Kişisel Veri Saklama ve İmha Politikası: İçerik, Süreler ve Periyodik İmha

İlgili çalışma alanı: Kişisel Verilerin Korunması. Veri sorumlusu yükümlülükleri, Kurul kararları ve uyum süreçleri bu sayfada ele alınır.

Kişisel veri saklama ve imha politikası, veri sorumlusunun hangi veriyi ne kadar süre tutacağını ve süre dolduğunda veriyi hangi yöntemle, hangi aralıkla ortadan kaldıracağını gösteren belgedir. Belgenin önemi, Kanunun en soyut ilkelerinden biri olan "gerekli olan süre kadar muhafaza" ilkesini ölçülebilir bir takvime çevirmesinden gelir. Kurul uygulamasında saklama süresinin aşılması, ayrı bir kabahat olarak değil, veri güvenliği yükümlülüğünün ihlali olarak cezalandırılabilmektedir. Politika hazırlama yükümlülüğünün kimlere düştüğü ayrıca kişisel veri saklama ve imha politikası zorunlu mu sorusunda cevaplanmıştır; bu çalışma politikanın içeriğine ve uygulanmasına odaklanmaktadır.

Çalışmada önce politikanın hukuki dayanağı ve asgari içeriği, ardından saklama sürelerinin hangi ölçütlerle belirleneceği incelenecektir. Daha sonra periyodik imha ile talep üzerine imha arasındaki ayrım Kurul ve Danıştay kararları ışığında değerlendirilecek, son olarak imha yöntemi seçimi ve yaptırımlar ele alınacaktır.

Politikanın Hukuki Dayanağı ve Kapsamı

6698 sayılı Kişisel Verilerin Korunması Kanunu m. 4/2-(d), kişisel verilerin "ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme" ilkesine uygun işlenmesini zorunlu kılar. Kanun m. 7/1 ise işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde verilerin resen veya ilgili kişinin talebi üzerine silineceğini, yok edileceğini veya anonim hâle getirileceğini öngörür; m. 7/3 usul ve esasları yönetmeliğe bırakır¹. Bu yetkiye dayanılarak çıkarılan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik 28.10.2017 tarihli ve 30224 sayılı Resmî Gazete'de yayımlanmış, 01.01.2018'de yürürlüğe girmiştir².

Yönetmelik m. 5/1'e göre politika hazırlama yükümlülüğü, Kanun m. 16 uyarınca Veri Sorumluları Siciline kayıt olmakla yükümlü veri sorumlularına aittir ve politika kişisel veri işleme envanterine uygun olarak hazırlanır. Aynı maddenin ikinci fıkrası, politikanın varlığının verilerin Kanuna uygun saklandığı veya imha edildiği anlamına gelmediğini; üçüncü fıkrası ise politika yükümlülüğü bulunmayan veri sorumlularının saklama ve imha yükümlülüklerinin devam ettiğini belirtir. Veri Sorumluları Sicili Hakkında Yönetmelik m. 9/5 de aynı bağı kurar: Veri sorumluları, azami sürelerin belirlenmesi, bu sürelerin envanterle uyumu ve sürenin aşılıp aşılmadığının takibi için politika hazırlayarak uygulanmasını temin eder³. Hâl böyle olunca politika, sicile bildirilen azami saklama sürelerinin iç düzendeki karşılığıdır. Kayıt yükümlülüğünün istisnaları VERBİS kaydı kimler için zorunlu sorusunda ayrıntılıdır.

Saklamaya ilişkin bu ilke Türk hukukuna özgü değildir. Öğretide 95/46 sayılı Direktif döneminde dahi kişisel verilerin, toplandığı ve işlendiği amaçlar için gerekli olan süreyi aşacak biçimde saklanmaması ve amaca ulaşıldıktan sonra anonim hâle getirilmesi veya silinmesi gerektiği belirtilmiştir⁴. Avrupa İnsan Hakları Mahkemesi de S. ve Marper/Birleşik Krallık kararında, beraat eden kişilerin parmak izi, hücre örneği ve DNA profillerinin belirsiz süre saklanmasını Sözleşmenin 8. maddesine aykırı bulmuştur⁵. İç hukukta m. 7, ilgili kişi bakımından unutulma hakkının da dayanağı olarak okunmaktadır. Öğretide hükmün veri sorumlusunun "ileride belki lazım olur düşüncesiyle" veri depolamasını önlemeyi amaçladığı ve Kanunda unutulma hakkı ifadesi geçmese de m. 7'nin bu hakkı içerdiği kabul edilmektedir⁶. Kurulun 23.06.2020 tarihli kararında da silme, yok etme ve anonim hâle getirmenin indeksten çıkarma ile birlikte unutulma hakkını uygulamaya yönelik araçlar arasında sayıldığı aktarılmaktadır⁷.

