İş Başvurusunda Alınan CV Ne Kadar Saklanır? KVKK Rehberi 2026

Kısa cevap: İş başvurusu CV’leri için KVKK’da herkese uygulanacak tek bir “2 yıl”, “5 yıl” veya “10 yıl” saklama süresi yoktur. 6698 sayılı Kanun m.4 uyarınca kişisel veriler ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar saklanabilir. İşe alım süreci bittiğinde işveren, her veri kategorisi için devam eden hukuki sebebi ve amacı ayrı değerlendirmelidir. Kurulun 2021/670 sayılı kararında, olumsuz sonuçlanan iş başvurusuna ait verilerin belirsiz gelecekteki başvurular için meşru menfaat gerekçesiyle tutulması sınırsız bir alan olarak kabul edilmemiş; somut olayda veri işleme şartlarının devam etmediği değerlendirilmiştir.

CV İçin Kanunda Sabit Bir Saklama Süresi Var mı?

Hayır. KVKK m.4/2-d, kişisel verilerin ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesini temel ilke olarak düzenler. Bu nedenle “bütün CV’ler beş yıl saklanır” şeklinde genel şirket politikası, somut hukuki sebep gösterilmeden kurulamaz. İşveren önce hangi veriyi neden tuttuğunu, bu amacın ne zaman sona erdiğini ve başka bir kanuni saklama yükümlülüğü bulunup bulunmadığını belirlemelidir.

Bir CV’de ad-soyad, iletişim, eğitim, iş geçmişi, yabancı dil, fotoğraf, askerlik veya sürücü belgesi bilgisi bulunabilir. Bazı adaylar sağlık, engellilik, ceza mahkûmiyeti, sendika, din veya biyometrik veri gibi özel nitelikli verileri gereksiz yere CV’ye ekleyebilir. Her veri kategorisinin saklama ihtiyacı aynı değildir. Veri minimizasyonu, daha başvurunun alındığı aşamada başlamalıdır.

Aktif İşe Alım Sürecinde CV Hangi Hukuki Sebeple İşlenir?

Aktif bir pozisyona başvuran adayın CV’si, iş sözleşmesinin kurulması için gerekli değerlendirme yapılması amacıyla KVKK m.5/2-c kapsamındaki “sözleşmenin kurulmasıyla doğrudan doğruya ilgili olma” şartına dayanabilir. Pozisyona uygunluk değerlendirmesi, mülakat planlama, adayla iletişim ve özgeçmişteki mesleki bilgilerin teyidi bu amaçla sınırlı tutulur. İşverenin ayrıca açık rıza alması her durumda gerekli değildir; m.5’te başka hukuki sebep mevcutsa açık rıza gereksiz ve yanıltıcı hâle gelebilir.

KVKK m.10 aydınlatma yükümlülüğü yine de devam eder. Adaya veri sorumlusunun kim olduğu, hangi verilerin hangi amaçla işlendiği, kimlere aktarılabileceği, toplama yöntemi/hukuki sebep ve m.11 kapsamındaki hakları açıklanmalıdır. İş ilanına başvurmuş olmak, “bütün insan kaynakları ve pazarlama işlemlerine rıza” anlamına gelmez.

İş Başvurusu Reddedilince CV Hemen Silinmeli mi?

Başvurunun reddedilmesi, işe alım amacı bakımından temel işleme faaliyetinin sona erdiğini gösterir. Ancak “aynı saniyede bütün izleri silmek gerekir” şeklinde otomatik kural da yoktur. İşveren, devam eden başka hukuki sebep bulunup bulunmadığını değerlendirebilir. Örneğin işe alım sürecine ilişkin olası ayrımcılık veya uyuşmazlık iddiasında hakkın tesisi, kullanılması veya korunması bakımından sınırlı kayıtların belirli süre korunması gerekebilir.

Bununla birlikte bu gerekçe bütün CV’nin, fotoğrafın, kişilik testlerinin ve mülakat notlarının süresiz saklanmasını meşrulaştırmaz. Korunacak veri, savunma amacına gerçekten gerekli olanla sınırlandırılmalıdır. Bir hakkın korunması için adayın adı, başvuru tarihi ve değerlendirme sonucu yeterliyse tüm CV’nin saklanmaya devam edilmesi KVKK’daki ölçülülük ve gereklilik ilkelerine aykırıdır.

