Kişisel Veriler Ne Kadar Süre Saklanabilir? Kategori Bazlı Süreler
Kişisel veriler için kanunda tek bir azami saklama süresi yoktur. Süre, verinin işlenme amacına ve varsa özel mevzuattaki zorunluluğa göre her veri kategorisi için ayrı belirlenir. Amaç ortadan kalktığında ve saklamayı gerektiren başka bir hukuki sebep kalmadığında veri silinmeli, yok edilmeli veya anonim hale getirilmelidir. "Belki ileride lazım olur" gerekçesiyle süresiz saklama, KVKK'nın ölçülülük ve amaçla sınırlılık ilkelerine aykırıdır.
Süreyi belirleyen üç kaynak
- Özel mevzuat. Bazı veriler için süre kanunla belirlenmiştir; bu süre dolmadan silme yapılamaz.
- Zamanaşımı süreleri. Bir hakkın kullanılması veya savunma için gerekli olabilecek veriler, ilgili zamanaşımı süresince saklanabilir.
- İşleme amacı. Yukarıdaki ikisi yoksa süreyi amaç belirler ve amaç bitince veri imha edilir.
Mevzuattan gelen tipik süreler
| Veri | Dayanak | Süre |
|---|---|---|
| Ticari defter ve belgeler, faturalar | Türk Ticaret Kanunu | 10 yıl |
| Vergiyle ilgili kayıtlar | Vergi Usul Kanunu | 5 yıl |
| Özlük dosyası | İş Kanunu ve zamanaşımı | Genellikle iş ilişkisi sona erdikten sonra 10 yıl |
| İş sağlığı ve güvenliği kayıtları | 6331 sayılı Kanun ve yönetmelikler | Kayıt türüne göre 10 ile 40 yıl arası (maruziyet kayıtlarında daha uzun) |
| İnternet ortamındaki trafik bilgisi | 5651 sayılı Kanun | Yükümlülük türüne göre 6 ay ile 2 yıl arası |
| Elektronik ticaret onay kayıtları | 6563 sayılı Kanun ve yönetmelik | Onayın geri alınmasından itibaren 3 yıl |
Bu tablo yön göstericidir; kendi sektörünüzdeki özel mevzuat (bankacılık, sağlık, sigortacılık, telekom) farklı süreler öngörebilir. Süreler belirlenirken hukuk desteği alınması ve dayanağın yazılı olarak kaydedilmesi beklenir.
Mevzuatta süresi olmayan veriler
Web sitesi ve pazarlama verilerinin çoğu bu gruptadır; süreyi siz belirlersiniz ve gerekçesini yazarsınız. Uygulamada kabul gören yaklaşımlar:
| Veri | Yaygın uygulama | Mantığı |
|---|---|---|
| İletişim formu mesajları | Talep kapandıktan sonra sınırlı bir süre | Amaç, talebin yanıtlanmasıdır; yanıtlandıktan sonra sürdürülebilir bir gerekçe kalmaz |
| Bülten aboneliği | Rıza geri alınana kadar; geri alındıktan sonra yalnız ispat için sınırlı süre | Dayanak açık rızadır |
| Aday özgeçmişleri | Süreç kapandıktan sonra kısa bir süre, adayın rızasıyla havuzda daha uzun | İşe alım süreci bitince amaç sona erer |
| Kamera kayıtları | Genellikle birkaç hafta | Güvenlik amacı kısa süre içinde gerçekleşir |
| Analitik ve reklam verisi | Aracın saklama ayarıyla sınırlı; GA4'te en fazla 14 ay | Trend analizi için yeterli, kişi bazlı veri gereksiz yere birikmez |
| Rıza kayıtları | Rıza sona erdikten sonra makul süre | İspat yükü veri sorumlusundadır |
Süreleri belgelemek
VERBİS'e kayıtlı veri sorumluları, veri kategorisi bazında saklama sürelerini hem VERBİS bildiriminde hem saklama ve imha politikasında göstermek zorundadır. İkisinin tutarlı olması gerekir; denetimde ilk bakılan yerlerden biri budur. Kayıtlı olmayan şirketler için politika zorunlu değildir, ama süreleri belirlemek ve uygulamak yine zorunludur.
Süre dolduğunda veri kendiliğinden silinmez; periyodik imha yapılması gerekir. Politikası olan veri sorumluları için periyodik imha aralığı en fazla 6 aydır ve her imha tutanakla kayıt altına alınır. Ayrıntı: imhayı gerektiren haller.
Sık yapılan hatalar
- Tüm veriler için tek bir süre belirlemek (örneğin "her şey 10 yıl"). Kategori bazında belirlenmesi gerekir.
- Süre dolduğu halde imha etmemek; politika yazıp uygulamamak en sık rastlanan durumdur.
- Yedekleri unutmak. Yedekte kalan veri de saklama kapsamındadır; derhal silinemiyorsa erişimin kapatılması ve politikada belirtilmesi gerekir.
- Çerez ömürlerini politikayla uyumsuz bırakmak. Politikada 6 ay yazıp sitede 2 yıllık çerez çalıştırmak çelişki yaratır; sitenizdeki gerçek çerez ömürlerini ücretsiz tarama ile görebilirsiniz.
- Rıza geri alındığında veriyi saklamaya devam etmek. Bkz. rızanın geri alınması.
Sıkça sorulan sorular
Müşteri silme talebinde bulundu ama faturası duruyor, ne yapmalıyım?
Faturalar mevzuat gereği saklanır; talep bu veri için gerekçeli reddedilir, saklamayı gerektirmeyen diğer veriler imha edilir. Yanıt 30 gün içinde verilir.
Süre dolunca veriyi silmek yerine anonim hale getirebilir miyim?
Evet, anonimleştirme imha yöntemlerinden biridir; ancak gerçekten geri döndürülemez olmalıdır. Bkz. anonim hale getirme.
Eski müşteri listesini pazarlama için saklayabilir miyim?
Pazarlama iletişimi rızaya bağlıdır; rıza yoksa liste bu amaçla saklanamaz. Sözleşme ve muhasebe kayıtları ayrı sebeple saklanır, ama o kayıtlar pazarlama amacıyla kullanılamaz.
GA4'te saklama süresini neye göre seçmeliyim?
Yıllık karşılaştırma yapabilmek için 14 ay yaygın tercihtir; daha kısa süre analiz imkanını daraltır, daha uzunu zaten mümkün değildir.
.jpg)
