veya sektörel düzenlemeler bazı kayıtlar için saklama yükümlülüğü öngörebilir.
Özel bir yasal saklama süresi varsa bu süre dikkate alınmalıdır. Böyle bir süre yoksa veri işleme amacı, hukuki ilişkinin devam süresi, veri sorumlusunun meşru menfaati, ilgili kişinin temel hak ve özgürlükleri, olası uyuşmazlıklar ve zamanaşımı süreleri birlikte değerlendirilmelidir.
Saklama süresi belirlenirken sorulması gereken sorular
- Bu veri hangi amaçla alındı?
- Bu amacın gerçekleşmesi için veriye hâlâ ihtiyaç var mı?
- Bu verinin saklanmasını zorunlu kılan özel bir kanun var mı?
- Hukuki ilişki sona erdi mi?
- İleride dava, icra, denetim veya resmî kurum incelemesi ihtimali var mı?
- Veri daha kısa süreyle saklanarak aynı amaç sağlanabilir mi?
- Veri anonim hale getirilerek istatistiksel amaçla kullanılabilir mi?
- Veri yedeklerde, e-posta arşivlerinde veya bulut sistemlerinde ayrıca bulunuyor mu?
Bu değerlendirme yapılmadan “tüm veriler 10 yıl saklanır” veya “tüm veriler süresiz saklanır” şeklinde genel hükümler yazılması doğru değildir. Saklama süresi, veri kategorisi ve işleme amacı bazında belirlenmelidir.
Sektörel Saklama Süreleri ve Güncel Mevzuat Kontrolü
Saklama ve imha politikası hazırlanırken yalnızca 6698 sayılı Kanun’a bakmak yeterli değildir. Şirketin faaliyet alanına göre vergi, ticaret, iş hukuku, SGK, iş sağlığı ve güvenliği, sağlık, elektronik ticaret, finans, sigorta, ödeme hizmetleri veya sektörel düzenlemeler ayrıca kontrol edilmelidir.
Özellikle çalışan verileri bakımından İş Kanunu, SGK ve iş sağlığı güvenliği süreçleri; sağlık verileri bakımından Kişisel Sağlık Verileri Hakkında Yönetmelik ve özel nitelikli kişisel veri güvenliği tedbirleri; kamera kayıtları bakımından ölçülülük ve kayıt süresi; e-posta, SMS ve pazarlama izinleri bakımından elektronik ticaret ve İYS süreçleri birlikte değerlendirilmelidir.
Sağlık verileri, geçmiş tanılar, işe giriş süreçleri, sağlık raporları ve mesleki yeterlilik değerlendirmeleri bakımından 04.07.2026 tarihli Kişisel Sağlık Verileri Hakkında Yönetmelik değişikliği ayrıca dikkate alınmalıdır. Bu düzenleme doğrudan her saklama süresini otomatik değiştirmez; ancak geçmiş sağlık kayıtlarının işe giriş veya mesleki değerlendirme süreçlerinde nasıl kullanılacağı ve ne kadar süreyle saklanacağı konusunda daha dikkatli bir değerlendirme yapılmasını gerektirir.
Yurt dışına aktarım yapılan sistemler, yabancı merkezli bulut hizmetleri, global CRM yazılımları ve yedekleme altyapıları varsa saklama ve imha politikası ayrıca kişisel verilerin yurt dışına aktarımı ve bulut sistemleri bakımından da uyumlu hale getirilmelidir.
Saklama ve İmha Politikasında Hangi Başlıklar Bulunmalıdır?