Kurulun 2021/670 Kararı Ne Söylüyor?

Kurulun 06.07.2021 tarihli 2021/670 sayılı kararında, bir bankaya yapılan iş başvurusu olumsuz sonuçlandıktan sonra aday kişisel verilerinin silinmesini istedi. Banka başlangıçta ad-soyad, kimlik numarası ve değerlendirme gerekçesini gelecekteki olası başvuruları değerlendirmek amacıyla meşru menfaat kapsamında saklamak istediğini bildirdi. İlgili kişi bankayla gelecekte kariyer planı olmadığını açıkça belirterek bütün verilerin silinmesini tekrar talep etti.

Kurul, meşru menfaatin veri sorumlusuna sınırsız alan tanımadığını; menfaatin açık, belirli ve veri işlemeksizin başka yolla elde edilemez nitelikte olması gerektiğini vurguladı. Somut olayda gelecekte yapılabilecek olası başvurular için saklamanın zorunlu olmadığı, veri sorumlusunun menfaatinin ilgili kişinin temel hak ve özgürlüklerine baskın gelmediği değerlendirmesi yapıldı. Bu karar, “belki tekrar başvurur” gerekçesinin tek başına uzun süreli CV saklamayı haklılaştırmadığını gösterir.

Gelecekteki Pozisyonlar İçin Aday Havuzu Oluşturulabilir mi?

Evet, fakat ilk başvurunun amacıyla otomatik olarak aynı kabul edilmemelidir. Aday belirli bir pozisyona başvurmuşsa, başvurunun başka ve gelecekteki bütün pozisyonlar için yıllarca saklanması yeni bir amaç oluşturabilir. İşveren aday havuzu kuracaksa bu amacı aydınlatma metninde açıkça belirtmeli, kullanılacak hukuki sebebi belirlemeli ve saklama süresini gerekçelendirmelidir.

Aday havuzu için açık rıza tercih ediliyorsa rıza özgür olmalıdır. “Bu pozisyona başvurmak için tüm grup şirketlerinin beş yıl boyunca CV’mi kullanmasına izin veriyorum” şeklindeki zorunlu kutu, özgür irade tartışması yaratır. Aday ana başvurusunu rıza vermeden yapabilmeli; gelecekteki fırsatlar için ayrı ve isteğe bağlı seçim sunulmalıdır. Rıza geri alındığında ileriye dönük rızaya dayalı işleme durdurulmalıdır.

CV’de Özel Nitelikli Kişisel Veri Varsa

Sağlık, engellilik, ceza mahkûmiyeti ve güvenlik tedbiri, biyometrik veya diğer özel nitelikli kişisel veriler için KVKK m.6’daki özel şartlar uygulanır. İşverenin pozisyonla ilgisiz sağlık raporu, ayrıntılı hastalık bilgisi, adli sicil veya biyometrik veriyi başvuru aşamasında toplaması ölçülülük sorununa yol açabilir. “Aday kendisi CV’ye yazmış” olması veri sorumlusunun sınırsız saklama hakkı oluşturmaz.

İşe kabul aşamasında kanunun veya işin niteliğinin gerektirdiği sağlık/adli kayıt süreçleri varsa bunlar CV havuzundan ayrı yönetilmelidir. Erişim yetkisi daraltılmalı, güvenlik tedbirleri artırılmalı ve saklama süreleri özel nitelikli veri bakımından ayrıca belirlenmelidir.

Referans Kontrolü ve Mülakat Notları Ne Kadar Saklanır?

Referans bilgisi de kişisel veridir. Adayın referans verdiği kişinin telefon ve e-posta bilgisinin hangi amaçla kullanılacağı, referans görüşmesinin kapsamı ve kaydı ölçülü olmalıdır. Referans kişisine de gerektiğinde aydınlatma yapılması gerekir. Adayın eski işyerine başvurudan bağımsız biçimde geniş kapsamlı bilgi sorulması hem aday hem referans kişi açısından veri koruma riski yaratır.