Politikanın Asgari İçeriği

Yönetmelik m. 6/1, politikanın asgari olarak şu konuları kapsayacağını sayar: hazırlanma amacı, düzenlenen kayıt ortamları, kullanılan hukuki ve teknik terimlerin tanımları, saklamayı ve imhayı gerektiren hukuki, teknik veya diğer sebepler, güvenli saklama ile hukuka aykırı işleme ve erişimin önlenmesi için alınan teknik ve idari tedbirler, hukuka uygun imha için alınan tedbirler, süreçlerde yer alanların unvan, birim ve görev tanımları, saklama ve imha sürelerini gösteren tablo, periyodik imha süreleri ve yapılan güncellemeler⁸. Bu liste kapalı değildir; ancak sayılan unsurlardan biri eksikse politika Yönetmeliğe uygun sayılmaz.

Listenin iki unsuru uygulamada belirleyicidir. Birincisi "kayıt ortamları"dır. Yönetmelik m. 4/1-(d), kayıt ortamını otomatik veya otomatik olmayan yollarla işlenen verilerin bulunduğu "her türlü ortam" olarak tanımladığından politika; sunucuyu, bulut hizmetini, yedekleme ortamını, e-posta kutusunu, kâğıt arşivini ve kamera kayıt cihazını ayrı ayrı göstermelidir. İkincisi saklama ve imha süreleri tablosudur. Tablo, envanterdeki veri kategorileriyle eşleşmeli ve her kategori için süreyi, sürenin dayanağını ve imha yöntemini göstermelidir. Yönetmelik m. 7/4 de veri sorumlusunun uyguladığı silme, yok etme ve anonimleştirme yöntemlerini politika ve prosedürlerinde açıklamasını zorunlu tutar.

Not: Politikanın Yönetmelik m. 6'daki başlıkları taşıması yeterli değildir. Kurul incelemesinde politika, envanter, aydınlatma metni ve sicil bildirimi birlikte okunur; dördünde aynı veri kategorisi için farklı süreler yazılıysa veri sorumlusu kendi belgeleriyle çelişir.

Sektörel uygulamalar da bu yapıyı izlemektedir. Öğretide aktarıldığı üzere Türkiye Noterler Birliğinin kişisel veri politikası, toplanan verilerin kanuni süre boyunca saklanmasını ve işleme amacı sona erdiğinde silinmesini, yok edilmesini veya anonimleştirilmesini açıkça kurala bağlamıştır⁹. Kanunla kendisine saklama süresi öngörülen meslek gruplarında politika, bu sürelerin tek tek gösterildiği bir belge olarak işlev görür.

Saklama Süresinin Belirlenmesi

Saklama süresi iki kaynaktan doğar. Mevzuatta bir süre öngörülmüşse o süre uygulanır; öngörülmemişse işleme amacının gerektirdiği süre esas alınır. Veri Sorumluları Sicili Hakkında Yönetmelik m. 9/4, işleme amacı için gerekli azami sürenin belirlenmesinde sektördeki genel teamülü, ilgili kişiyle hukuki ilişkinin süresini, meşru menfaatin dürüstlük kuralına uygun olarak devam edeceği süreyi, saklamanın yaratacağı risk ve maliyeti, verinin güncel tutulmaya elverişliliğini, hukuki yükümlülük gereği saklama süresini ve veriye bağlı bir hakkın ileri sürülmesi için öngörülen zamanaşımını ölçüt olarak sayar; mevzuattaki süre ile amaç süresi farklıysa mevzuattaki azami süre, o da yoksa en uzun süre sicile bildirilir¹⁰. Öğretide aynı ölçütlerin, örneğin kamera kayıtlarında saklama süresinin belirlenmesinde de esas alınması gerektiği vurgulanmaktadır¹¹. Mevzuatın süreyi açıkça göstermediği alanlarda ise belirsizlik veri sorumlusunun aleyhine işler; öğretide, elektronik ortamda toplanan verilerin "kesinleşip kullanıma açık hale gelmesinden sonra" imha edileceğini öngören bir kanun hükmü için kesin bir saklama süresi sınırı belirtilmemesinin muğlaklık yarattığı tespit edilmiştir¹².