Saklama ve imha politikası, şirketin gerçek veri işleme yapısını gösterecek şekilde hazırlanmalıdır. Politika en az şu başlıkları içermelidir:
| Politika Başlığı | Açıklama |
|---|---|
| Politikanın hazırlanma amacı | Politikanın hangi amaçla hazırlandığı ve hangi kişisel veri işleme süreçlerini kapsadığı açıklanmalıdır. |
| Kayıt ortamları | Fiziksel dosyalar, sunucular, bilgisayarlar, bulut sistemleri, e-posta hesapları, insan kaynakları yazılımları, muhasebe programları, yedekleme alanları ve arşiv ortamları belirtilmelidir. |
| Tanımlar | Kişisel veri, özel nitelikli kişisel veri, veri sorumlusu, ilgili kişi, silme, yok etme, anonim hale getirme, periyodik imha ve kayıt ortamı gibi kavramlar açıklanmalıdır. |
| Saklamayı gerektiren sebepler | Kanuni yükümlülük, sözleşmenin kurulması veya ifası, hukuki yükümlülük, meşru menfaat ve hakkın tesisi gibi saklama gerekçeleri belirtilmelidir. |
| İmhayı gerektiren sebepler | İşleme amacının ortadan kalkması, hukuki sebebin sona ermesi, saklama süresinin dolması, açık rızanın geri alınması veya ilgili kişinin haklı talebi gibi nedenler açıklanmalıdır. |
| Teknik ve idari tedbirler | Yetki matrisi, erişim sınırlandırması, log kayıtları, şifreleme, yedekleme, gizlilik taahhütleri, personel eğitimi, fiziksel arşiv güvenliği ve özel nitelikli veri tedbirleri gösterilmelidir. |
| Görevli birimler | İnsan kaynakları, muhasebe, bilgi işlem, hukuk, idari işler veya KVKK komitesi gibi süreçten sorumlu birimler belirtilmelidir. |
| Saklama ve imha süreleri tablosu | Veri kategorisi, veri konusu kişi grubu, işleme amacı, saklama süresi, saklama gerekçesi, imha yöntemi ve sorumlu birim tablo halinde gösterilmelidir. |
| Periyodik imha süresi | Şirketin periyodik imhayı hangi aralıklarla yapacağı açıkça yazılmalıdır. Bu süre altı ayı geçmemelidir. |
| Güncelleme bilgisi | Politikanın ne zaman yürürlüğe girdiği, ne zaman güncellendiği ve hangi durumlarda revize edileceği belirtilmelidir. |
Periyodik İmha Nedir?
Periyodik imha, kişisel verilerin işlenmesini gerektiren sebeplerin ortadan kalkması halinde, saklama ve imha politikasında belirlenen tekrar eden aralıklarla verilerin resen silinmesi, yok edilmesi veya anonim hale getirilmesidir.
Periyodik imha süresi veri sorumlusu tarafından belirlenir; ancak bu süre altı ayı geçemez. Bu nedenle şirketler yılda en az iki defa imha kontrolü yapılacak şekilde bir takvim oluşturmalıdır.
Periyodik imha süreci nasıl işletilebilir?
- Veri envanteri ve saklama süreleri kontrol edilir.
- Saklama süresi dolan veri kategorileri belirlenir.
- Verilerin hangi sistemlerde ve fiziki arşivlerde bulunduğu tespit edilir.
- Yedekleme, e-posta arşivi, bulut depolama ve eski cihazlar ayrıca kontrol edilir.
- İlgili veriler için uygun imha yöntemi seçilir.
- İmha işlemi yetkili kişiler tarafından gerçekleştirilir.
- İmha işlemi tutanak veya kayıtla belgelenir.
- Gerekirse veri envanteri ve politika güncellenir.
Bu süreç sadece yılda bir kez hatırlanan biçimsel bir işlem olmamalıdır. Personel çıkışı, sözleşmenin sona ermesi, dava süresinin dolması, kamera kayıt süresinin tamamlanması, aday çalışan sürecinin kapanması, pazarlama izninin geri alınması veya bulut hizmet sağlayıcısının değişmesi gibi olaylar imha takvimini doğrudan etkileyebilir.
Silme, Yok Etme ve Anonim Hale Getirme Arasındaki Farklar
KVKK uygulamasında imha denildiğinde üç farklı yöntem gündeme gelir: silme, yok etme ve anonim hale getirme.
| İmha Yöntemi | Açıklama | Uygulama Notu |
|---|---|---|
| Silme | Kişisel verilerin ilgili kullanıcılar tarafından erişilemez ve tekrar kullanılamaz hale getirilmesidir. | Erişim yetkisinin kaldırılması, uygulama ekranından veri silinmesi veya kullanıcı bazlı erişimin engellenmesi gündeme gelebilir. |
| Yok etme | Kişisel verilerin hiç kimse tarafından erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesidir. | Fiziki evrakın güvenli şekilde imhası, veri taşıyıcısının geri döndürülemez biçimde imhası veya dijital verinin teknik olarak geri getirilemeyecek şekilde ortadan kaldırılması örnek verilebilir. |
| Anonim hale getirme | Kişisel verilerin başka verilerle eşleştirilse bile kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek hale getirilmesidir. | Toplulaştırılmış raporlar, istatistiksel analizler veya kişiyle bağlantısı koparılmış veri setleri bu kapsamda değerlendirilebilir. |
Hangi yöntemin seçileceği veri türüne, kayıt ortamına, işleme amacına ve teknik imkânlara göre belirlenmelidir. Her veri için aynı imha yöntemi uygun olmayabilir. Örneğin bir aday CV’si dijital sistemden silinebilirken, hukuki saklama süresi devam eden bir sözleşme fiziki arşivde kontrollü şekilde saklanmaya devam edebilir.
