MASAK Belgeleri Kaç Yıl Saklanır? 8 Yıl Kuralı | 2026
MASAK Kayıt Saklama Yükümlülüğünün Hukuki Dayanağı
Suç gelirlerinin aklanmasının ve terörün finansmanının önlenmesine ilişkin sistem, yalnız müşterinin kimliğini tespit etmeyi veya şüpheli işlem bildiriminde bulunmayı değil, bu işlemlerin sonradan denetlenebilmesini de amaçlar. Bu nedenle 5549 sayılı Kanun’un 8. maddesi “muhafaza ve ibraz” başlığı altında bağımsız bir yükümlülük kurmuştur.
Kanun m.8’in açık hükmüne göre yükümlüler, Kanunla getirilen yükümlülüklere ve işlemlerine ilişkin her türlü ortamdaki belgeleri, defter ve kayıtları ve kimlik tespit belgelerini sekiz yıl süreyle muhafaza eder. Süre dolmadan MASAK Başkanlığı veya yetkili denetim elemanları tarafından istenmesi hâlinde kayıtların ibraz edilmesi gerekir. Kayıtların kâğıt üzerinde veya elektronik ortamda bulunması yükümlülüğün varlığını değiştirmez.
Tedbirler Yönetmeliği m.46 da aynı yükümlülüğün uygulama çerçevesini belirler. Bu nedenle kurumların yalnız ticari veya vergi mevzuatındaki saklama sürelerine bakması yeterli değildir; 5549 kapsamındaki kayıtlar için özel sekiz yıllık süre ayrıca yönetilmelidir.
Sekiz Yıllık Süre Hangi Tarihten Başlar?
En önemli nokta, sekiz yıllık sürenin tüm belgeler bakımından tek bir tarihten başlamamasıdır. 5549 m.8 üç ayrı başlangıç noktası belirler. Belgelerde düzenleme tarihi, defter ve kayıtlarda son kayıt tarihi, kimlik tespitine ilişkin belgelerde ise son işlem tarihi esas alınır.
Bu ayrım pratikte önemlidir. Bir müşteriyle sürekli iş ilişkisi uzun yıllar devam ediyorsa ilk hesap açılışında alınan kimlik belgesinin sekiz yıllık süresi yalnızca ilk alındığı tarihe göre değerlendirilemez. Kanun, kimlik tespit belgeleri bakımından son işlem tarihini esas alır. Dolayısıyla aktif müşteri dosyalarında saklama takvimi ilişki ve işlem hareketleriyle birlikte güncellenmelidir.
Defter ve kayıtlar bakımından ise son kayıt tarihi önem taşır. Aynı dosyada veya kayıt sisteminde sonradan yeni kayıt oluşturulması, ilgili kayıt bütününün saklama takvimini etkileyebilir. Kurumların otomatik silme politikaları bu farklı başlangıç tarihlerine göre yapılandırılmalıdır.
Hangi Belge ve Kayıtlar Muhafaza Edilir?
Kanun “her türlü ortamdaki” belge ve kayıtları kapsar. Bu ifade, fiziki evrakın yanında elektronik dosya, işlem kaydı, veri tabanı çıktısı, görüntü, elektronik yazışma ve mevzuat kapsamındaki diğer kayıtların da saklama rejimine girebileceğini gösterir. Ölçüt, kaydın 5549 kapsamındaki yükümlülük veya işlemle bağlantılı olmasıdır.
Kimlik tespitinde kullanılan belge örnekleri, yetki ve temsil belgeleri, gerçek faydalanıcının tespitine ilişkin kayıtlar, müşterinin beyanları, adres ve iletişim teyitleri, işlem belgeleri, uyum prosedürlerinde oluşturulan kayıtlar ve şüpheli işlem değerlendirmelerinde kullanılan belgeler bu sistemin temel unsurlarıdır. Her sektörün işlem türleri farklı olduğundan saklanacak kayıt envanteri yükümlünün faaliyet alanına göre ayrıca çıkarılmalıdır.
Örneğin banka, ödeme kuruluşu, taşınmaz ticaretiyle uğraşan işletme veya serbest meslek grubunun müşteri ve işlem belgeleri aynı değildir. Bununla birlikte muhafaza yükümlülüğünün ortak mantığı aynıdır: yetkili makam, yıllar sonra işlemin kim tarafından, kimin adına, hangi tarihte ve hangi bilgiye dayanılarak yapıldığını izleyebilmelidir.