Mülakat notları, puanlama ve değerlendirme gerekçeleri de kişisel veridir. “Uygun değil”, “iletişimi zayıf”, “maaş beklentisi yüksek” gibi kayıtların doğruluğu ve gerekli olduğu süre kontrol edilmelidir. Ayrımcı, aşağılayıcı veya pozisyonla ilgisiz notlar tutulmamalıdır. Otomatik karar sistemleri veya yapay zekâ ile puanlama kullanılıyorsa şeffaflık, veri kaynağı ve ayrımcılık riski ayrıca değerlendirilmelidir.

CV Grup Şirketleri Arasında Paylaşılabilir mi?

Kurul, aynı şirketler topluluğu içindeki ayrı tüzel kişilerin veri aktarımını üçüncü kişiye aktarım olarak değerlendirir. Bir şirketin topladığı CV’yi “biz aynı grubuz” gerekçesiyle diğer şirketlerin tamamına serbestçe açması doğru değildir. KVKK m.8 kapsamındaki aktarım şartı ayrıca sağlanmalıdır. Adayın hangi şirketlere ve hangi amaçla aktarım yapılacağını bilmesi gerekir.

Ortak insan kaynakları platformu kullanılıyorsa veri sorumlusu/veri işleyen rolleri, erişim yetkileri ve aktarım zinciri sözleşmelerle netleştirilmelidir. İşveren A şirketine başvuran adayın notlarının B şirketine görünmesi, başvurunun amacı ve hukuki sebebiyle açıklanamıyorsa ihlal riski doğar.

Yurt Dışındaki İşe Alım Sistemi Kullanılıyorsa

CV bulut tabanlı yabancı bir insan kaynakları yazılımında tutuluyorsa yurt dışına veri aktarımı kuralları da gündeme gelir. 2024 sonrasında KVKK m.9’da değişen yurt dışı aktarım mekanizmaları çerçevesinde yeterlilik kararı, uygun güvenceler veya arızi hâller incelenmelidir. Eski “her durumda açık rıza alalım” yaklaşımı güncel m.9 sisteminin yerine geçmez.

Hizmet sağlayıcının sunucusunun yeri, alt işleyenler, standart sözleşme kullanılıp kullanılmadığı ve yurt dışı aktarım kayıtları belirlenmelidir. Adayın CV’sinin hangi ülkeye gittiğini veri sorumlusunun kendisinin bilmemesi veri yönetişimi bakımından ciddi eksikliktir.

Aday CV’sinin Silinmesini İsterse Ne Olur?

KVKK m.11 ve 13 uyarınca aday veri sorumlusuna başvurarak verilerinin silinmesini veya yok edilmesini talep edebilir. İşleme şartlarının tamamı ortadan kalkmışsa veri sorumlusu talebi karşılar. Başvuru en kısa sürede ve en geç otuz gün içinde sonuçlandırılır. Veriler üçüncü kişilere aktarılmışsa ve işleme şartları bitmişse, gerekli imha işlemlerinin üçüncü kişiler nezdinde de yapılması sağlanır.

İşleme şartlarının tamamı ortadan kalkmamışsa veri sorumlusu silme talebini somut hukuki gerekçeyi açıklayarak reddeder. Örneğin devam eden dava veya kanuni saklama yükümlülüğü varsa belirli verilerin tutulması gerekebilir. Ancak ret cevabında “şirket politikamız gereği saklıyoruz” demek yeterli değildir; somut hukuki sebep, veri kategorisi ve süre açıklanmalıdır.

Periyodik İmha Süresi Ne Demektir?

Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, saklama ve imha politikası hazırlamakla yükümlü veri sorumlularının periyodik imha aralığını en fazla altı ay olarak belirlemesini öngörür. Bu “CV’ler altı ay saklanır” anlamına gelmez. Altı ay, silme yükümlülüğü doğduktan sonra politikanın periyodik imha takviminin azami aralığıdır.

Politika hazırlama yükümlülüğü olmayan veri sorumlularında da işleme şartları sona erdiğinde Yönetmelikteki sürelere uygun imha gerekir. Adayın talebi üzerine silme ise Yönetmeliğin ilgili kişi talebine ilişkin hükümleri kapsamında ayrıca ele alınır. Bu nedenle saklama süresi ile imha operasyonunun takvimi birbirine karıştırılmamalıdır.

İşveren CV Saklama Politikasını Nasıl Kurmalıdır?