İmha Tutanağı Neden Önemlidir?
İmha işlemlerinin kayıt altına alınması, KVKK uyum sürecinin ispatı bakımından önemlidir. Bu nedenle şirketler her periyodik imha döneminde veya özel imha işleminde kayıt oluşturmalıdır.
İmha tutanağında genellikle şu bilgiler bulunmalıdır:
- imha tarihi,
- imha edilen veri kategorisi,
- veri konusu kişi grubu,
- verinin bulunduğu kayıt ortamı,
- imha yöntemi,
- imha işlemini yapan kişi veya birim,
- imha işlemine onay veren yetkili,
- varsa teknik açıklama,
- tutanağın veya imha kaydının saklama süresi.
İmha tutanağı, “veriyi sildik” demenin ötesinde, imha işleminin kim tarafından, ne zaman, hangi yöntemle ve hangi gerekçeyle yapıldığını gösterir. Bu kayıtlar olası ilgili kişi başvuruları, Kurul incelemeleri, iç denetimler ve şirket içi uyum kontrolleri bakımından önemlidir.
Saklama ve İmha Süreleri Tablosu Nasıl Hazırlanır?
Politikanın en önemli bölümlerinden biri saklama ve imha süreleri tablosudur. Bu tablo genel ifadelerle değil, veri envanterindeki veri kategorileriyle uyumlu şekilde hazırlanmalıdır.
| Tablo Alanı | Ne İçermeli? |
|---|---|
| Veri kategorisi | Kimlik, iletişim, özlük, finans, sağlık, işlem güvenliği, kamera kaydı gibi veri kategorileri gösterilmelidir. |
| Veri konusu kişi grubu | Çalışan, aday çalışan, müşteri, tedarikçi, ziyaretçi, yetkili kişi gibi gruplar belirtilmelidir. |
| İşleme amacı | Verinin hangi iş süreci için işlendiği açıklanmalıdır. |
| Hukuki sebep | Kanuni yükümlülük, sözleşme, meşru menfaat, açık rıza veya diğer hukuki sebepler gösterilmelidir. |
| Saklama süresi | Mevzuatta öngörülen veya işleme amacı için gerekli olan azami süre yazılmalıdır. |
| Saklama süresinin dayanağı | İlgili kanun, zamanaşımı süresi, sözleşme ilişkisi, Kurul yaklaşımı veya makul saklama gerekçesi belirtilmelidir. |
| İmha yöntemi | Silme, yok etme veya anonim hale getirme yöntemlerinden uygun olanı yazılmalıdır. |
| Sorumlu birim | İnsan kaynakları, muhasebe, bilgi işlem, hukuk veya idari işler gibi görevli birim belirtilmelidir. |
Örneğin çalışan özlük dosyaları için iş hukuku ve SGK mevzuatı; muhasebe kayıtları için vergi ve ticaret mevzuatı; kamera kayıtları için güvenlik amacı, ölçülülük ilkesi ve kayıt ortamı; aday çalışan CV’leri için işe alım sürecinin makul süresi dikkate alınmalıdır.
Bu tablo hazırlanırken şirketin gerçek işleyişi esas alınmalıdır. Kullanılmayan veri kategorileri eklenmemeli, şirkette fiilen işlenen veriler ise dışarıda bırakılmamalıdır.
Dijital, Fiziki, Yedek ve Bulut Kayıtları Nasıl Ele Alınmalıdır?
Saklama ve imha politikası yalnızca fiziki evrak arşivi için hazırlanmaz. Kişisel veriler çoğu zaman dijital sistemlerde, eski bilgisayarlarda, ortak klasörlerde, e-posta eklerinde, bulut depolama alanlarında, yedekleme sistemlerinde, kamera kayıt cihazlarında ve dışa aktarılmış Excel dosyalarında da bulunur.
Bu nedenle politika hazırlanırken kayıt ortamları ayrı ayrı belirlenmelidir. Özellikle şu alanlar kontrol edilmelidir:
- fiziki arşiv ve dosya odaları,
- insan kaynakları ve bordro yazılımları,
- muhasebe ve e-belge sistemleri,
- CRM ve müşteri takip sistemleri,
- e-posta kutuları ve eski personel hesapları,
- bulut depolama hizmetleri,
- yedekleme sistemleri,
- kamera kayıt cihazları,
- taşınabilir diskler ve eski cihazlar,
- mesajlaşma uygulamaları ve ortak çalışma platformları.
