Kişisel veriler ne kadar süre saklanabilir?

Danışmanlıkta en sık gelen sorulardan biri şudur: "Bu verileri kaç yıl tutabiliriz?" Beklenen cevap tek bir sayıdır. Oysa 6698 sayılı Kanun böyle bir sayı vermez — ve vermemesi bir eksiklik değil, bilinçli bir tercihtir.

Kanun'un 4'üncü maddesi ilkeyi şöyle kurar: kişisel veriler "ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar" muhafaza edilir. Yani süre, veri türüne değil amaca ve o veriyle ilgili özel mevzuata bağlıdır. Aynı ad-soyad bilgisi bir özlük dosyasında on beş yıl, olumsuz sonuçlanmış bir iş başvurusunda birkaç ay saklanabilir.

Bu yüzden doğru soru "kişisel veriler ne kadar saklanır" değil, **"hangi ilgili kişi grubunun hangi verisi, hangi amaçla ne kadar saklanır"**dır. Aşağıda süreleri bu ayrımla ele alıyoruz.

Süre dört adımda belirlenir

Süreyi bulmak bir tahmin işi değil, sıralı bir sorgudur:

1. Özel bir mevzuat hükmü var mı? Varsa süre orada yazılıdır ve takdir yetkiniz yoktur. Bu süre dolmadan imha etmek de başlı başına bir ihlaldir.
2. Yoksa, işleme amacı hâlâ yaşıyor mu? Amaç sona erdiğinde saklamanın dayanağı da sona erer.
3. Amaç bitti ama dava riski var mı? İlgili zamanaşımı süresince veriyi delil olarak tutmak savunulabilir; ancak bu, sınırlı ve gerekçelendirilmiş bir uzatmadır, sınırsız bir bahane değildir.
4. Bu üçünden en geç biten hangisiyse, süre odur. Sonrası imhadır.

Bir uyarı: aşağıdaki tablolarda yer alan süreler kişisel veri mevzuatından değil, ilgili özel kanunlardan gelir. Bunlar sizin için saklama yükümlülüğü doğurur; kişisel veri mevzuatı ise sürenin sonunda imha yükümlülüğü doğurur. İkisi çelişmez, birbirini tamamlar.

Çalışanların kişisel verileri ne kadar süreyle saklanmalı?

Çalışan verileri, saklama süresi en uzun ve en tartışmalı gruptur. Sebebi, iş ilişkisinden doğabilecek dava türlerinin çeşitliliğidir:

Dayanak	Konu	Süre
İş K. m.75	Özlük dosyası tutma yükümlülüğü	Süre öngörülmemiştir
İş K. Ek m.3	Kıdem ve ihbar tazminatı, yıllık izin ücreti zamanaşımı	5 yıl
TBK m.146	İş sözleşmesinden doğan diğer alacaklarda genel zamanaşımı	10 yıl
5510 m.86	İşyeri kayıt ve belgelerini saklama	10 yıl — kamu idarelerinde 30 yıl
5510 m.86	Hizmet tespiti davası (hak düşürücü süre)	5 yıl
5510 m.93	Kurumun tazminat ve rücû davaları	10 yıl
TBK m.72 + TCK m.85, m.66	Ölümlü iş kazasında tazminat davası	15 yıl
TBK m.72 + TCK m.89, m.66	Yaralamalı iş kazasında tazminat davası	8 yıl

Tablonun üç satırı ayrıca açıklama ister.

İş Kanunu m.75, özlük dosyası için bir süre belirlemez. Yalnızca dosyanın düzenlenmesini ve belgelerin saklanmasını emreder. Uygulamada sık duyulan "İş Kanunu on yıl diyor" bilgisi bu nedenle yanlıştır; süre zamanaşımından türetilir.

İş kazası tazminatında zamanaşımı on yıl değil, ceza zamanaşımı kadar olabilir. Türk Borçlar Kanunu'nun 72'nci maddesi, tazminat ceza kanunlarının daha uzun bir zamanaşımı öngördüğü bir fiilden doğmuşsa o sürenin uygulanacağını söyler. Taksirle öldürme, Türk Ceza Kanunu'nun 85'inci maddesinde iki yıldan altı yıla kadar hapisle cezalandırılır; cezanın üst sınırı beş yılı aştığı için fiil, Kanun'un 66'ncı maddesinin (d) bendindeki on beş yıllık dava zamanaşımı kategorisine girer. Yaralamalı kazada ise aynı hesap (e) bendine göre sekiz yıl verir.