Kimlik Tespit Belgelerinde Son İşlem Tarihi Neden Önemlidir?
5549 m.3 uyarınca yükümlüler, işlem yapılmadan önce işlem yapanlar ile nam veya hesaplarına işlem yapılanların kimliklerini tespit etmek ve gerekli diğer tedbirleri almak zorundadır. Kimlik tespitine ilişkin belgelerin saklama süresi ise m.8’de özel olarak son işlem tarihine bağlanmıştır.
Sürekli iş ilişkilerinde müşterinin kimlik, adres, temsil ve gerçek faydalanıcı bilgilerinin zaman içinde güncellenmesi gerekir. Eski ve yeni kayıtlar birlikte işlem geçmişini gösterebilir. Kurumun yalnız “en güncel belgeyi” saklayıp önceki kayıtları otomatik olarak silmesi, geçmiş işlemlerde hangi bilginin esas alındığının sonradan belirlenmesini zorlaştırabilir. Bu nedenle arşiv politikası yalnız güncel dosya mantığıyla değil, denetlenebilir işlem geçmişi mantığıyla kurulmalıdır.
Yurt dışı yerleşik veya Mavi Kartlı müşterilerde kimlik ve temsil belgelerinin niteliği farklılaşabilir. Bu konuda yurt dışından Türkiye’de banka hesabı açma ve Mavi Kartlılarda 5549 kapsamında kimlik tespiti rehberleri bağlantılı açıklamalar içerir.
Şüpheli İşlem Bildirimi ve Uyum Kayıtları Saklanır mı?
Şüpheli işlem bildirimleri ve bunların dayandığı değerlendirme kayıtları, 5549 kapsamındaki yükümlülüğün yerine getirildiğini gösteren kritik kayıtlardır. ŞİB formu, bildirim ekleri, kurum içi değerlendirme notları, uyum görevlisine yapılan dahili bildirimler ve bildirim kararına dayanak olan belgeler, erişim yetkisi sınırlandırılarak muhafaza edilmelidir.
Burada saklama yükümlülüğü ile gizlilik yükümlülüğü birlikte uygulanır. Bir kaydın sekiz yıl saklanması, onun kurum içinde sınırsız erişime açılabileceği anlamına gelmez. 5549 m.4/2 uyarınca ŞİB yapıldığının ifşa edilmesi yasaktır. Bu konu ayrıca MASAK ŞİB gizliliği yazısında ayrıntılı biçimde açıklanmıştır.
Şüpheli işlem bildiriminin süresi ve tutar sınırı bakımından ise MASAK şüpheli işlem bildirimi 10 iş günü ve tutar sınırı rehberi ayrıca incelenebilir. Böylece bildirim, gizlilik ve saklama yükümlülükleri birbirine karıştırılmadan ayrı ayrı yönetilir.
Elektronik ve Dijital Kayıtlar Nasıl Saklanmalı?
Kanundaki “her türlü ortamdaki” ifadesi nedeniyle dijital kayıtlar da muhafaza yükümlülüğünün kapsamındadır. Verinin yalnız sistemde bulunması yeterli değildir; gerektiğinde okunabilir, ilişkilendirilebilir ve yetkili makama sunulabilir olması gerekir. Dosya formatının artık açılamaması, şifrelerin kaybolması veya eski sisteme erişimin kapatılması ibraz sorununa yol açabilir.
Bu nedenle bilgi sistemlerinde saklama politikası; veri bütünlüğü, yedekleme, erişim yetkisi, değişiklik kayıtları ve arşivden geri getirme kabiliyetiyle birlikte tasarlanmalıdır. Bir yazılım veya bulut hizmeti değiştirilirken eski verinin okunabilir biçimde aktarılması önemlidir. Sadece günlük operasyon için gereken verilerin taşınıp hukuki arşivin kaybedilmesi 5549 m.8 açısından risk doğurur.
Yükümlü, dış hizmet sağlayıcı kullansa da kanuni sorumluluğu tamamen dışarıya devretmiş olmaz. Arşiv hizmeti veya bulut altyapısı sağlayıcısıyla yapılan sözleşmede veri erişimi, saklama süresi, yedekleme, hizmet sona erdiğinde veri iadesi ve güvenli silme hükümleri açıkça düzenlenmelidir.