Mevzuat süreleri çoğu zaman birden fazla rejimden gelir. 6102 sayılı Türk Ticaret Kanunu m. 82/5, ticari defterler, envanter, finansal tablolar, ticari mektuplar ve kayıtların dayanağı belgeler için on yıllık saklama süresi öngörür; m. 82/6'ya göre süre belgenin oluştuğu takvim yılının bitişiyle başlar. 213 sayılı Vergi Usul Kanunu m. 253 ise defter ve vesikaların ilgili oldukları yılı izleyen takvim yılından başlayarak beş yıl saklanmasını emreder¹³. Kurulun 26.08.2021 tarihli ve 2021/847 sayılı kararı bu çok katmanlılığı açıkça kabul etmiştir. Bir şirketin internet sitesindeki hesabında kayıtlı eski adres bilgilerinin silinmesini isteyen ilgili kişinin şikâyetinde Kurul, aynı adres bilgisinin hem fatura hem satış sözleşmesi bakımından ayrı amaç ve hukuki sebeple işlenebileceğini ve farklı faaliyetlerde aynı veri için farklı saklama süreleri öngörülebileceğini belirtmiş; fatura belgelerinin Türk Borçlar Kanunu m. 146'daki on yıllık genel zamanaşımı nedeniyle on yıl saklanabileceğini kabul etmiştir¹⁴. Kurul aynı kararda, müşterinin bireysel hesabında güncel olmayan adresler üzerinde hiçbir işlem yapılamamasını ise "doğru ve gerektiğinde güncel olma" ilkesine aykırı bulmuştur.

Karar, politikada en sık yapılan hatayı da göstermektedir: En uzun sürenin bütün veri kategorilerine ve bütün kullanım alanlarına teşmil edilmesi. On yıl saklanabilen fatura, pazarlama veritabanında, müşteri hizmetleri ekranında ve analiz ortamında aynı süreyle tutulamaz. Kanaatimizce politika, aynı verinin her işleme faaliyeti için ayrı satır açmalı ve saklama gerekçesi yalnızca zamanaşımı olan kayıtları, erişimi sınırlı bir arşiv ortamına taşımayı öngörmelidir.

Meşru menfaate dayalı saklama ayrıca dikkat ister. Öğretide meşru menfaatin varlığı için veri sorumlusunun menfaati ile ilgili kişinin temel hak ve özgürlükleri arasında bir denge testi yapılması gerektiği vurgulanmaktadır¹⁵. Kurul, iş başvurusu reddedilen adayın verilerinin "olası başvurular" için saklanmasına ilişkin bir olayda meşru menfaatin "veri sorumlusuna sınırsız bir alan tanımadığını" belirterek bu dengenin veri sorumlusu lehine kurulamadığına karar vermiştir¹⁶.

Periyodik İmha ile Talep Üzerine İmha Ayrımı

Yönetmelik m. 4/1-(ğ), periyodik imhayı Kanundaki işleme şartlarının tamamı ortadan kalktığında politikada belirtilen ve tekrar eden aralıklarla resen yapılan silme, yok etme veya anonim hâle getirme işlemi olarak tanımlar. Politika hazırlamış veri sorumlusu, m. 11/1 uyarınca imha yükümlülüğünün doğduğu tarihi izleyen ilk periyodik imhada veriyi ortadan kaldırır; m. 11/2'ye göre periyodik imha aralığı politikada belirlenir ve "her halde altı ayı geçemez." Politika yükümlülüğü bulunmayan veri sorumlusu ise m. 11/3 uyarınca yükümlülüğün doğduğu tarihi izleyen üç ay içinde imha eder. İlgili kişinin talebi hâlinde ise m. 12/1-(a) uyarınca işleme şartlarının tamamı ortadan kalkmışsa talep en geç otuz gün içinde sonuçlandırılır; veri üçüncü kişilere aktarılmışsa m. 12/1-(b) uyarınca durum onlara bildirilir ve nezdlerinde gerekli işlemlerin yapılması temin edilir. İmha işlemlerinin tamamı m. 7/3 uyarınca kayıt altına alınır ve kayıtlar en az üç yıl saklanır¹⁷.

