Kişisel Veri Saklama ve İmha Politikası: Kimler İçin Zorunlu?

Kişisel veri saklama ve imha politikası, bir şirketin hangi veri kategorisini ne kadar süre elinde tuttuğunu ve o süre dolduğunda veriyi nasıl yok ettiğini yazılı olarak tarif eden belgedir. VERBİS’e kayıt yaptırmakla yükümlü her veri sorumlusu bu politikayı hazırlamak zorunda; kaydı olmayan küçük işletmeler için de 6698 sayılı Kanun’un md. 7’deki genel silme yükümlülüğü zaten yürürlükte. Denetimde ilk istenen belgelerden biri bu, çoğu KOBİ’nin dosyasında da yok.

Bu politika kimin için zorunlu?

Dayanak net: 28 Ekim 2017 tarihli, 30224 sayılı Resmî Gazete’de yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, VERBİS’e kayıt yaptırmakla yükümlü veri sorumlularına yazılı bir saklama ve imha politikası hazırlama zorunluluğu getiriyor.

Kurul’un 2025/1572 sayılı kararına göre yıllık çalışan sayısı 50’den az ve yıllık mali bilançosu 100 milyon TL’nin altında olan, ana faaliyet konusu özel nitelikli veri işlemek olmayan şirketler VERBİS kaydından muaf. Ama bu muafiyet politika yazmama hakkı vermiyor, sadece sicil kaydı zorunluluğunu kaldırıyor. Muaf olsanız bile elinizdeki müşteri, çalışan veya aday verisini süresiz saklama hakkınız yok.

Politikada ne yazmalı?

Belge üç şeyi net ortaya koymalı: hangi veri, hangi hukuki sebeple, ne kadar süre saklanıyor; süre bittiğinde hangi yöntemle imha ediliyor. Sektöre göre değişse de aşağıdaki tablo çoğu KOBİ için başlangıç noktası:

Veri kategorisi	Hukuki dayanak	Tipik saklama süresi
Fatura, defter, muhasebe kaydı	VUK m. 253	5 yıl
Sözleşme, ticari yazışma	TTK m. 82	10 yıl
Çalışan özlük dosyası	İş mevzuatı + zamanaşımı süreleri	10 yıl
İşe alınmayan aday özgeçmişi	Ölçülülük ilkesi (KVKK md. 4)	Süreç bitiminden itibaren makul süre

Aday özgeçmişleri için yasada sabit bir rakam yok. “Makul süre” ölçülülük ilkesinden geliyor; uygulamada genellikle birkaç ay ile bir yıl arasında bir eşik belirleniyor. Asıl önemli olan, süreyi keyfi değil gerekçeli seçmek. Belgeye neden o süreyi belirlediğinizi de yazın.

Silme, yok etme, anonimleştirme: hangisi ne zaman

Yönetmelik üç ayrı yöntem tanımlıyor ve bunlar birbirinin yerine kullanılmıyor.

• Silme: veriye erişim ve kullanım yetkisi kaldırılır, veri fiziksel olarak sistemde kalabilir ama ilgili kişiler ona ulaşamaz.
• Yok etme: veri hiçbir şekilde geri getirilemeyecek biçimde ortadan kaldırılır — fiziksel imha, degaussing, üzerine yazma gibi tekniklerle.
• Anonimleştirme: veri, başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek hale getirilir.

Hangi yöntemin seçileceği veri türüne ve saklama ortamına bağlı. Kâğıt evrak için fiziksel imha (kırpma, yakma) yeterliyken, sunucudaki bir veritabanı kaydı için üzerine yazma veya güvenli silme yazılımı gerekiyor.

Periyodik imha takvimi ve denetimde neye bakılıyor

Politika, veriyi tek tek elle silmeyi değil düzenli bir döngüyü öngörüyor: periyodik imha süresi en fazla altı ay olabiliyor. Saklama süresi dolan veri bir sonraki periyodik imha döneminde yok edilmiş olmalı; elle takip edilen bir Excel listesi bu işi güvenilir yürütmüyor.

Kurul denetiminde üç şey soruluyor: politika var mı, periyodik imha fiilen çalışıyor mu, saklama süresi geçmiş veri hâlâ sistemde duruyor mu. Üçüncüsü en sık çıkan bulgu — “politikamız var ama kimse uygulamıyor” durumu.

2026’da veri güvenliği tedbirlerinin alınmaması kapsamındaki idari para cezası 256.357 TL ile 17.092.242 TL arasında değişiyor; imha politikasının eksikliği veya kâğıt üzerinde kalması genellikle bu kapsamda değerlendiriliyor. TCK md. 138 ayrıca, kanunda öngörülen sürelerin geçmesine rağmen veriyi yok etmekle yükümlü olanlara bir yıldan iki yıla kadar hapis cezası öngörüyor. Bu ceza şirkete değil, sorumlu gerçek kişiye uygulanıyor.

Sık sorulan sorular

VERBİS’e kayıtlı değilim, yine de politika hazırlamalı mıyım? Yazılı bir politika hazırlama zorunluluğunuz yok ama elinizdeki veriyi süresiz saklama hakkınız da yok. Küçük ölçekte bile hangi veriyi ne kadar tuttuğunuzu belirleyen kısa bir iç kural işinize yarar.

Politikayı kim onaylamalı? Yönetmelik belirli bir imza makamı öngörmüyor; şirket içinde veri sorumlusunu temsil eden yönetim kademesinin onayı yeterli. Küçük şirketlerde bu genellikle ortak veya genel müdür oluyor.

Var olan politikayı ne sıklıkla güncellemeliyim? Yeni bir veri kategorisi işlemeye başladığınızda, bir sistemi bulut ortamına taşıdığınızda veya mevzuat değiştiğinde. Sabit bir yıllık güncelleme zorunluluğu yok ama VERBİS kaydınızdaki envanterle politikanın uyumsuz kalması denetimde ilk göze çarpan şey.

Politikayı hazırlamak tek başına yeterli değil; periyodik imhanın fiilen çalıştığını gösterecek bir kayıt da tutmanız gerekiyor. Bu süreci veri envanterinizle birlikte kurmak istiyorsanız iletişime geçebilirsiniz.