MASAK Bilgi ve Belge İsterse Ne Yapılmalı?
5549 m.7, kamu kurum ve kuruluşları, gerçek ve tüzel kişiler ile tüzel kişiliği olmayan kuruluşların Başkanlık ve denetim elemanları tarafından istenen bilgi, belge ve kayıtları tam ve doğru şekilde vermesini; kayıtlara erişim veya okunabilirlik için gerekli bilgi ve şifreleri sağlamasını düzenler. Muhafaza edilen kayıtların gerektiğinde ibraz edilmesi bu nedenle sadece arşivleme değil, erişilebilirlik yükümlülüğüdür.
Özel kanunlarda yer alan gizlilik hükümleri, savunma hakkına ilişkin hükümler saklı kalmak üzere m.7 kapsamındaki talebe karşı genel bir kaçınma gerekçesi oluşturmaz. Kurum, talebin hangi birimden geldiğini, kapsamını ve teslim tarihini kayıt altına almalı; yanıt sürecini yetkili kişiler üzerinden yürütmelidir.
İbraz sırasında gereğinden fazla veya ilgisiz verinin paylaşılmaması da önemlidir. Talebin kapsamı doğru okunmalı, istenen kayıtlar tam ve doğru biçimde hazırlanmalı, teslim kaydı tutulmalıdır. Böylece hem 5549 yükümlülüğü yerine getirilir hem kurum içi veri yönetimi kontrol altında tutulur.
Muhafaza ve İbraz Yükümlülüğünü İhlal Etmenin Cezası
5549 sayılı Kanun m.14, m.8’deki muhafaza ve ibraz yükümlülüğünün ihlalini adli yaptırıma bağlar. Kanuna göre m.8 yükümlülüğünü ihlal eden kişi bir yıldan üç yıla kadar hapis ve beş bin güne kadar adlî para cezası ile cezalandırılır. Suç dolayısıyla tüzel kişiler hakkında bunlara özgü güvenlik tedbirlerine de hükmolunur.
Bu yaptırım, arşiv politikasının yalnız teknik veya operasyonel bir konu olmadığını gösterir. Yasal süreden önce kayıt silme, istenen kaydı ibraz edememe veya gerekli erişim bilgilerini sağlayamama ciddi sonuç doğurabilir. Kurum içi otomatik veri silme politikalarının hukuk ve uyum birimlerince kontrol edilmesi bu nedenle zorunludur.
Sekiz Yıllık Saklama İçin Uygulanabilir Kontrol Planı
İlk adım, 5549 kapsamındaki kayıtların envanterini çıkarmaktır. Her kayıt türü için hukuki dayanak, başlangıç tarihi, sorumlu birim, saklandığı sistem ve sekiz yıllık sürenin nasıl hesaplanacağı belirlenmelidir. İkinci adım, otomatik silme ve arşivleme kurallarının bu envanterle uyumlu hale getirilmesidir.
Üçüncü adım, arşive erişen personelin rol bazlı yetkilendirilmesidir. Dördüncü adım, yedekten geri yükleme ve ibraz testi yapılmasıdır. Kurumun teorik olarak arşivlediği bir kaydı gerektiğinde çıkaramaması, saklama sisteminin amacına ulaşmadığını gösterir. Beşinci adım ise periyodik iç denetimdir; saklama başlangıç tarihleri ve silme kuralları örnek dosyalar üzerinden kontrol edilmelidir.
MASAK Arşivinde Saklama Süresi Matrisi Nasıl Kurulur?
5549 sayılı Kanun m.8’in uygulanmasında en sık yapılan hata, bütün kayıtlar için tek bir “oluşturulma tarihi + 8 yıl” formülü kullanmaktır. Oysa Kanun üç farklı başlangıç noktası öngörür. Bu nedenle yükümlünün kayıt envanterinde her veri veya belge sınıfının yanında “saklama başlangıcı” alanı bulunmalıdır. Belge niteliğindeki kayıtta düzenleme tarihi, defter ve kayıtta son kayıt tarihi, kimlik tespit belgesinde ise son işlem tarihi esas alınır.
Örneğin müşterinin ilk hesap açılışında alınan kimlik belgesi ile sürekli iş ilişkisi boyunca yapılan işlem kayıtları aynı tarihte silinemez. Müşteriyle yıllar sonra yeni işlem yapılmışsa kimlik tespit belgesinin sekiz yıllık süresi son işlem tarihine göre değerlendirilir. Buna karşılık tek seferlik bir belgenin süresi kendi düzenleme tarihinden başlayabilir. Arşiv sistemi bu farkı otomatik hesaplayacak şekilde kurulursa erken silme riski önemli ölçüde azalır.