Periyodik imha düzeni Danıştay denetiminden geçmiştir. Yönetmeliğin bazı hükümlerinin, bu arada m. 11'in iptali istemiyle açılan davada Danıştay Onuncu Dairesi şu değerlendirmeyi yapmıştır:

"Kişisel verilerin işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi ilkesi kişisel verilerin korunmasının en önemli ilkelerinden biridir. [...] Böylelikle kişinin talebi beklenmeksizin belli periyotlarla verilerin silinmesinin sağlaması amaçlanmıştır. Buna göre, kişisel verilerin bu işlemlere tabi tutulması için ilgilinin talebinin olmadığı hallerde periyodik aralıklarla idarece resen silinmesi, yok edilmesi, anonim hale getirilmesi verilerin süresiz biçimde muhafaza edilmesi ihtimalini ortadan kaldırmaya yöneliktir."

Dava reddedilmiş, karar Danıştay İdari Dava Daireleri Kurulunca onanarak kesinleşmiştir¹⁸. Temyiz aşamasında davacı, yasal koşullar ortadan kalktığı hâlde verilerin altı ay daha veri sorumlusunun elinde kalmasının usulsüz erişim niteliğinde olduğunu ve TCK m. 138'deki suçu oluşturduğunu ileri sürmüş, bu iddia kabul görmemiştir¹⁹. Kanaatimizce sonuç isabetlidir; zira altı aylık süre bir saklama izni değil, toplu imha işleminin örgütlenmesi için tanınmış azami bir işlem süresidir ve bu süre içinde veri işlenmeye devam edilemez.

Periyodik imhanın sınırını ise Kurulun 06.07.2021 tarihli ve 2021/670 sayılı kararı çizmiştir. Olayda banka, iş başvurusu reddedilen ve verilerinin silinmesini ikinci kez isteyen adaya verilerinin "ilk periyodik imha işleminde" silineceğini bildirmiştir. Kurul, ilgili kişinin talebi karşısında politikaya dayalı resen imhanın söz konusu olamayacağını, imhanın Yönetmelik m. 12 kapsamında otuz gün içinde yapılması gerektiğini belirtmiş; işleme şartına dayanmadan işlemeye devam edilmesini m. 12/1'deki tedbirlerin alınmadığının göstergesi sayarak m. 18/1-(b) uyarınca idari para cezası vermiş ve başvurusu reddedilen diğer adayların verilerinin de imhası yönünde talimat vermiştir²⁰. Karar, periyodik imha takviminin talep üzerine imha süresini uzatmak için kullanılamayacağını gösterir.

Silme, Yok Etme ve Anonimleştirme Arasında Seçim

Yönetmelik üç yöntemi birbirinden ayırır. Silme, verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesidir (m. 8/1); yok etme, verinin hiç kimse tarafından erişilemez, geri getirilemez ve tekrar kullanılamaz hâle getirilmesidir (m. 9/1); anonim hâle getirme ise verinin başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek hâle getirilmesidir (m. 10/1). Veri sorumlusu, Kurul aksine karar almadıkça resen imhada uygun yöntemi kendisi seçer; ilgili kişinin talebinde ise yöntemi gerekçesini açıklayarak seçer (m. 7/5)²¹.

Bu seçim serbestisi tartışmalıdır. Danıştay İdari Dava Daireleri Kurulunun onama kararına yazılan karşı oyda, m. 7/5'te resen imhada hangi yöntemin hangi durumda tercih edileceğine ve bu tercihin nasıl denetleneceğine ilişkin bir düzenleme bulunmadığı, ilgili kişinin talebinde gerekçe aranırken resen imhada seçimin denetimine olanak tanınmadığı belirtilerek hükmün eksik düzenleme nedeniyle hukuka aykırı olduğu görüşü savunulmuştur²². Çoğunluk ise ayrıntının farklı kayıt sistemleri ve gelişen teknoloji karşısında Kurul kararları ve rehberlerle doldurulmasını yeterli görmüştür. Kanaatimizce iki görüş politikada uzlaştırılabilir: Veri sorumlusu, her kayıt ortamı için uygulayacağı yöntemi ve gerekçesini politikada önceden yazarsa, resen imhadaki seçim de denetlenebilir hâle gelir.