Hizmet tespiti davasındaki beş yıllık hak düşürücü süre, her olayda işlemez. 5510 sayılı Kanun'un 86'ncı maddesi bu süreyi, prim ve hizmet belgesi "işveren tarafından verilmeyen veya çalıştıkları Kurumca tespit edilemeyen" sigortalılar için öngörür. Kurum çalışmadan haberdarsa — işe giriş bildirgesi verilmişse, müfettiş tespiti varsa — hüküm kendi lafzıyla uygulanmaz ve dava için bir üst sınır kalmaz.

Peki bu, verileri süresiz saklamayı meşrulaştırır mı?

Hayır. Bir dava ihtimalinin teorik olarak hiç sona ermemesi, kişisel verilerin süresiz saklanmasını haklı çıkarmaz; böyle bir uygulama Kanun'un 4'üncü maddesindeki süreyle sınırlı saklama ilkesine doğrudan aykırı olur. "Belirsiz süre", hukuken belirlenmiş bir süre değildir.

Uygulanabilir çözüm, tabloda yer alan sürelerin en uzununu ölçü almaktır. Mevzuatın çalışan verileri bakımından öngördüğü en uzun süre, ölümlü iş kazasındaki on beş yıllık ceza zamanaşımıdır. Çalışan verileri için üst sınırı on beş yıl olarak belirlemek hem olası davalarda savunma imkânını korur hem de sürenin belirli olması şartını karşılar.

Bunun iki istisnası vardır: kamu idareleri, 5510 sayılı Kanun'un 86'ncı maddesi uyarınca işyeri kayıtlarını otuz yıl saklar; arşiv mevzuatına tabi belgeler ise kendi özel sürelerine uyar. Ayrıca on beş yıl, her belgeye uygulanacak bir süre değildir: dosyadaki her belgenin kendi süresi vardır ve kısa süreli olanlar daha önce imha edilir. On beş yıl, tavanı gösterir.

Çalışan adaylarının kişisel verileri ne kadar süreyle saklanmalı?

İşe alınmayan adayların başvurularının ne kadar saklanacağına ilişkin hiçbir mevzuat hükmü yoktur. Uygulamada yaygın refleks, başvuruyu "ileride değerlendiririz" diyerek bir aday havuzunda tutmaktır. Bu refleks risklidir.

Dayanak	Konu	Süre
—	İş başvurusunun saklanma süresi	Mevzuatta düzenlenmemiştir
Kurul kararı 2021/670	Olumsuz sonuçlanan başvurunun havuzda tutulması	Meşru menfaat sayılmadı
TBK m.72	Süreçten doğabilecek taleplerde zamanaşımı	2 yıl (önerilen üst sınır)

Kişisel Verileri Koruma Kurulu'nun 06.07.2021 tarihli ve 2021/670 sayılı kararı tam bu konuya ilişkindir. Olayda ilgili kişi bir bankaya iş başvurusu yapmış, mülakatta başarılı olamamış ve verilerinin silinmesini istemiştir. Banka, ad-soyad ile kimlik bilgilerini ve başvurunun değerlendirme gerekçesini, kişinin ileride yapacağı olası başvurularla karşılaştırmak amacıyla ve meşru menfaate dayanarak saklamaya devam etmiştir.

Kurul bu savunmayı kabul etmemiştir. Karara göre meşru menfaat hükmü veri sorumlusuna sınırsız bir alan tanımaz; olayda saklamadan beklenen yarar kişisel veri işlenmeksizin başka yollarla elde edilebilirdi, menfaat açık ve belirli değildi ve ilgili kişinin temel hak ve özgürlüklerine baskın gelmiyordu. Kurul, veri sorumlusuna idari para cezası uygulamış, verilerin imhasını istemiş ve —kararın en dikkat çekici yanı— iş başvurusu olumsuz sonuçlanmış diğer kişilerin verilerinin de imha edilmesi için veri sorumlusunu talimatlandırmıştır.