Kayıt envanterinde ayrıca kayıt sahibinin hangi birim olduğu, verinin hangi sistemde tutulduğu, yedek lokasyonu, erişim yetkisi ve ibraz halinde kim tarafından çıkarılacağı gösterilmelidir. Böylece sekiz yıl yalnız teorik bir saklama süresi olmaktan çıkar ve gerçekten uygulanabilir bir muhafaza planına dönüşür.
Sürekli İş İlişkisi Sona Erdiğinde Sekiz Yıl Nasıl Hesaplanır?
Müşteri hesabının kapatılması veya sürekli iş ilişkisinin sona ermesi, mevcut kayıtların hemen silinebileceği anlamına gelmez. Kimlik tespit belgelerinde son işlem tarihi esas olduğu için ilişki sonlandırılırken son işlemin tarihi dosyada açık biçimde belirlenmelidir. İlişki kapatıldıktan sonra yeni bir işlem yapılmıyorsa sekiz yıllık takvim bu tarihe göre yürür.
Buna karşılık müşteriyle hukuki uyuşmazlık, ceza soruşturması, idari inceleme veya başka bir kanundan kaynaklanan daha uzun saklama gereği bulunuyorsa yalnız 5549’daki sekiz yıllık sürenin dolması otomatik silme kararı için yeterli olmayabilir. Her silme kararı, uygulanabilir diğer mevzuattaki saklama yükümlülükleriyle birlikte değerlendirilmelidir.
Bu nedenle arşiv politikasında “MASAK süresi doldu” ile “artık hiçbir hukuki saklama sebebi kalmadı” aynı kavramlar olarak kullanılmamalıdır. Sekiz yıl, 5549 bakımından açık muhafaza yükümlülüğüdür; daha uzun süreyi haklı gösterecek ayrı bir hukuki sebep varsa o sebep ayrıca kayda alınmalıdır.
5549 ile KVKK Saklama İlkesi Birbiriyle Çelişir mi?
Hayır. 6698 sayılı Kişisel Verilerin Korunması Kanunu kişisel verilerin işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi ilkesini benimser. 5549 m.8 ise belirli kayıtlar için açık bir kanuni saklama yükümlülüğü getirir. Kişisel verinin sekiz yıl boyunca saklanmasının hukuki dayanağı, ilgili kaydın 5549 kapsamındaki zorunlu muhafaza yükümlülüğüne girmesi halinde kanuni yükümlülüğün yerine getirilmesidir.
Bununla birlikte 5549 kapsamına girmeyen her veriyi sırf aynı müşteri dosyasında bulunduğu için sekiz yıl saklamak doğru değildir. Kurum kayıt sınıflandırması yapmalı ve hangi verinin hangi hukuki dayanakla tutulduğunu belirlemelidir. Aynı şekilde sekiz yıllık süre dolduktan sonra daha uzun saklama yapılacaksa başka bir hukuki dayanak bulunup bulunmadığı değerlendirilmelidir.
Bu ayrım hem veri minimizasyonu hem denetlenebilirlik açısından önemlidir. Kurum “tüm verileri sekiz yıl tutuyoruz” gibi kaba bir politika yerine kayıt türüne göre hukuki dayanak ve süre göstermelidir.
Bulut Hizmeti veya Dış Arşiv Şirketi Kullanılırsa Sorumluluk Kimde?
Yükümlünün arşiv hizmetini dışarıdan alması, 5549 m.8’deki muhafaza ve ibraz yükümlülüğünü ortadan kaldırmaz. Dış hizmet sağlayıcı teknik altyapıyı işletiyor olsa da yetkili makamın talebi geldiğinde kaydın tam, doğru, okunabilir ve zamanında sunulabilmesi gerekir. Bu nedenle hizmet sözleşmesinde veri erişimi, yedekleme, bütünlük, hizmet sona erdiğinde verinin iadesi ve güvenli silme açık şekilde düzenlenmelidir.