Yedeklerde imha süreci teknik olarak her zaman anlık şekilde yürütülemeyebilir. Bu durumda yedeklerin saklama döngüsü, erişim yetkileri ve geri yükleme sonrası uygulanacak silme veya yok etme süreci ayrıca yazılmalıdır. Ana sistemde silinen bir verinin yedekten geri yüklendiğinde yeniden aktif kullanıma açılmaması için kontrol mekanizması kurulmalıdır.
Saklama ve İmha Politikası Kontrol Listesi
Aşağıdaki kontrol listesi, saklama ve imha politikasının temel unsurlarını hızlıca gözden geçirmek için kullanılabilir. Ancak her veri sorumlusunun faaliyet konusu, veri kategorileri ve tabi olduğu özel mevzuat ayrıca değerlendirilmelidir.
- VERBİS kayıt yükümlülüğü ve istisna durumu değerlendirildi mi?
- Kişisel veri işleme envanteri hazırlandı mı?
- Politika veri envanteriyle uyumlu hale getirildi mi?
- Fiziki, dijital, bulut ve yedek kayıt ortamları belirlendi mi?
- Her veri kategorisi için ayrı saklama süresi yazıldı mı?
- Saklama sürelerinin hukuki dayanağı belirtildi mi?
- Özel nitelikli kişisel veriler için ayrıca güvenlik tedbirleri gösterildi mi?
- Kamera kayıtları, çalışan verileri, sağlık verileri ve aday çalışan verileri ayrı değerlendirildi mi?
- Periyodik imha aralığı altı ayı geçmeyecek şekilde belirlendi mi?
- Silme, yok etme ve anonim hale getirme yöntemleri kayıt ortamına göre ayrıştırıldı mı?
- İmha tutanağı veya imha kayıt düzeni oluşturuldu mu?
- Yedek sistemler, e-posta arşivleri ve eski cihazlar için ayrıca kontrol yapıldı mı?
- Politikanın hangi hallerde güncelleneceği yazıldı mı?
- Politika, VERBİS bildirimi ve aydınlatma metinleriyle çelişmeyecek şekilde kontrol edildi mi?
Sık Yapılan Hatalar
Saklama ve imha politikalarında uygulamada en sık görülen hatalar şunlardır:
- Veri envanteri hazırlanmadan politika yazılması.
- Tüm veri kategorileri için aynı saklama süresinin belirlenmesi.
- Yasal saklama süreleri ile işleme amacı için gerekli sürelerin karıştırılması.
- Periyodik imha süresinin hiç belirlenmemesi.
- İmha işlemlerinin tutanak veya kayıtla belgelenmemesi.
- Dijital veriler silinirken yedek sistemlerin unutulması.
- E-posta arşivlerinde ve eski personel hesaplarında kişisel veri bırakılması.
- Fiziki arşivdeki evraklar için ayrı imha yöntemi belirlenmemesi.
- Özel nitelikli kişisel veriler için ek güvenlik tedbirlerinin gösterilmemesi.
- VERBİS bildirimi ile saklama-imha politikasının uyumsuz olması.
- Yurt dışı sunuculu yazılım ve bulut sistemlerinin saklama-imha politikasına dahil edilmemesi.
- Politikanın hazırlandıktan sonra hiç güncellenmemesi.
Bu hatalar, politikanın yalnızca şekli bir belge gibi hazırlanmasından kaynaklanır. Oysa saklama ve imha politikası, şirketin gerçek veri işleme faaliyetlerine bağlı olarak düzenli güncellenmelidir.
Lilyum Danışmanlık Bu Süreçte Nasıl Destek Olur?
Lilyum Danışmanlık, KVKK saklama ve imha politikası hazırlanırken yalnızca genel bir şablon metin oluşturmaz. Öncelikle şirketin kişisel veri işleme envanteri, VERBİS yükümlülüğü, veri kategorileri, saklama süreleri, kayıt ortamları ve mevcut belge düzeni birlikte değerlendirilir.
Bu kapsamda;
- veri envanteri ile saklama sürelerinin uyumu kontrol edilir,
- veri kategorilerine göre saklama ve imha süreleri tablosu hazırlanır,
- periyodik imha takvimi oluşturulur,
- imha tutanağı ve uygulama kayıtları için belge düzeni kurulur,
- politikanın VERBİS bildirimiyle çelişmemesi sağlanır,
- şirketin faaliyet alanına uygun teknik ve idari tedbirler belirlenir,
- dijital, fiziki, bulut ve yedek kayıt ortamları birlikte değerlendirilir.