Yöntem seçimi aynı zamanda bir güvenlik kararıdır. Öğretide mutlak veri güvenliğinin ancak verilerin elde tutulmaması ve işlenmemesiyle sağlanabileceği belirtilmektedir²³. Bu tespit imhanın da bir güvenlik tedbiri olduğunu gösterir: Süresi dolmuş veri sistemde tutulmaya devam ettikçe, bir ihlalde etkilenecek kayıt sayısı da artar. Özel nitelikli veriler bakımından Kurulun aradığı yeterli önlemler arasında işlem kayıtlarının güvenli ve periyodik biçimde tutulması da yer almaktadır²⁴; imha tutanakları bu kayıtların doğal parçasıdır.

Politika ile Uygulama Arasındaki Açık ve Yaptırım

Politika ile fiilî uygulama arasındaki açık üç ayrı sorumluluk doğurur. İdari yönden, saklama süresi geçmiş verinin işlenmeye devam edilmesi Kurul uygulamasında m. 12/1 kapsamında tedbir eksikliği sayılmakta ve m. 18/1-(b) uyarınca cezalandırılmaktadır; Kurumun yeniden değerleme tablosuna göre bu bentteki aralık 2026 yılında 256.357 TL ile 17.092.242 TL arasındadır²⁵. Kamu kurum ve kuruluşlarında m. 18/4 uyarınca para cezası yerine disiplin hükümleri işler; öğretide bu tercihin caydırıcılık yönünden irdelenmesi gerektiği ileri sürülmektedir²⁶.

Cezai yönden Kanun m. 17/2, m. 7'ye aykırı olarak verileri silmeyen veya anonim hâle getirmeyenlerin TCK m. 138'e göre cezalandırılacağını öngörür; TCK m. 138/1 bu fiil için bir yıldan iki yıla kadar hapis cezası öngörmektedir. Öğretide de Kanunun saklama ve imha düzenlemelerine aykırılık hâlinde verileri yok etmeme suçunun oluşacağı belirtilmektedir²⁷. Buna karşılık diğer bir görüşe göre m. 17/2'deki suç tipi TCK m. 138'e benzese de ondan farklıdır: İlki işleme sebebinin ortadan kalkmasına rağmen verinin silinmemesiyle, ikincisi kanunların öngördüğü sürelerin sona ermesine rağmen verinin sistemde yok edilmemesiyle oluşur; verileri yok etmeme suçu özgü suç niteliğindedir ve özel kişiler de faili olabilir²⁸. Kanaatimizce bu ayrım politikanın suç bakımından da işlevini gösterir; zira politikada yazılı süre, failin "yok etmekle yükümlü" olduğu anın ispatında belirleyici delil olacaktır. Tazminat yönünden ise kamu idarelerince işlenen verinin gerekli süreden fazla muhafaza edilmesinin hizmet kusuru oluşturacağı ve idarenin sorumluluğunu doğuracağı kabul edilmektedir²⁹. Kurul imha yönünde talimat vermişse, 2021/670 sayılı kararda olduğu gibi, talimatın otuz gün içinde yerine getirilmemesi m. 18/1-(c) kapsamında ayrı bir kabahat oluşturur; öğretide de Kurulun gerek inceleme sırasında gerekse inceleme sonunda verdiği kararların yerine getirilmesinin bu kabahatle güvenceye alındığı belirtilmektedir³⁰. Bu üç sorumluluk alanı birbirinden bağımsız işler; Kurulun ceza vermemesi suç soruşturmasını veya tazminat davasını engellemez.

Uygulamada

Uygulamada politika çalışması envanterden başlar. Her işleme faaliyeti için veri kategorisi, hukuki sebep, kayıt ortamı ve saklama süresi belirlenir; süre bir kanun maddesine, bir zamanaşımı süresine veya belgelenmiş bir amaca bağlanır. Ardından periyodik imha takvimi kurulur. Altı aylık azami aralık içinde kalınarak örneğin her yılın Ocak ve Temmuz aylarında imha yapılması, bilgi işlem biriminin yedekleme ortamlarını da kapsayan bir çalışmayla uygulanır; yedekte duran veri imha edilmiş sayılmaz. Her imha bir tutanakla kayda alınır ve tutanak en az üç yıl saklanır.

