Kanunlara Göre Kişisel Verilerin Saklanma Süreleri

Kanunlara Göre Kişisel Verilerin Saklanma Süreleri

Veri Sorumluları tarafından işlenen kişisel veriler, sonsuz sürede veya süresiz saklanması mümkün ve gerekli değildir. İşlenme amacına uygun bir süre tutulmalı ve daha sonra imha edilmelidir. Ancak bu süreler, işletmelerin faaliyet gösterdiği sektörler ve bağlı bulundukları kanunlara göre değişiklik göstermektedir. Kanunlara göre kişisel verilerin işlenme süreleri aşağıdaki tabloda çıkarılmıştır. Bu süreler bittikten sonra, ilk periyodik imha döneminde imha edilmelidir. Yılda 2 defa periyodik imha dönemi planlanmalı ve bu bilginin kurumların Kişisel Veri Saklama ve İmha Politikası belgesinde yer verilmelidir. Diğer taraftan, ilgili kişinin kişisel verilerinin işlenmesini istememesi veya daha önce verdiği Açık Rıza Beyanını çekmesi durumunda periyodik imha dönemi beklenmeksizin imha edilmelidir.

İmhayı Gerektiren Haller

KVKK tarafından 10.03.2019 tarihinde yayımlanan Kişisel Veri Saklama ve İmha Politikası’na göre imhayı gerektiren 6 sebep belirtilmiştir.

Bu sebepler;

1. İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,
2. İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,
3. Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin açık rızasını geri alması,
4. Kanunun 11 inci maddesi gereği ilgili kişinin hakları çerçevesinde kişisel verilerinin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun Kurum tarafından kabul edilmesi,
5. Kurumun, ilgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabı yetersiz bulması veya Kanunda öngörülen süre içinde cevap vermemesi hallerinde; Kurula şikâyette bulunması ve bu talebin Kurul tarafından uygun bulunması,
6. Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması, durumlarında, Kurum tarafından ilgili kişinin talebi üzerine silinir, yok edilir ya da re’sen silinir veya anonim hale getirilir.

Kanunda yer alan kişisel verilerin işlenmesine ilişkin şartların tamamının ortadan kalkması durumunda kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hale getirilir.

Söz Konusu Kanunlar

Saklama süresi sona eren verilerin imha edilmesi veri sorumlusunun sorumluluğundadır.

Kurumda, faaliyetleri çerçevesinde işlenen kişisel veriler, ilgili mevzuatta öngörülen süre kadar muhafaza edilir. Bu kapsamda kişisel veriler;

6698 sayılı Kişisel Verilerin Korunması Kanunu,

6563 Elektronik Ticaretin Düzenlenmesi Hakkında Kanun

6102 Sayılı Türk Ticaret Kanunu,

213 Sayılı Vergi Usul Kanunu,

6502 Sayılı Tüketicinin Korunması Hakkında Kanun,

6356 Sayılı Sendikalar ve Toplu İş Sözleşmesi,

5510 Sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu,

6098 sayılı Türk Borçlar Kanunu,

4734 sayılı Kamu İhale Kanunu,

657 sayılı Devlet Memurları Kanunu,

5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu,

5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun,

5018 sayılı Kamu Mali Yönetimi Kanunu,

6331 sayılı İş Sağlığı ve Güvenliği Kanunu,

4982 Sayılı Bilgi Edinme Kanunu,

3071 sayılı Dilekçe Hakkının Kullanılmasına Dair Kanun,

4857 sayılı İş Kanunu,

2547 sayılı Yükseköğretim Kanunu,

5434 sayılı Emekli Sağlığı Kanunu,

2828 sayılı Sosyal Hizmetler Kanunu,

4721 Sayılı Medeni Kanun,

193 Sayılı Gelir Vergisi Kanunu,

5237 sayılı Türk Ceza Kanunu,

5352 sayılı Adli Sicil Kanunu,

İşyeri Bina ve Eklentilerinde Alınacak Sağlık ve Güvenlik Önlemlerine İlişkin Yönetmelik,

Arşiv Hizmetleri Hakkında Yönetmelik,

27866 Sayılı Resmi Gazetede Yayınlanan Mesafeli Sözleşmelere Dair Yönetmelik,

29417 Sayılı 15.07.2015 Tarihli Resmi Gazetede Yayınlanan Ticari İletişim ve Ticari Elektronik İletiler Hakkında yönetmelik,

30808 Sayılı ve 21.06.2018 Tarihli Resmi Gazetede yayınlan Kişisel Sağlık verileri Hakkında Yönetmelik,

29029 Sayılı ve 13.06.2014 Tarihli Resmi Gazetede Yayınlanan Satış Sonrası Hizmetler Yönetmeliği

Bu kanunlar uyarınca yürürlükte olan diğer ikincil düzenlemeler çerçevesinde öngörülen saklama süreleri kadar saklanmaktadır.

Kişisel Verilerin Saklama Sürelerinin Yer Aldığı Kanunlar

Periyodik İmha Dönemi

Saklama süresi dolan kişisel veriler, saklama süresinin bitimini takip eden ilk periyodik imha zamanında imha edilir.

Süresi sona eren ve kişisel verinin saklanmasını gerektirecek başka herhangi bir veri işleme amacı mevcut olmayan kişisel verileri, saklama sürelerinin sona ermesini takiben 180 gün (6 ay) içerisinde anonim hale getirilir.

Ancak veri sorumlusunun meşru menfaatinin olduğu durumlarda, işlenme amacının ve ilgili kanunlarda belirtilen sürelerin de sona ermesine rağmen veri sahiplerinin temel hak ve özgürlüklerine zarar vermemek kaydıyla kişisel veriler, Borçlar Kanunu’nda düzenlenen genel zamanaşımı süresinin (on yıl) sona ermesine kadar saklanabilecektir. Bahsi geçen zamanaşımı süresinin sona ermesinin ardından kişisel veriler, politika belgesinde belirlenen prosedüre göre silinecek, yok edilecek yahut anonim hale getirilecektir.