KVKK uyum sürecinizde veri envanteri, VERBİS, saklama süreleri ve periyodik imha takvimi birlikte değerlendirilebilir. Bu konuda KVKK Danışmanlığı hizmetimiz kapsamında ön değerlendirme talep edebilirsiniz.
Sık Sorulan Sorular
KVKK saklama ve imha politikası her şirket için zorunlu mudur?
VERBİS’e kayıt yükümlülüğü bulunan veri sorumluları, kişisel veri işleme envanterine uygun saklama ve imha politikası hazırlamalıdır. Ancak politika hazırlama yükümlülüğü bulunmayan veri sorumlularının da kişisel verileri süresiz saklama hakkı yoktur.
Saklama süresi dolan kişisel veriler hemen silinmeli midir?
Saklama ve imha politikası hazırlamış veri sorumluları, imha yükümlülüğünün doğduğu tarihi takip eden ilk periyodik imha döneminde ilgili verileri siler, yok eder veya anonim hale getirir. Periyodik imha süresi altı ayı geçemez.
Saklama ve imha politikası hazırlama yükümlülüğü olmayanlar ne zaman imha yapmalıdır?
Saklama ve imha politikası hazırlama yükümlülüğü bulunmayan veri sorumluları da imha yükümlülüğünün doğduğu tarihi takip eden üç ay içinde kişisel verileri silmeli, yok etmeli veya anonim hale getirmelidir.
İmha tutanağı zorunlu mudur?
Yönetmelik, silme, yok etme ve anonim hale getirme işlemleriyle ilgili yapılan bütün işlemlerin kayıt altına alınmasını öngörür. Bu nedenle imha tutanağı veya benzeri kayıtlar, imha sürecinin ispatı bakımından önemlidir.
İmha kayıtları ne kadar süre saklanmalıdır?
Silme, yok etme ve anonim hale getirme işlemleriyle ilgili kayıtlar, diğer hukuki yükümlülükler saklı kalmak üzere en az üç yıl süreyle saklanmalıdır.
Veri envanteri olmadan saklama ve imha politikası hazırlanabilir mi?
Uygulamada hazırlanabilir gibi görünse de sağlıklı değildir. Çünkü saklama ve imha politikası, veri envanterindeki veri kategorileri, kişi grupları, işleme amaçları ve saklama süreleriyle uyumlu olmalıdır.
Tüm kişisel veriler aynı süreyle saklanabilir mi?
Hayır. Çalışan verileri, müşteri verileri, muhasebe belgeleri, kamera kayıtları, aday çalışan CV’leri ve özel nitelikli kişisel veriler için aynı saklama süresi belirlenmesi çoğu zaman doğru değildir. Her veri kategorisi kendi amacı ve hukuki dayanağına göre değerlendirilmelidir.
Saklama ve imha politikası ne zaman güncellenmelidir?
Yeni veri işleme faaliyeti başladığında, yeni yazılım veya bulut hizmeti kullanıldığında, saklama süreleri değiştiğinde, mevzuat güncellendiğinde, VERBİS bildirimi revize edildiğinde veya şirketin kayıt ortamları değiştiğinde politika da gözden geçirilmelidir.
Resmî Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu
- Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik
- Veri Sorumluları Sicili Hakkında Yönetmelik
- Kişisel Veri İşleme Envanteri Hazırlama Rehberi
- Kişisel Verileri Koruma Kurumu Kişisel Veri Saklama ve İmha Politikası
- Kişisel Verileri Koruma Kurumu — Rehberler
- Özel Nitelikli Kişisel Verilerin İşlenmesinde Alınması Gereken Yeterli Önlemler Hakkında 2018/10 Sayılı Kurul Kararı
- İş Yerlerinde Güvenlik Kamerası Sistemi Kullanımında Dikkat Edilecek Hususlara Dair Kamuoyu Duyurusu
- Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında 2026/921 Sayılı İlke Kararı Duyurusu
- Kişisel Sağlık Verileri Hakkında Yönetmelikte Değişiklik Yapılmasına Dair Yönetmelik — 04.07.2026
- 213 sayılı Vergi Usul Kanunu
- 6102 sayılı Türk Ticaret Kanunu
- 4857 sayılı İş Kanunu
- 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu
- 6331 sayılı İş Sağlığı ve Güvenliği Kanunu
Bilgilendirme Notu
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır. Saklama ve imha süreleri her şirketin faaliyet alanına, veri kategorilerine, tabi olduğu özel mevzuata, VERBİS durumuna, özel nitelikli veri işleme faaliyetlerine, kayıt ortamlarına ve somut veri işleme süreçlerine göre ayrıca değerlendirilmelidir.
Son Güncelleme: 8 Temmuz 2026
