Saklama ve imha politikası kimler için zorunlu?
Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'e göre VERBİS'e kayıt yükümlülüğü bulunan veri sorumluları, kişisel veri envanterine dayanarak bir saklama ve imha politikası hazırlamakla yükümlüdür. Kayıt yükümlüsü olmayan işverenler için politika zorunlu değildir; ancak verileri süresiz saklamamak ve gereksiz verileri silmek her veri sorumlusunun KVKK md. 7'den doğan yükümlülüğüdür.
Politika, veri envanteriyle ve VERBİS'te beyan edilen azami saklama süreleriyle tutarlı olmalıdır. Envanterde yer almayan bir veri kategorisi için politika da eksik kalır.
Politikada neler yer almalı?
Yönetmelik, politikanın asgari içeriğini belirler:
- Politikanın amacı ve kapsamı, verilerin saklandığı ortamlar (kâğıt, sunucu, bulut, yedek)
- Saklama ve imhaya ilişkin hukuki, teknik ve idari tedbirler
- Silme, yok etme ve anonim hale getirme yöntemleri
- Süreçte görev alan kişilerin unvanları ve sorumlulukları
- Veri kategorilerine göre saklama ve imha sürelerini gösteren tablo
- Periyodik imha süreleri ve politikanın güncellenme yöntemi
Çalışan verileri ne kadar saklanır?
Saklama süresi, verinin işlenme amacı ve ilgili mevzuattaki saklama yükümlülüklerine göre belirlenir. İK uygulamasında yaygın yaklaşım şöyledir: özlük dosyası ve iş sözleşmesine ilişkin belgeler, işçilik alacaklarında beş yıllık zamanaşımı ve genel on yıllık zamanaşımı dikkate alınarak iş ilişkisinin bitiminden itibaren genellikle on yıl saklanır. SGK mevzuatı işyeri kayıtlarının on yıl, vergi mevzuatı ise defter ve belgelerin beş yıl saklanmasını öngörür.
İşe alınmayan adayların başvuruları ise işe alım süreci tamamlandığında amaç ortadan kalktığından, makul bir süre sonra imha edilmelidir. Başvurunun ileride açılacak pozisyonlar için saklanması isteniyorsa adaydan ayrıca açık rıza alınması gerekir.
İmha ne sıklıkla yapılır?
Veri sorumlusu, saklama süresi dolan verileri politikada belirlenen ve altı ayı geçmeyen periyodik imha süreleriyle siler, yok eder veya anonim hale getirir. Yapılan her imha işlemi kayıt altına alınır ve bu kayıtlar diğer hukuki yükümlülükler saklı kalmak kaydıyla en az üç yıl saklanır.
İlgili kişi verilerinin silinmesini talep ederse ve işleme şartlarının tamamı ortadan kalkmışsa, veri sorumlusu talebi en geç otuz gün içinde sonuçlandırır. Saklama süresi dolmamış veya başka bir hukuki yükümlülük nedeniyle saklanması gereken veriler için talep gerekçesiyle reddedilebilir.
Kişisel veri saklama ve imha politikası hakkında sık sorulan sorular
Saklama ve imha politikası hazırlamak zorunlu mu?
VERBİS'e kayıt yükümlüsü olan veri sorumluları için zorunludur. Diğer işverenler de verileri gerektiğinden uzun saklamamakla yükümlüdür.
Periyodik imha kaç ayda bir yapılır?
Politikada belirlenen ve altı ayı geçmeyen aralıklarla yapılır. İmha işlemleri kayıt altına alınır ve kayıtlar en az üç yıl saklanır.
Eski çalışanın verileri ne kadar saklanabilir?
Saklama süresi işlenme amacı ve yasal yükümlülüklere göre belirlenir. Özlük belgeleri uygulamada genellikle iş ilişkisinin bitiminden itibaren on yıl saklanır.
Bu sayfa bilgilendirme amaçlıdır ve 2026 mevzuatına göre hazırlanmıştır; somut durumunuz için bir uzmana danışın. Yıllık değişen tutarların tamamı bordro parametreleri sayfasında.