İkinci aşama talep yönetimidir. İlgili kişinin silme talebi periyodik imha takvimine bırakılmaz; işleme şartları ortadan kalkmışsa otuz gün içinde imha yapılır, kalkmamışsa ret gerekçesi aynı süre içinde yazılı olarak bildirilir. Talebin şekli için şirketten kişisel verilerimin silinmesini nasıl isterim, anonimleştirmenin ölçütü için kişisel veri anonim hale getirme nedir, aday özgeçmişleri gibi sık karşılaşılan bir kategori için özgeçmiş saklama süresi sorularına bakılabilir. Kamera kayıtlarında ise öğretide, ayrı bir kanuni düzenleme bulunmadığından bir veri imha politikası oluşturulması ve kayıtların düzenli aralıklarla imha edilmesi önerilmektedir³¹. Site ve apartman yönetimlerindeki uygulama site yönetimi hangi veri güvenliği tedbirlerini almalı sorusunda ayrıca işlenmiştir.

Sonuç

Saklama ve imha politikası, Kanun m. 4/2-(d)'deki ilkenin ve m. 7'deki imha yükümlülüğünün uygulanabilir takvimidir. Politikanın değeri yazılı olmasından değil, envanterle, sicil bildirimiyle ve aydınlatma metniyle aynı süreleri taşımasından ve fiilen uygulanmasından gelir. Danıştay'ın kesinleşen kararıyla periyodik imha düzeni hukuka uygun bulunmuş, Kurul ise bu düzenin ilgili kişinin talebi karşısında otuz günlük süreyi uzatmak için kullanılamayacağını açıkça ortaya koymuştur. Resen imhada yöntem seçiminin denetlenebilirliği tartışmasının, yöntemlerin ve gerekçelerinin politikada önceden yazılmasıyla giderilmesi isabetli olacaktır. Konunun yükümlülükler bütünü içindeki yeri için KVKK'da veri sorumlusunun yükümlülükleri makalesine ve kişisel verilerin korunması rehberi metnine bakılabilir.

Kaynakça

AKTAŞ AVCİ, Pınar, "Noterlerin Kişisel Verilerin Korunması Kanunu Kapsamındaki Hukuki Sorumlulukları", Türkiye Adalet Akademisi Dergisi, Y. 16, S. 62, Nisan 2025, s. 187-218.

AŞKIN, Uğur, "Kişisel Verileri Koruma Kurulu Kararlarının Yerine Getirilmemesi Kabahati (KVKK m. 18/1-c)", Türkiye Adalet Akademisi Dergisi, Y. 14, S. 56, Ekim 2023, s. 1-20.

AYDOĞDU, Yasin, "Kamu İdaresinde Kişisel Verilerin Korunması", Selçuk Üniversitesi Hukuk Fakültesi Dergisi, C. 29, S. 1, 2021, s. 265-295.

DOĞU, Ali Haydar, "Kişisel Verilerin Korunması Kanunu Kapsamında Araç ve Güvenlik Kameralarının Değerlendirilmesi", Hacettepe Hukuk Fakültesi Dergisi, C. 16, S. 3, 2026, s. 135-175.

ERDOĞMUŞ, Talha, "Kişisel Verileri İhlal Eden İdareye Karşı İdari Para Cezası Uygulanmaması Sorunu", İstanbul Medipol Üniversitesi Hukuk Fakültesi Dergisi, C. 10, S. 1, 2023, s. 137-168.

GÜRLER, Mehmet, "Türk Ceza Kanunu'ndaki Kişisel Verilerin Korunmasına İlişkin Suçlar Bakımından Hukuka Uygunluk Sebepleri", Anadolu Üniversitesi Hukuk Fakültesi Dergisi, C. 11, S. 2, 2025, s. 979-1008.

KALE ÖZÇELİK, Fatmagül, "Covid-19 Salgını Sürecinde Üniversite Eğitiminde Kullanılan Uzaktan Eğitim Platformlarının 6698 Sayılı Kişisel Verilerin Korunması Kanunu Çerçevesinde Değerlendirilmesi", Süleyman Demirel Üniversitesi Hukuk Fakültesi Dergisi, C. 11, S. 1, 2021, s. 135-170.

