Birçok şirketin arşivinde yıllar önce ayrılmış çalışanların dosyaları, hiç işe alınmamış adayların CV'leri ve aylar öncesine ait kamera kayıtları durur. "Belki bir gün lazım olur" düşüncesiyle saklanan bu veriler, aslında her gün taşınan bir hukuki risktir. 6698 sayılı KVKK, kişisel verilerin yalnızca gerekli olduğu süre kadar tutulmasını öngörür. Çalışan verilerinin saklanması ve süresi dolduğunda imhası, bu nedenle İK'nın temel uyum başlıklarından biridir.
Öte yandan verileri gereğinden erken silmek de sorun yaratır: bir işçilik alacağı davasında ya da müfettiş denetiminde ihtiyaç duyacağınız belgeyi imha etmişseniz ispat imkânını kaybedebilirsiniz. Doğru yaklaşım, her veri kategorisi için gerekçeli bir saklama süresi belirlemek ve bu süreye sistemli biçimde uymaktır.
Bu yazıda saklama sürelerinin nasıl belirleneceğini, imha yöntemlerini ve bir saklama-imha politikasının temel yapısını anlatıyoruz.
Çalışan Verilerinin Saklanması: Hukuki Çerçeve
KVKK'nın konuya ilişkin temel hükümleri şunlardır:
- Md. 4: Kişisel veriler, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmelidir.
- Md. 7: İşlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel veriler, veri sorumlusu tarafından resen veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hale getirilir.
- Md. 12: Veri sorumlusu, verilerin güvenliğini sağlamak için gerekli teknik ve idari tedbirleri almakla yükümlüdür.
Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik ise uygulamanın ayrıntılarını düzenler. Bu yönetmeliğe göre VERBİS'e kayıt yükümlüsü olan veri sorumluları, kişisel veri saklama ve imha politikası hazırlamakla yükümlüdür.
Saklama Süresi Nasıl Belirlenir?
Saklama süresi belirlerken iki soruya cevap verirsiniz: Bir kanun bu veriyi belirli bir süre saklamamı gerektiriyor mu? Gerektirmiyorsa, veriyi işleme amacım için ne kadar süre gerçekten ihtiyacım var?
Dikkate alınacak kaynaklar
- Yasal saklama yükümlülükleri: Vergi, sosyal güvenlik ve İSG mevzuatı bazı belgelerin belirli sürelerle saklanmasını öngörür.
- Zamanaşımı süreleri: İşçilik alacakları için iş mevzuatında öngörülen zamanaşımı süreleri (örneğin kıdem ve ihbar tazminatı, yıllık izin ücreti gibi kalemler için beş yıl) ile genel zamanaşımı süreleri, ispat amacıyla saklama süresini etkiler.
- İşleme amacı: Yasal bir yükümlülük yoksa, amaç gerçekleştiğinde veri saklanmamalıdır.
Hangi belge için hangi sürenin uygulanacağını belirlerken hukuk danışmanınız ve mali müşavirinizle birlikte çalışmanız önemlidir; çünkü aynı dosyadaki farklı belgeler farklı sürelere tabi olabilir.
Örnek veri kategorileri ve yaklaşım
| Veri kategorisi | Saklama süresine yön veren unsur | Dikkat noktası |
|---|---|---|
| Özlük dosyası | Çalışma süresi ve sonrasında zamanaşımı ile yasal yükümlülükler | Ayrılıştan sonra erişimi daraltın |
| Bordro ve ücret kayıtları | Vergi ve sosyal güvenlik mevzuatındaki saklama süreleri | Mali müşavirle birlikte belirleyin |
| İSG ve sağlık kayıtları | İSG mevzuatındaki özel saklama hükümleri | Özel nitelikli veri; ayrı ve sıkı koruma |
| İşe alınmayan aday CV'leri | İşe alım amacının sona ermesi | Gelecek pozisyonlar için saklanacaksa adayı bilgilendirin |
| Kamera kayıtları | Güvenlik amacı | Kısa ve ölçülü süreler; olay varsa ayrıca muhafaza |
| Giriş-çıkış kayıtları | Çalışma süresinin ispatı | Bordro ve puantajla tutarlı süreler |
İmha Yöntemleri
Yönetmelik üç yöntem tanımlar:
- Silme: Verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi.