Buradan çıkan sonuç şudur: başvuru olumsuz sonuçlandığında işleme amacı kural olarak sona erer. Aday havuzunda tutma, kendiliğinden meşru menfaat sayılmaz; ayrıca ve açıkça gerekçelendirilmesi gerekir.

Bununla birlikte, olumsuz sonuçlanan bir başvurudan da talep doğabilir — örneğin işe alım sürecinde eşit davranma ilkesine aykırılık iddiası. Türk Borçlar Kanunu'nun 72'nci maddesi bu tür taleplerde, zarar görenin zararı ve sorumluyu öğrendiği tarihten itibaren iki yıllık bir süre öngörür. Bu nedenle aday verileri için makul üst sınır, başvurunun olumsuz sonuçlandığı tarihten itibaren iki yıldır.

İki noktanın altını çizmek gerekir. Birincisi, iki yıl bir üst sınırdır; ilgili kişi silme talebinde bulunursa süre beklenmez, talep otuz gün içinde sonuçlandırılır (ilgili kişi başvurusu). İkincisi, adayı gerçekten bir havuzda tutmak istiyorsanız bunu ayrı bir amaç olarak kurgulamanız, adayı bu konuda açıkça bilgilendirmeniz ve dayanağını göstermeniz gerekir; sessizce saklamak seçenek değildir.

Ticari ilişki kurulan kişiler ve yetkililerinin kişisel verileri ne kadar süreyle saklanmalı?

Tedarikçiler, bayiler, iş ortakları ve bunların imza yetkilileri ile irtibat kişileri bu gruba girer. Buradaki süreler büyük ölçüde ticaret ve vergi mevzuatından gelir:

Dayanak	Konu	Süre
TTK m.82	Ticari defterler, ticari mektuplar, muhasebe belgeleri	10 yıl (kaydın yapıldığı takvim yılının bitişinden)
VUK m.253	Defter ve vesikalar (defter tutmakla yükümlü olanlar)	5 yıl (ilgili yılı takip eden takvim yılından)
VUK m.254	Fatura, gider pusulası (defter tutmayanlar)	5 yıl
TBK m.146	Sözleşmeden doğan alacaklarda genel zamanaşımı	10 yıl

Bu grupta en uzun süre on yıldır ve iki ayrı yerden gelir: ticari belgelerin saklanma yükümlülüğü ile sözleşmesel alacakların genel zamanaşımı. Dolayısıyla ticari muhataplara ilişkin kişisel veriler için saklama süresini on yıl olarak belirlemek hem ticaret ve vergi mevzuatına hem de kişisel veri mevzuatına uygun düşer. Sürenin başlangıcı sözleşmenin sona erdiği ya da son ticari işlemin gerçekleştiği tarihtir; sözleşme devam ettiği sürece saklama zaten amaca bağlıdır.

Müşteri verileri ne kadar süreyle saklanmalı?

Müşteri verilerinde tek bir cevap vermek mümkün değildir, çünkü süre sektöre göre değişir.

Dayanak	Konu	Süre
Sektör mevzuatı	Bankacılık, sigortacılık, elektronik haberleşme, sağlık, sermaye piyasası	Kendi özel süresi — genel kurala önce gelir
TBK m.146	Sözleşmeden doğan alacaklarda genel zamanaşımı	10 yıl
VUK m.253 / TTK m.82	Fatura ve mali belgeler	5 yıl / 10 yıl
Ticari İletişim Yönetmeliği m.13	Ticari elektronik ileti onay kayıtları	3 yıl

Bankacılık, sigortacılık, elektronik haberleşme, sağlık ve sermaye piyasası gibi alanların kendi mevzuatlarında özel saklama süreleri bulunur; bu süreler genel kurala önce gelir. Faaliyet gösterdiğiniz alanda böyle bir düzenleme varsa, süreniz odur.

Özel bir düzenleme yoksa ölçü, sözleşmeden doğan alacaklar için Türk Borçlar Kanunu'nun 146'ncı maddesindeki on yıllık genel zamanaşımıdır. Müşteriyle kurulan ilişki çoğu zaman bir sözleşme ilişkisidir ve on yıl, bu ilişkiden doğabilecek taleplere karşı savunma imkânını korur.

