Kişisel Veri Saklama ve İmha Politikası Nedir? Pratik Rehber

Kişisel veriler kurum içinde çoğu zaman birden fazla süreçte dolaşır: insan kaynakları dosyaları, müşteri kayıtları, sözleşmeler, başvuru formları, kamera kayıtları veya dijital loglar gibi. Bu nedenle sadece “veriyi topladık” demek yetmez; neden tutulduğu, ne zaman gözden geçirileceği ve artık ihtiyaç kalmadığında nasıl kaldırılacağı da net olmalıdır.

KVKK uyumunda saklama ve imha politikası tam olarak bu noktada devreye girer. Politika; veri işleme envanteri, aydınlatma metni ve rol dağılımı gibi diğer uyum dokümanlarıyla birlikte çalışır. Bu yüzden kişisel veri işleme envanteri ile ilişkisi kurulmadan veya veri sorumlusu ile veri işleyen ayrımı netleştirilmeden hazırlanan metinler uygulamada zayıf kalabilir.

Saklama ve imha politikası nedir?

Saklama ve imha politikası, kişisel verilerin yaşam döngüsünü yöneten yazılı çerçevedir. Bu çerçeve genelde verinin hangi amaçla işlendiğini, hangi hukuki veya operasyonel sebeple tutulduğunu, ne kadar süre saklanacağını, hangi birimlerin sorumlu olduğunu ve süresi dolduğunda hangi imha yönteminin kullanılacağını açıklar.

Buradaki temel amaç sadece belge üretmek değil, kurum içinde tekrar edilebilir bir uygulama standardı kurmaktır. Çünkü aynı veri farklı departmanlarda farklı alışkanlıklarla tutuluyorsa; gereğinden uzun saklama, yanlış erişim veya dağınık silme süreçleri ortaya çıkabilir.

Ne işe yarar?

İyi hazırlanmış bir politika, kurumun “hangi veriyi neden tuttuğunu” açıklamasına yardım eder ve süre dolduğunda verinin ne olacağı konusunda operasyonel yol gösterir. Bu da hem iç ekipler hem de dış denetim veya başvuru süreçleri açısından daha düzenli bir uyum zemini sağlar.

• Farklı veri kategorileri için saklama mantığını görünür hale getirir.
• Silme, yok etme veya anonim hale getirme kararlarının rastgele verilmesini önler.
• İnsan kaynakları, müşteri ilişkileri, muhasebe ve bilgi işlem ekipleri arasında ortak dil kurulmasına yardım eder.
• Veri sahibi başvuruları geldiğinde kurumun daha tutarlı hareket etmesini kolaylaştırır.

Özellikle aydınlatma metni ve açık rıza süreçleri konuşulurken, arka plandaki saklama düzeni zayıfsa uyum zinciri eksik kalabilir.

Politika içinde hangi başlıklar yer almalı?

Her kurumun belgesi aynı görünmek zorunda değildir; ancak metnin pratikte işe yaraması için bazı başlıkların açık olması beklenir. Aşağıdaki tablo, çoğu kurumun politika taslağında değerlendirdiği çekirdek alanları gösterir:

Belgenin gerçekten faydalı olması için bu başlıkların kurumun fiili süreçleriyle eşleşmesi gerekir. Örneğin veriler farklı yazılımlarda veya fiziksel arşivlerde tutuluyorsa, politika bu gerçeği yansıtmalıdır.

Saklama ve imha politikası hangi belgelerle karıştırılır?

Uygulamada bu politika çoğu zaman başka KVKK belgeleriyle karıştırılır. Oysa her belgenin işlevi farklıdır:

• Veri işleme envanteri: Hangi verinin hangi süreçte işlendiğini haritalandırır.
• Aydınlatma metni: İlgili kişiye veri işleme hakkında dışa dönük bilgi verir.
• Açık rıza metni: Gereken durumlarda rıza sürecini yönetir.
• Saklama ve imha politikası: Verinin içeride ne kadar tutulacağı ve nasıl kaldırılacağına odaklanır.

Bu nedenle tek bir metni çoğaltıp farklı başlıklarla kullanmak yerine, her dokümanın amacını ayrı tutmak daha sağlıklı olur. Örneğin açık rıza gerekliliği ile saklama süresi yönetimi aynı problem değildir.

Hazırlarken sık yapılan hatalar

En sık görülen hata, internetten bulunan hazır bir şablonu kuruma neredeyse hiç uyarlamadan kullanmaktır. Şablon metinler başlangıç noktası olabilir; ancak veri akışları, dosya türleri, ekip sorumlulukları ve saklama pratikleri kuruma göre değişir.

• Tüm veri kategorileri için aynı saklama mantığını yazmak
• Fiziksel arşiv ile dijital arşivi aynı süreçte ele alıyormuş gibi davranmak
• Silme kararının kim tarafından verileceğini belirsiz bırakmak
• Envanter, aydınlatma ve politika metinleri arasında çelişki oluşturmak
• Belgeyi güncellemeden sadece ilk versiyonla devam etmek

Bu tür eksikler, belgeyi teorik olarak var ama uygulamada işlemeyen bir metne dönüştürebilir.

Ne zaman destek alınmalı?

Eğer kurumda birden fazla veri işleme süreci varsa, farklı departmanlar aynı veriye erişiyorsa veya hangi verinin ne kadar tutulacağı konusunda iç ekipler arasında netlik yoksa profesyonel destek almak faydalı olabilir. Özellikle sağlık, insan kaynakları, müşteri ilişkileri veya yoğun dijital kayıt tutulan yapılarda süreç eşleştirmesi yapılmadan hazırlanan politikalar kısa sürede işlevsiz hale gelebilir.

AI Avukatım üzerinden uzman desteği alırken yalnızca belge metnine değil; envanter, rol dağılımı, başvuru süreçleri ve pratik uygulama akışına birlikte bakılması daha sağlıklı sonuç verir. İsterseniz kurumunuzun veri süreçlerini değerlendirip size uygun bir yol haritası oluşturabilirsiniz.

Sık sorulan sorular

Her şirketin ayrı bir politika hazırlaması gerekir mi?

Tek tip cevap vermek doğru değildir. İhtiyaç; işlenen veri türüne, saklama süreçlerine, kurumun ölçeğine ve mevcut uyum yapısına göre değişebilir. Bu nedenle değerlendirme somut veri akışı üzerinden yapılmalıdır.

Envanter olmadan politika hazırlanabilir mi?

Metin yazılabilir; ancak envanter desteği olmadan politika çoğu zaman soyut kalır. Çünkü hangi verinin nerede tutulduğu bilinmiyorsa saklama ve imha kuralları da pratikte eksik kalabilir.

Sadece şablon kullanmak yeterli mi?

Hayır. Şablonlar başlangıç için yararlı olabilir; ancak kurumun gerçek süreçlerine göre uyarlanmadıklarında çelişki, eksik sorumluluk tanımı ve yanlış saklama kurgusu yaratabilir.