İşten Ayrılan Çalışanın Verileri Ne Kadar Saklanır?

İş sözleşmesi sona erdiğinde çalışanın bütün verileri aynı gün silinmez; fakat tamamı da süresiz saklanamaz. Her veri kategorisi için iş, sosyal güvenlik, vergi ve iş sağlığı mevzuatındaki saklama yükümlülüğü ile olası hukuki talepler ayrı belirlenmeli; amaç sona erdiğinde veri silinmeli, yok edilmeli veya anonim hale getirilmelidir.

Neden tek bir saklama süresi yok?#

Özlük dosyasındaki sözleşme, ücret bordrosu, izin kaydı, performans notu, sağlık raporu ve e-posta aynı hukuki amaca hizmet etmez. Bazı kayıtlar kanuni yükümlülük için, bazıları zamanaşımı süresince bir hakkın korunması için, bazıları ise yalnız çalışma devam ederken operasyon amacıyla tutulur.

KVKK'nın 4. maddesi, verinin ilgili mevzuatta öngörülen veya işleme amacı için gerekli süre kadar saklanmasını zorunlu tutar. Bu nedenle şirketin “tüm personel verileri 10 yıl” biçiminde tek satırlık kuralı çoğu zaman yeterli değildir.

Hangi kayıtlar nasıl ayrılmalı?#

Özlük ve bordro kayıtları, ilgili kanuni süre ve denetim ihtiyaçlarına göre tutulabilir. İş kazası ve meslek hastalığına ilişkin sağlık kayıtlarında daha uzun özel süreler gündeme gelebilir. İşe erişim kartı, yemek tercihi, dahili telefon listesi veya güncel organizasyon şeması gibi operasyonel kayıtların amacı ise ayrılışla sona erebilir.

Eski çalışanın e-posta hesabı aktif bırakılıp gelen yazışmaların sürekli okunması yerine hesap kapatılmalı, iş sürekliliği için önceden belirlenmiş sınırlı devir mekanizması kullanılmalıdır. Uyuşmazlıkla ilgili belirli yazışmalar, bir hakkın tesisi veya korunması için erişimi kısıtlanarak saklanabilir.

Sağlık verileri için özel değerlendirme#

Sağlık verileri özel niteliklidir. Güncel KVKK 6. madde, istihdam ve iş sağlığı yükümlülükleri için zorunlu işlemeye izin verebilir; ancak ayrılıştan sonra aktif kullanım daralır. İşyeri hekimi kayıtları, insan kaynakları dosyası ve dava delili olabilecek belgeler aynı erişim grubunda tutulmamalıdır.

Silme talebi gelirse ne olur?#

Veri sorumlusu, her veri kategorisi için saklama dayanağı ve tahmini süreyi açıklamalıdır. Dayanağı sona ermiş kayıt 30 günlük başvuru sürecinde silinmeli; kanuni saklama nedeniyle tutulacak kayıt ise aktif kullanımdan çıkarılıp yetkili kişilerle sınırlandırılmalıdır. Aktarım yapılan üçüncü kişilere düzeltme veya silme işleminin bildirilmesi istenebilir.

Zamanaşımı ve hak düşürücü süreler#

İşçilik alacaklarında talebin türüne göre zamanaşımı süresi değişir; işveren saklama planını yalnız genel 10 yıllık süreye bağlamamalıdır. Vergi, sosyal güvenlik, iş sağlığı ve ticari kayıt süreleri de ayrıca incelenir. Bir dava veya resmi inceleme başlamışsa ilgili kayıt, normal imha tarihi gelmiş olsa bile hukuki saklama altına alınabilir; bu istisna kapsam ve erişim bakımından belgelenmelidir.

Uygulamalı örnek#

Bir satış yöneticisi ayrıldıktan sonra şirket, e-posta hesabını iki yıl boyunca açık tutup tüm yöneticilere erişim verir. Eski müşterilerden gelen iletiler ve çalışanın özel nitelikli bilgileri gereksiz kişilerce görülebilir. Doğru yöntem, hesabı kapatmak, otomatik yönlendirme/iletişim mesajı kullanmak ve yalnız somut uyuşmazlıkla ilgili yazışmaları dar yetkiyle ayrı arşive almaktır.