Özellikle bulut hizmetinde verinin hangi ülkede tutulduğu ayrıca kişisel verilerin yurt dışına aktarımı kurallarını gündeme getirebilir. 5549’daki muhafaza yükümlülüğü, 6698 sayılı Kanun’un yurt dışına veri aktarımı hükümlerini kendiliğinden bertaraf etmez. Teknik arşiv kararı verilmeden önce her iki mevzuat birlikte değerlendirilmelidir.
İbraz Talebine Hazırlık Testi Nasıl Yapılır?
Arşivin gerçekten çalıştığını anlamanın en iyi yolu periyodik geri çağırma testidir. Kurum rastgele seçilen eski bir müşteri veya işlem dosyası için kimlik tespit belgesini, işlem kaydını, ilgili yazışmaları ve gerekirse uyum değerlendirmesini ne kadar sürede çıkarabildiğini test edebilir. Arşivde dosyanın bulunması ancak okunamaması veya ilişkilendirilememesi, ibraz yükümlülüğünün amacını karşılamaz.
Testte ayrıca erişim yetkileri kontrol edilmelidir. Yetkisiz personelin eski ŞİB dosyasını açabilmesi gizlilik riski yaratırken, yetkili personelin kayıtları hiç çıkaramaması ibraz riskidir. Sağlıklı sistem hem yetkisiz erişimi engeller hem de yetkili erişimi mümkün kılar.
Sekiz Yıllık Süre Dolmadan Sistem Değişirse Ne Yapılmalı?
Bankacılık, ödeme, muhasebe veya belge yönetim yazılımının değiştirilmesi, yasal süre dolmadan eski kayıtların silinmesine gerekçe olamaz. Veri taşınırken eski sistemdeki tarih, işlem ilişkisi ve belge bütünlüğü korunmalıdır. Yeni sistemde yalnız PDF görüntüsü bırakıp kaydın hangi işlemle ilişkili olduğunun kaybedilmesi denetim açısından sorun yaratabilir.
Geçiş projesinde arşivlenen veri sınıfları, tarih alanları ve erişim yöntemleri hukuk/uyum birimi tarafından doğrulanmalıdır. Eski sistem kapatılmadan önce örnek ibraz testleri yapılarak yeni sistemde kaydın bulunabildiği teyit edilmelidir. Böylece teknik dönüşüm, kanuni muhafaza yükümlülüğünü kesintiye uğratmaz.
Resmî Kaynaklar
Güncel mevzuat için 5549 sayılı Kanun, MASAK Yükümlülükler ve MASAK Yaptırımlar sayfaları esas alınmalıdır.
Sık Sorulan Sorular
1. MASAK belgeleri kaç yıl saklanır?
5549 m.8 uyarınca sekiz yıl saklanır.
2. Belgelerde sekiz yıl ne zaman başlar?
Belgelerde düzenleme tarihinden başlar.
3. Defter ve kayıtlarda süre ne zaman başlar?
Defter ve kayıtlarda son kayıt tarihinden itibaren sekiz yıl hesaplanır.
4. Kimlik belgelerinde süre ne zaman başlar?
Kimlik tespitine ilişkin belgelerde son işlem tarihi esas alınır.
5. Elektronik kayıtlar da sekiz yıl saklanır mı?
Evet. Kanun her türlü ortamdaki kayıt ve belgeleri kapsar.
6. ŞİB belgeleri herkese açık arşivde tutulabilir mi?
Hayır. Saklama yükümlülüğü gizlilik ve erişim güvenliği kurallarıyla birlikte uygulanmalıdır.
7. Eski yazılım değişirse kayıtlar silinebilir mi?
Yasal saklama süresi dolmamışsa kayıtların okunabilir ve ibraz edilebilir şekilde korunması gerekir.
8. MASAK talebinde şifre ve erişim bilgileri de verilir mi?
5549 m.7, kayıtların erişilebilir veya okunabilir hale getirilmesi için gerekli bilgi ve şifrelerin sağlanmasını kapsar.
9. Muhafaza yükümlülüğü ihlalinin yaptırımı nedir?
5549 m.14 uyarınca bir yıldan üç yıla kadar hapis ve beş bin güne kadar adli para cezası öngörülmüştür.
10. Sekiz yıl dolunca kayıt otomatik silinmeli mi?
Hayır. Başka mevzuattan doğan daha uzun saklama yükümlülüğü, devam eden uyuşmazlık veya hukuki saklama ihtiyacı bulunup bulunmadığı ayrıca kontrol edilmelidir.
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