KARAKAŞ, Muhammed Emin, "Dijital Geçmişin İnternet Erişiminden Kaldırılması 'Unutulma Hakkı' ve Türk Hukukunda Görünümü", Necmettin Erbakan Üniversitesi Hukuk Fakültesi Dergisi, C. 3, S. 2, 2020, s. 262-289.

KILINÇ, Doğan, "Anayasal Bir Hak Olarak Kişisel Verilerin Korunması", Ankara Üniversitesi Hukuk Fakültesi Dergisi, C. 61, S. 3, 2012, s. 1089-1169.

OLGUNSOY, Feyzan, "Kişisel Verilerin Korunması Hakkı Kapsamında İdarenin Veri Toplama Yetkisi ve Kanunilik İlkesine İlişkin Meseleler", Dokuz Eylül Üniversitesi Hukuk Fakültesi Dergisi, C. 27, S. 2, 2025, s. 1357-1407.

SAAT, Dursun, "Kişisel Verilerin Korunması Kanunu'nda Öngörülen Meşru Menfaat Kavramının Ticaret Şirketleri Bakımından Değerlendirilmesi", Anadolu Üniversitesi Hukuk Fakültesi Dergisi, C. 10, S. 2, 2024, s. 617-638.

TAÇAR, Hatice Sümeyye, "Anayasa Mahkemesi ve Yargıtay Kararlarında Unutulma Hakkı ve Basın Özgürlüğü", İstanbul Medeniyet Üniversitesi Hukuk Fakültesi Dergisi, C. 8, S. 2, 2023, s. 609-634.

TURAN BAŞARA, Gamze, "Kişisel Verilerin Korunması Kanunu'nun 6. Maddesinde Yapılan Değişiklik Bağlamında Özel Nitelikli Kişisel Verilerin İşlenmesi", Ankara Hacı Bayram Veli Üniversitesi Hukuk Fakültesi Dergisi, C. XXVIII, S. 4, 2024, s. 51-80.

YÜKSEK, Furkan Kaan, "AİHM İçtihatlarında Kişisel Verilerin Korunması", Dokuz Eylül Üniversitesi Hukuk Fakültesi Dergisi, C. 25, S. 1, 2023, s. 371-420.

YÜRÜK, Zehra, "Veri Sorumlusunun Veri Güvenliğine İlişkin İdari ve Teknik Tedbirleri Alma Yükümlülüğü", İstanbul Ticaret Üniversitesi Sosyal Bilimler Dergisi, C. 22, S. 48, 2023, s. 899-920.

