Çalışan verilerinin saklama süresi, tek bir takvim satırı değildir. Özlük kaydı, bordro belgesi, izin formu, performans notu ve aday CV’si aynı amaçla toplanmaz. Bu yüzden hepsini aynı gün silmek de, hepsini süresiz tutmak da doğru değildir.
Çalışan verilerinin saklama süresi neden tek bir süre değildir?
İK ekibi veriyi sadece işe girişte toplamaz. İş sözleşmesi, bordro, yan hak kaydı, eğitim katılımı, izin talebi ve disiplin süreci farklı işleme amaçlarına bağlıdır. Her kayıt için dayanak, erişim ihtiyacı ve saklama gerekçesi ayrı değerlendirilmelidir.
KVKK bakımından temel soru şudur: Veri, toplandığı amaç için hâlâ gerekli mi? Gerekli değilse, mevzuattan doğan başka bir saklama zorunluluğu veya olası bir uyuşmazlık için belgelenmiş bir ihtiyaç var mı? Yoksa silme, yok etme ya da anonimleştirme süreci devreye girmelidir.
Bu yaklaşım, dosyayı sadece arşiv işi olmaktan çıkarır. KVKK Kurulunun çalışan verileriyle ilgili karar özeti, aydınlatma yükümlülüğünün saklama süreçlerinden bağımsız bir yükümlülük olduğunu da hatırlatır. Çalışan, hangi verinin neden işlendiğini ve hangi haklara sahip olduğunu anlayabilmelidir.
İlk adım: Özlük dosyasını belge türüne ayırın
Dosyayı “çalışan evrakı” diye tek klasörde izlemek, takvimi yönetmeyi zorlaştırır. Pratik bir envanterde her satırda belge türü, işleme amacı, sorumlu ekip, erişim grubu ve gözden geçirme tarihi yer alır.
- İşe giriş ve sözleşme belgeleri
- Bordro, ücret ve yan hak kayıtları
- İzin, devamsızlık ve puantaj belgeleri
- Performans, eğitim ve disiplin kayıtları
- İş sağlığı ve güvenliği veya özel nitelikli veri içeren dosyalar
- Aday verileri ve işe alınmayan başvurular
Bu ayrım, gereksiz erişimi de azaltır. Örneğin bordro ekibinin her performans notuna, yöneticinin de her sağlık belgesine erişmesi gerekmez. Yetki matrisi, saklama politikasının parçası olmalıdır.
Saklama takvimini beş sütunla kurun
Çalışan verilerinin saklama süresi için karmaşık bir araç şart değildir. Başlangıçta beş sütun yeterlidir: belge türü, amaç, hukuki veya operasyonel gerekçe, gözden geçirme tarihi ve işlem. İşlem alanı “sakla”, “erişimi daralt”, “sil”, “yok et” veya “anonimleştir” gibi net ifadeler içermelidir.
Takvimi işten ayrılış tarihinde başlatmak her belge için doğru olmayabilir. Bazı kayıtlar belirli bir işlem, başvuru veya uyuşmazlıkla ilişkilidir. Bu yüzden tetikleyici olayı ayrıca yazın. “Sözleşme sona erdi”, “başvuru kapandı” veya “itiraz süreci bitti” gibi ifadeler belirsizliği azaltır.
Politikada istisna akışı da bulunmalıdır. Devam eden dava, denetim veya açık bir çalışan talebi varsa otomatik imha durdurulur. İstisnayı kim onayladı, hangi dosyayı kapsıyor ve ne zaman tekrar gözden geçirilecek? Bunları kayda almak gerekir.
Örnek: Ayrılan çalışanın dosyası nasıl gözden geçirilir?
Bir lojistik şirketinde çalışan Deniz, 30 Eylül tarihinde ayrılmış olsun. İK ekibi tek tuşla tüm klasörü silmez. Önce dosyayı ayırır: sözleşme ve bordro kayıtları ilgili saklama gerekçesiyle incelenir; artık gerekli olmayan erişimler kapatılır; performans notları ile sağlık bilgileri için daha dar yetki uygulanır; adaylık aşamasından kalan mükerrer belgeler ayrıca değerlendirilir.
Ekip, her kayıt için bir sonraki gözden geçirme tarihini sisteme işler. Devam eden bir ücret uyuşmazlığı varsa ilgili belgeler için silme işlemi askıya alınır. Uyuşmazlık sonuçlandığında dosya tekrar takvime girer. Bu örnek, “ayrıldıysa tümünü sil” yaklaşımından daha güvenli ve denetlenebilir bir yol sunar.
İK için son kontrol listesi
- Her belge türünün sahibi ve amacı açık mı?
- Saklama başlangıcını tetikleyen olay yazılı mı?
- Özel nitelikli veriler için erişim daha dar mı?
- Silme, yok etme ve anonimleştirme kayıt altına alınıyor mu?
- Dava veya denetim istisnasını durduran bir akış var mı?
- Politika yılda en az bir kez gözden geçiriliyor mu?
Bu düzeni özlük ve çalışan yönetimi süreçleriyle birlikte yürütmek, belgeyi doğru kişiyle ve doğru süreçle eşleştirmeyi kolaylaştırır. Amaç daha fazla veri toplamak değil, gerekli veriyi doğru süre boyunca güvenle yönetmektir.