İki ayrıntı sık atlanır. Faturalar ve mali belgeler müşteri verisi olsa da kendi süresine tabidir (VUK'ta beş yıl, TTK kapsamına giriyorsa on yıl). Ticari elektronik ileti onayları ise tamamen ayrı bir rejime tabidir: Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik'in 13'üncü maddesi uyarınca onay kayıtları, onayın geçerliliğinin sona erdiği tarihten itibaren üç yıl saklanır. Bu, iznin ispatı için tutulan ayrı bir kayıttır ve müşteri ilişkisinin süresiyle karıştırılmamalıdır (pazarlama izni).

Kamera kayıtları ne kadar süreyle saklanmalı?

Kamera kayıtları için üst sınır belirleyen özel bir düzenleme yoktur. Uygulamada süreyi belirleyen ilk etken teknik bir gerçektir: görüntü kaydı büyük yer kaplar, bu nedenle kayıtlar zaten uzun süre saklanamaz ve sistemler belirli bir süre sonra üzerine yazar.

Dayanak	Konu	Süre
—	Üst sınır belirleyen özel düzenleme	Yoktur
Valilik / emniyet kararları	Gıda üretim, hazırlama ve satış noktaları	30 gün asgari (il ve sektöre göre)
Valilik / emniyet kararları	Eğlence mekânları ve oteller, kamu güvenliği amacıyla	30 gün asgari (il ve sektöre göre)
Ölçülülük ilkesi (m.4)	Tavsiye edilen üst sınır	2 yılı aşmamalı

Ancak "sistem ne kadar tutuyorsa o kadar" bir süre belirlemesi değildir. Süreyi siz belirlemeli, gerekçesini ve süreyi yazılı hâle getirmelisiniz (işyerinde kamera kaydı). Makul ve savunulabilir bir üst sınır olarak iki yıl önerilir; bunun ötesine geçen bir saklama, somut ve ağır bir gerekçe olmadan ölçülü sayılmaz.

Bu konuda daha az bilinen bir risk, sürenin fazla kısa olmasıdır. Kamu güvenliği ve gıda güvenliği gerekçesiyle il düzeyinde asgari kayıt süreleri öngörülebilmektedir. İstanbul Valiliği'nin gıda güvenliği kapsamında aldığı kararla, gıda üretim, hazırlama ve satış noktalarında kayıtların otuz gün saklanması istenmiştir. Benzer biçimde eğlence mekânları ve oteller bakımından, valilikler ve emniyet müdürlükleri kamu güvenliği amacıyla otuz günlük kayıt tutma yükümlülüğü getirebilmektedir.

Bunun pratik sonucu şudur: kamera kayıtlarını "gereksiz veri" sayıp yedi gün sonra silen bir işletme, bulunduğu il ve faaliyet alanı itibarıyla otuz günlük bir yükümlülüğe tabi olabilir ve bu yükümlülüğü ihlal edebilir. Süreyi belirlemeden önce kendi sektörünüz ve iliniz için alınmış idari kararların incelenmesi gerekir. Her hâlükârda tavsiye edilen, sürenin otuz günlük asgari yükümlülükler saklı kalmak üzere iki yılı aşmamasıdır.

"Belki ileride lazım olur" bir dayanak değildir

Uygulamadaki en yaygın savunma budur ve hukuken karşılığı yoktur. Kanun, işlemeyi gerektiren sebep ortadan kalktığında verinin resen silinmesini, yok edilmesini veya anonim hâle getirilmesini emreder — ilgili kişinin talep etmesi beklenmez.

"İhtiyaç doğabilir" ile "zamanaşımı süresince delil gerekebilir" arasındaki fark şudur: ikincisi somut bir hukuki riske ve tanımlı bir süreye dayanır, birincisi dayanmaz. Yukarıdaki 2021/670 sayılı karar, tam olarak bu ayrımın uygulanmasıdır: "ileride başvurabilir" beklentisi, saklama için yeterli görülmemiştir.

Süre dolduğunda ne oluyor?

Süre dolan veri imha edilir; imha re'sen işleyen bir sürece bağlanır ve belgelenir. Bunun yöntemleri, periyodik imha takvimi ve politikanın içeriği ayrı bir konudur: saklama ve imha politikası.