- Yok etme: Verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi.
- Anonim hale getirme: Verilerin başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek hale getirilmesi.
Uygulamada fiziki belgeler için kâğıt imha makineleri veya güvenli imha hizmeti; dijital veriler için güvenli silme araçları, yedeklerdeki verilerin de kapsama alınması ve İK yazılımlarında otomatik silme kuralları kullanılır. Anonimleştirme, örneğin çalışan devir hızı gibi istatistiklerin kişisel veri olmadan saklanmasını sağlar.
Periyodik İmha ve Kayıt Tutma
Yönetmelik, veri sorumlusunun saklama ve imha politikasında periyodik imha sürelerini belirlemesini ve bu sürenin altı ayı geçmemesini öngörür. İlgili kişinin silme talebinde bulunması halinde ise talep en geç otuz gün içinde sonuçlandırılmalıdır.
Ayrıca silme, yok etme ve anonimleştirme işlemlerinin tamamı kayıt altına alınmalıdır. Bu kayıtlar, imhanın usulüne uygun yapıldığını ispatlamanın tek yoludur.
Saklama ve İmha Politikası Nasıl Hazırlanır?
- Veri envanterini çıkarın: Hangi veriyi, hangi süreçte, hangi ortamda (fiziki, sunucu, bulut, e-posta) tuttuğunuzu listeleyin.
- Saklama sürelerini belirleyin: Her kategori için süreyi ve dayanağını yazın.
- Sorumluları atayın: Politikanın uygulanmasından, imha işlemlerinden ve kayıt tutmaktan sorumlu kişileri belirleyin.
- Teknik ve idari tedbirleri tanımlayın: Erişim yetkileri, şifreleme, yedekleme ve fiziki güvenlik önlemlerini yazın.
- Periyodik imha takvimini kurun: Takvime bağlı, hatırlatmalı bir süreç oluşturun.
- Politikayı duyurun ve eğitim verin: İK, bilgi işlem ve yöneticilerin politikayı bilmesini sağlayın.
- Yılda bir gözden geçirin: Yeni sistemler ve süreçler eklendikçe politikayı güncelleyin.
Çalışanların verilerinin hangi süreyle saklanacağı bilgisinin aydınlatma süreciyle uyumlu olması da önemlidir; bu konuda çalışan aydınlatma metni yazımıza göz atabilirsiniz. Yeni bir İK yazılımına geçiyorsanız otomatik saklama ve silme özelliklerini seçim kriterleri arasına almanızı öneririz; ayrıntılar için İK yazılımı seçimi yazımızı okuyabilirsiniz.
Sık Yapılan Hatalar
- Tüm verileri "süresiz" saklamak
- Yedekleri, e-posta arşivlerini ve yöneticilerin kişisel klasörlerini imha kapsamına almamak
- Aday CV'lerini e-posta kutularında yıllarca tutmak
- İmha işlemlerini kayıt altına almamak
- Fiziki belgeleri sıradan çöpe atmak
- Saklama sürelerini mali ve hukuki danışmana sormadan belirlemek
Sonuç: Ne Kadar Gerekli, O Kadar Sakla
Çalışan verilerinin saklanması ve imhası, iki yönlü bir dengedir: hem gereğinden uzun saklamamak hem de ispat ve yasal yükümlülükler için gereken veriyi korumak. Bu dengeyi kuran şey yazılı bir politika, net süreler ve kayıt altına alınan bir imha sürecidir. Bu yazı genel bilgilendirme amaçlıdır; saklama sürelerinizi belirlerken bir hukuk danışmanına başvurmanız önerilir.
İK Partner, iş hukuku ve mevzuat uyumu hizmeti kapsamında İK süreçlerinizin veri envanterini çıkarmanıza ve saklama-imha uygulamanızı yapılandırmanıza destek olur. Ücretsiz ilk görüşmeyle başlayabilirsiniz.