Güncel ve dikkat çekici kararlar#

Kurulun 22 Şubat 2024 tarihli, 2024/284 sayılı kararı#

Eski çalışanın silme talebi üzerine sunumlar ve sağlık verileri 30 gün içinde silinmiş; bazı e-posta içerikleri olası hukuki talepler için erişimi sınırlandırılarak saklanmıştı. Kurul, veri kategorisi bazlı ayrımı ve hakkın korunması amacını inceledi; genel zamanaşımı süresinin otomatik ve sınırsız saklama yetkisi olmadığını ortaya koydu. Somut ilke, silme talebine tek cevap yerine her veri ve amaç için ayrı saklama kararı verilmesidir. Kararın tam metni

Kurulun 20 Mayıs 2020 tarihli, 2020/404 sayılı kararı#

İşveren, çalışan verilerini yeterli aydınlatma ve uygun güvenlik düzeni olmadan işliyor; bazı veriler yurt dışındaki sistemlere aktarılıyordu. Kurul, aydınlatma ve veri güvenliği yükümlülüklerinin ihlali nedeniyle yaptırım uyguladı. Karar, çalışma ilişkisinin işverene bütün personel verileri üzerinde sınırsız yetki vermediğini ve kullanılan bulut sistemlerinin aktarım boyutuyla ayrıca değerlendirilmesi gerektiğini gösterir. Kararın tam metni

Kurulun 2 Eylül 2022 tarihli, 2022/896 sayılı kararı#

Eski işveren, çalışana ilişkin ceza yargılaması yazışmasını çalışanın kardeşine e-posta ile gönderdi. Kurul, üçüncü kişiye aktarım için hukuki sebep bulunmadığını belirleyerek yaptırım uyguladı; başvuruya cevap ve ihlal bildirimi süreçlerini de hatırlattı. Somut ilke, kayıt hukuken saklanabiliyor olsa bile aile bireyine veya başka üçüncü kişiye gönderimin ayrıca dayanak gerektirdiğidir. Kararın tam metni

Kararların soruya verdiği net cevap#

İşten ayrılış, tüm kayıtların aynı gün silinmesini gerektirmez; ancak her veri için ayrı amaç ve süre gerekir. Hukuki talep ihtimali belirli kayıtların erişimi sınırlandırılarak saklanmasını sağlayabilir, bütün e-posta kutusunun açık tutulmasını değil. Sağlık ve ceza verileri daha sıkı erişim kontrolüyle ayrılmalıdır. Bir kaydın saklanması hukuka uygun olsa bile üçüncü kişiye aktarımı otomatik olarak hukuka uygun olmaz. Şirketler silme talebine veri kategorisi, dayanak, süre ve imha yöntemi bazında cevap vermelidir.

Okuyucu için yapılacaklar listesi#

Personel verilerini kategori ve amaç bazında envanterleyin.
Her kategoriye mevzuat veya hukuki talep dayanağı bağlayın.
Ayrılış günü operasyonel erişimleri kapatın.
E-posta için sınırlı iş sürekliliği planı uygulayın.
Sağlık ve ceza verilerini ayrı, dar erişimli alanda tutun.
Süresi dolan kayıtların imhasını ve işlem kayıtlarını denetleyin.

Sık sorulan sorular#

Özlük dosyası hemen silinir mi?#

Hayır. Kanuni yükümlülük ve hukuki talepler için gerekli kayıtlar ilgili süre boyunca tutulabilir. Gereksiz operasyonel veriler ayrılmalıdır.

Eski çalışanın e-postasına yönetici erişebilir mi?#

Sınırsız ve sürekli erişim uygun değildir. İş sürekliliği ve somut hukuki talep için gerekli dar kapsam, önceden belirlenmiş politika ve yetkilendirmeyle yönetilmelidir.

Çalışan tüm verilerinin silinmesini isteyebilir mi?#

İsteyebilir; veri sorumlusu hangi veriyi sildiğini ve hangi kaydı hangi dayanakla tuttuğunu açıklamalıdır.

Dava ihtimali her şeyi saklamaya yeter mi?#

Hayır. Uyuşmazlıkla bağlantılı veri, makul süre ve sınırlı erişim gerekir. Soyut ihtimal süresiz ve toplu saklamayı haklı kılmaz.

İlgili yazılara iç bağlantı önerileri#

Son hukuki kontrol tarihi: 2 Eylül 2026

Kaynakça#

Bilgilendirme notu

Bu metin genel hukuki bilgi amacıyla hazırlanmıştır. Somut uyuşmazlığın özellikleri, süreler ve başvuru yolu ayrıca değerlendirilmelidir.