Süre belirlerken düşülen yanılgılar

1. Tüm şirkete tek bir süre vermek. "Her şeyi on yıl tutuyoruz" hem fazlasını saklamak hem ölçülülüğü ihlal etmektir. Süre, ilgili kişi grubu ve belge türü bazında belirlenir.
2. Zamanaşımını yalnızca beş yıl sanmak. İş ilişkisinde ölümlü kaza ihtimali on beş yıllık bir kuyruk doğurur; bunu görmeyen bir süre tablosu şirketi savunmasız bırakır.
3. Zamanaşımının işlememesini süresiz saklama izni saymak. Hizmet tespitinde üst sınır bulunmaması, verinin sonsuza kadar tutulabileceği anlamına gelmez.
4. Olumsuz sonuçlanan başvuruyu havuzda tutmak. Kurul bunu meşru menfaat saymamış, idari para cezası uygulamıştır.
5. Süreyi rızaya bağlamak. Rıza geri alınabilir; mevzuattan doğan saklama yükümlülüğü ise rızadan bağımsızdır.
6. Kamera kaydında yalnızca üst sınırı düşünmek. Bazı sektör ve illerde asgari süre yükümlülüğü vardır; erken silmek de ihlal olabilir.
7. Yedekleri ve kâğıt arşivi hesaba katmamak. Süre tüm ortamlar için işler.
8. Süreyi yazmayıp uygulamada bırakmak. Belgelenmemiş süre, denetimde "süre belirlenmemiş" sayılır.

Bütüncül gözden geçirme

Bir saklama süresini belirlemek veya değiştirmek tek bir tablo satırını düzeltmek değildir. Süre önce kişisel veri envanterinden çıkar, sonra dışa doğru yayılır: VERBİS kaydında beyan ettiğiniz azami saklama süresiyle tutarlı olmalı, aydınlatma metinlerinizde ilgili kişiye bildirdiğiniz süreyle örtüşmeli — ki bu metinler zaten çalışan, aday, müşteri ve ziyaretçi için ayrı ayrı hazırlanır — veri bir tedarikçide duruyorsa veri işleyen sözleşmesindeki iade ve imha hükmü aynı süreyi göstermeli, saklama ve imha politikanızın süre tablosuna işlenmelidir. Sicilde beyan ettiğiniz süreyi fiilen uygulamamak, kendi beyanınıza aykırılık oluşturur.

Süre tablosunun kurulması, kişisel veri mevzuatının yanında vergi, ticaret, iş, sosyal güvenlik ve —kamera örneğinde görüldüğü gibi— idari kararların birlikte okunmasını gerektirir. İlgili kişi grubu ve belge türü bazında yapılacak bu çalışma için hukuki destek alınmasını öneririz; Genç Partners süre tablosunun kurulmasında ve her sürenin gerekçesinin yazılı hâle getirilmesinde yol gösterir. KVKK belge merkezi ise politikanın güncel sürümünün yayımlanmasını ve eski sürümlerin arşivlenmesini üstlenir.

Özet

• Kanun genel bir saklama süresi vermez; süre ilgili kişi grubuna, amaca ve özel mevzuata göre belirlenir.
• Sıra şudur: özel hüküm → amacın devamı → zamanaşımı → en geç biteni al.
• Çalışanlar: en uzun süre ölümlü iş kazasındaki on beş yıllık ceza zamanaşımıdır; tavan olarak 15 yıl alınabilir (kamu idarelerinde SGK kayıtları için 30 yıl).
• Çalışan adayları: mevzuatta süre yoktur; olumsuz sonuçlanan başvuruyu havuzda tutmak Kurul kararıyla ihlal sayılmıştır. Önerilen üst sınır, olumsuz sonuç tarihinden itibaren 2 yıl.
• Ticari muhataplar: TTK ve TBK'daki en uzun süre olan 10 yıl.
• Müşteriler: sektör mevzuatı önce gelir; yoksa genel zamanaşımı olan 10 yıl. Ticari elektronik ileti onayları ayrıca 3 yıl.
• Kamera kayıtları: üst sınır yoktur, 2 yılı aşmaması önerilir; ancak bazı sektör ve illerde otuz günlük asgari yükümlülük bulunabilir.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Yukarıdaki süreler ilgili mevzuatın genel çerçevesini ve yaygın uygulamayı gösterir; şirketinizin ilgili kişi grubu ve belge türü bazındaki saklama süreleri için hukuki destek alınız.