Politika “CV: 5 yıl” şeklindeki tek satırdan ibaret olmamalıdır. Veri kategorisi, amaç, hukuki sebep, başlangıç olayı ve silme olayı ayrı sütunlarda gösterilmelidir. Örneğin aktif başvuru CV’si “işe alım süreci tamamlanıncaya kadar”; aday havuzu verisi “belirli ve gerekçeli süre”; uyuşmazlık savunma kaydı “ilgili zamanaşımı/hak süresiyle bağlantılı ölçülü veri seti” olarak ayrılabilir.

İşveren sektörel mevzuat nedeniyle belirli kayıtları tutmak zorundaysa kanun maddesi politikaya yazılmalıdır. Süre bittiğinde sistem otomatik uyarı vermeli, insan kaynakları ve hukuk birimi birlikte periyodik inceleme yapmalıdır. Eski e-posta kutuları, excel listeleri, yedek klasörler ve dış işe alım ajansları unutulmamalıdır.

CV’de Gereksiz Veri Toplanmasını Nasıl Önlersiniz?

İş ilanı formu pozisyon için gerçekten gerekli alanlarla sınırlandırılmalıdır. Medeni hâl, çocuk sayısı, dini inanç, siyasi görüş, ayrıntılı sağlık bilgisi veya aile bireylerinin kimlik bilgileri işin niteliği gerektirmiyorsa sorulmamalıdır. Gereksiz veri hiç toplanmazsa saklama ve güvenlik riski de azalır.

Fotoğrafın zorunlu olup olmadığı da pozisyon bazında değerlendirilmelidir. Kör işe alım veya isim/fotoğraf gizleme yöntemleri ayrımcılık riskini azaltabilir. Özgeçmiş şablonu adaydan yalnız mesleki yeterliliği değerlendirecek bilgileri istemelidir.

Aday KVKK Kapsamında Hangi Hakları Kullanabilir?

Aday, kişisel verisinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, yurt içinde/yurt dışında aktarılan üçüncü kişileri bilme, eksik/yanlış verinin düzeltilmesini isteme, şartları varsa silme/yok etme ve münhasıran otomatik sistemlerle analiz sonucu aleyhine çıkan sonuca itiraz etme haklarını kullanabilir.

Başvurunun hangi şirket veri sorumlusuna yöneltileceği önemlidir. İş ilanı insan kaynakları platformunda yayımlandığında işveren ile platformun veri sorumlusu/veri işleyen rolleri somut hizmet ilişkisine göre belirlenir ve aydınlatma metninde açıkça gösterilir. Başvuru formu ve aydınlatma metni veri sorumlusunu açık göstermelidir.

İşveren İçin Kontrol Listesi

• Her CV için işleme amacını ve hukuki sebebi belirleyin.
• Aktif başvuru ile gelecekteki aday havuzunu ayırın.
• Aday havuzu için süreyi gerekçeli ve belirli tutun.
• Özel nitelikli verileri gereksiz toplamayın.
• Mülakat ve referans notlarını pozisyonla sınırlayın.
• Grup şirketlerine aktarımı KVKK m.8 kapsamında değerlendirin.
• Yurt dışı İK sistemi varsa m.9 aktarım mekanizmasını kurun.
• Silme talebine en geç otuz gün içinde yanıt verin.
• Periyodik imha takvimini saklama süresiyle karıştırmayın.
• Yedekler, eski e-postalar ve ajans kopyalarını imha planına dahil edin.

Türkiye Geneli ve Mersin Uygulaması

KVKK yükümlülükleri işverenin bulunduğu şehirden bağımsız olarak Türkiye genelinde uygulanır. Mersin’deki bir işveren İstanbul’daki adayı çevrim içi mülakata alıyor veya yurt dışındaki İK sistemi kullanıyorsa aynı veri işleme, aktarım ve saklama kuralları gündeme gelir. Adayın ikametgâhı saklama süresini otomatik değiştirmez.

Bakırcı & Keskin Hukuk Bürosu’nun tek fiziksel ofisi Mersin’dedir. İşverenlerin KVKK, çalışan adayı, insan kaynakları süreçleri ve veri saklama-imha politikalarına ilişkin hukuki çalışmalar Türkiye genelinde Mersin’den koordine edilir. Şirketin kendi risk profiline uygun süre matrisi hazırlanmalıdır.