6698 sayılı Kişisel Verilerin Korunması Kanunu, RG 07.04.2016/29677, m. 4/2-(d), m. 7. ↩
Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, RG 28.10.2017/30224 (değişik RG 28.04.2019/30758), m. 14. ↩
Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m. 5; Veri Sorumluları Sicili Hakkında Yönetmelik, RG 30.12.2017/30286, m. 9/5. ↩
KILINÇ, s. 1125. Yazar, Direktifteki ilkeler arasında kişisel verilerin belirli süreyle saklanmasını sayarak amaca ulaşıldıktan sonra verilerin "anonim hale getirilmeli veya silinmeli" olduğunu belirtmektedir. ↩
AİHM, S. ve Marper/Birleşik Krallık, B. No: 30562/04. Kararın aktarımı için bkz. YÜKSEK, s. 405. ↩
TAÇAR, s. 615. ↩
KARAKAŞ, s. 283. Kurul kararının metni bu çalışmada ayrıca okunmamış, yazarın aktarımı esas alınmıştır. ↩
Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m. 6/1-(a)-(h). ↩
AKTAŞ AVCİ, s. 208. Yazar, Türkiye Noterler Birliğinin belgesinde toplanan kişisel verilerin "kanuni süre boyunca saklanması, işleme amacı sona erdiğinde ise silinmesi, yok edilmesi veya anonimleştirilmesi gerektiği"nin açıkça kurala bağlandığını belirtmektedir. ↩
Veri Sorumluları Sicili Hakkında Yönetmelik m. 9/4-(a)-(f). ↩
DOĞU, s. 146. Yazar, hukuki ilişkinin devam edeceği süre, meşru menfaatin devam edeceği süre, saklamanın risk ve maliyeti ile zamanaşımı süresinin saklama süresinin belirlenmesinde dikkate alınacağını belirtmektedir. ↩
OLGUNSOY, s. 1389. Yazar bu tespiti 5429 sayılı Türkiye İstatistik Kanunu'ndaki saklama düzenlemesi bakımından yapmaktadır; AYM'nin süre ve imha usulü belirlenmeyen veri toplama yetkisine ilişkin değerlendirmesinin aktarımı için aynı eser, s. 1387. ↩
6102 sayılı Türk Ticaret Kanunu m. 82/5-6; 213 sayılı Vergi Usul Kanunu m. 253. ↩
Kişisel Verileri Koruma Kurulu, 26.08.2021, 2021/847 (Bir web sitesinden kişisel verilerin silinmesi talebinin yerine getirilmemesi hakkında karar özeti), Yargı MCP üzerinden tam metin; 6098 sayılı Türk Borçlar Kanunu m. 146. ↩
SAAT, s. 633: "Veri sorumlusunun meşru menfaati ile kişisel verisi işlenecek olan ilgili kişinin bu durumda temel hak ve özgürlüklerinin neler olduğu tespit edilmeli ve ardından bir denge testi yapılmalıdır." ↩
Kişisel Verileri Koruma Kurulu, 06.07.2021, 2021/670 (İş başvurusu olumsuz sonuçlanan ilgili kişinin verilerinin işlenmeye devam edilmesi hakkında karar özeti), Yargı MCP üzerinden tam metin. ↩
Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m. 4/1-(ğ), m. 7/3, m. 11, m. 12. ↩
Danıştay 10. Daire, 26.11.2020, E. 2017/4211, K. 2020/5468 (DijitalYargı tam metin); onama: Danıştay İdari Dava Daireleri Kurulu, 27.04.2022, E. 2021/3377, K. 2022/1649 (kesin; MEVBANK ve DijitalYargı tam metin). ↩
Danıştay İdari Dava Daireleri Kurulu, 27.04.2022, E. 2021/3377, K. 2022/1649, temyiz eden iddiaları ve onama gerekçesi. ↩
Kişisel Verileri Koruma Kurulu, 06.07.2021, 2021/670. Kararda meşru menfaatin "veri sorumlusuna sınırsız bir alan tanımadığı" da vurgulanmıştır. ↩
Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m. 7/5, m. 8/1, m. 9/1, m. 10/1-2. ↩
Danıştay İdari Dava Daireleri Kurulu, 27.04.2022, E. 2021/3377, K. 2022/1649, karşı oy. Karar m. 7/5 yönünden oyçokluğuyla, diğer hükümler yönünden oybirliğiyle verilmiştir. ↩
YÜRÜK, s. 907. Yazar, gerçek veri güvenliğinin "ancak kişisel verilerin elde tutulmaması ve işlenmemesi ile mümkün olabile[ceğini]" belirtmektedir. ↩
TURAN BAŞARA, s. 73. ↩
Kişisel Verileri Koruma Kurumu, "6698 Sayılı Kanundaki İdari Para Cezaları" tablosu, 31.12.2025 duyurusu eki, kvkk.gov.tr, e.t.: 01.11.2026; 6698 sayılı Kanun m. 18/1-(b). ↩
ERDOĞMUŞ, s. 157. ↩
6698 sayılı Kanun m. 17/2; 5237 sayılı Türk Ceza Kanunu m. 138/1. Öğretide bu yönde bkz. KALE ÖZÇELİK, s. 163. ↩
GÜRLER, s. 986 ve dn. 48. ↩
AYDOĞDU, s. 282: "Örneğin, kamu idarelerince hizmet esnasında işlenen verinin, mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süreden fazla muhafaza edilmesi hizmet kusuru oluşturur ve idarenin kusura dayanan sorumluluğu gündeme gelir." ↩
AŞKIN, s. 3; 6698 sayılı Kanun m. 15/5, m. 18/1-(c). ↩
DOĞU, s. 147, s. 170. Yazar, güvenlik ve araç kameralarının kayıtlarının ne kadar süre saklanacağını ve nasıl imha edileceğini düzenleyen özel bir mevzuat bulunmadığını, bu nedenle bir veri imha politikası oluşturularak verilerin düzenli aralıklarla imha edilmesi gerektiğini belirtmektedir. ↩

Kişisel Veri Saklama ve İmha Politikası: İçerik, Süreler ve Periyodik İmha