Sık Sorulan Sorular

CV kaç yıl saklanabilir?

KVKK’da bütün işverenler için tek sabit yıl yoktur. İlgili mevzuat veya işleme amacı için gerekli olan süre kadar saklanabilir.

Reddedilen adayın CV’si süresiz tutulabilir mi?

Hayır. Kurulun 2021/670 kararı, belirsiz gelecekteki başvurular için meşru menfaat gerekçesinin sınırsız olmadığını açıkça gösterir.

Aday havuzuna almak için rıza gerekir mi?

Somut işleme şartı belirlenmelidir. Açık rıza kullanılıyorsa ayrı, özgür ve bilgilendirilmiş olmalı; ana başvurunun zorunlu şartı yapılmamalıdır.

CV’deki fotoğraf saklanabilir mi?

Pozisyon için gerekliliği ve işleme amacı değerlendirilmelidir. Gereksiz fotoğraf toplamak ölçülülük sorununa yol açabilir.

Eski işverene referans sorulabilir mi?

Referans kontrolü amaçla sınırlı, şeffaf ve hukuki sebebe dayalı yürütülmelidir; başvuruyla ilgisiz veri toplanmamalıdır.

CV grup şirketleriyle paylaşılabilir mi?

Ayrı tüzel kişilere aktarım KVKK m.8 kapsamında değerlendirilir. “Aynı grup” olmak aktarımı otomatik serbest hâle getirmez.

Aday CV’sini sildirmek isterse ne olur?

İşleme şartlarının tamamı ortadan kalkmışsa silme/yok etme yapılır; talep en geç otuz gün içinde cevaplanır.

Periyodik imha altı ay demek CV altı ay saklanır demek mi?

Hayır. Altı ay, politika hazırlamakla yükümlü veri sorumlusunun periyodik imha aralığının üst sınırıdır; saklama amacının süresi ayrı belirlenir.

CV yurt dışındaki bulutta tutulabilir mi?

Yurt dışına aktarım varsa KVKK m.9’daki güncel aktarım şartları ve uygun güvenceler yerine getirilmelidir.

Mülakat notları da kişisel veri midir?

Evet. Aday hakkında kimliği belirlenebilir değerlendirme ve puanlar kişisel veri niteliği taşır ve KVKK’ya uygun işlenmelidir.

Resmî Kaynaklar ve İlgili Rehberler

• KVKK Kurulu 2021/670 sayılı karar özeti
• İş başvurusu verilerinin hukuka aykırı paylaşılması
• 6698 sayılı Kişisel Verilerin Korunması Kanunu
• Kişisel veri ihlali bildirim süresi

CV Saklama Süresi Matrisi Nasıl Belgelenir?

İşveren, aday verilerini tek bir “CV dosyası” olarak değil veri kategorileri ve amaçlar üzerinden sınıflandırmalıdır. Aktif başvuru dosyası, gelecekteki aday havuzu, mülakat değerlendirme notu, referans kaydı ve olası uyuşmazlık için korunacak sınırlı savunma verisi aynı saklama süresine tabi tutulmamalıdır. Her satırda işleme amacı, hukuki sebep, başlangıç tarihi, silme olayı ve sorumlu birim gösterilmelidir.

İşe alım sistemi otomatik silme özelliğine sahipse süre dolduğunda yalnız ana CV’nin değil ek belgelerin, e-posta eklerinin ve işe alım ajansındaki kopyaların da silme sürecine dahil edilmesi gerekir. Yedeklerdeki veriler bakımından erişim ve sonraki imha prosedürü ayrıca tanımlanmalıdır.

Denetimde Sorulacak Beş Soru

• Bu aday verisi hangi açık amaçla tutuluyor?
• Amaç bugün hâlâ devam ediyor mu?
• Daha az veriyle aynı amaç sağlanabilir mi?
• Veriye kimlerin erişimi var?
• Süre dolunca hangi sistem ve kopyalarda imha yapılacak?

İlgili Hukuki Rehberler

• İşten ayrılan çalışanın e-posta hesabı ve KVKK
• Aydınlatma metni ile açık rıza ayrımı
• Kişisel veri ihlali bildirim süresi