İşe Alınmayan Adayın CV’si Ne Kadar Süre Saklanabilir? KVKK m.4 ve m.7 (2026)

İşe alınmayan adayın CV’si için KVKK’da sabit bir saklama süresi var mı?

Hayır. 6698 sayılı Kişisel Verilerin Korunması Kanununda işe alınmayan adayın özgeçmişinin altı ay, bir yıl, iki yıl veya başka sabit bir süre boyunca saklanacağına ilişkin genel bir hüküm yoktur. KVKK m.4/2-d doğrudan ilkeyi belirler: kişisel veriler ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilir.

Bu nedenle bir insan kaynakları departmanının “bütün CV’leri süresiz saklıyoruz” politikası hukuka uygun değildir. Aynı şekilde kanunda bulunmayan bir “CV en fazla bir yıl saklanır” kuralı da uydurulamaz. Her işveren kendi veri işleme amacını, hukuki sebebini, olası hukuki uyuşmazlık sürelerini ve gelecekteki aday değerlendirme amacını belirleyerek gerekçeli saklama süresi oluşturmalıdır.

İşleme amacı tamamen sona erdiğinde KVKK m.7 devreye girer. Kanun ve ilgili mevzuattaki işleme şartlarının tamamı ortadan kalkmışsa kişisel veriler veri sorumlusu tarafından resen veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hâle getirilir.

Bir CV hangi kişisel verileri içerir?

Özgeçmişte ad-soyad, telefon, e-posta, adres, eğitim, iş tecrübesi, yabancı dil, sertifika, referans, fotoğraf, askerlik durumu ve benzeri kişisel veriler bulunabilir. Aday bazen özgeçmişine medeni durum, doğum tarihi, çocuk bilgisi veya gereksiz başka ayrıntılar da ekleyebilir.

CV’ye sağlık bilgisi, engellilik durumu, sendika üyeliği, ceza mahkûmiyeti, biyometrik veri veya diğer özel nitelikli kişisel veriler eklenmişse KVKK m.6’daki daha sıkı işleme şartları ayrıca uygulanır. İşverenin “aday kendisi gönderdi” demesi özel nitelikli veriyi sınırsız işleme yetkisi yaratmaz.

İşe alım bakımından gerekli olmayan bilgilerin toplanmaması KVKK m.4’teki veri minimizasyonunun sonucudur. İşveren başvuru formunu tasarlarken pozisyonla ilgisiz verileri istememelidir.

İşe alım amacı ne zaman sona erer?

Belirli bir pozisyon için yapılan işe alım süreci sonuçlandığında ve adayın o ilan bakımından değerlendirilmesine ihtiyaç kalmadığında ilk veri işleme amacı sona erer. İşveren, adayın başvuru evrakını yalnız “belki bir gün lazım olur” düşüncesiyle belirsiz süre tutamaz.

Bununla birlikte işe alınmayan adayla ilgili olası bir ayrımcılık, işe alım sürecinin hukuka uygunluğu veya başka hukuki uyuşmazlık riski için belirli kayıtların savunma hakkı amacıyla sınırlı süre tutulması KVKK m.5/2-e kapsamındaki bir hakkın tesisi, kullanılması veya korunması şartına dayanabilir. Bu durumda işveren bütün özgeçmiş arşivini değil, uyuşmazlık bakımından gerekli veriyi ve gerekli süreyi belirlemelidir.

Başvuru süreci sona erdikten sonra CV’nin gelecekteki açık pozisyonlarda değerlendirilmesi yeni ve ayrı bir amaçtır. Bu amaç adayın bilgisi dışında varsayılamaz; aydınlatmada açıkça belirtilmeli ve uygun hukuki sebebe dayanmalıdır.

CV aday havuzunda saklanabilir mi?

Evet, ancak koşulsuz ve süresiz olarak değil. Şirket aday havuzu oluşturuyorsa adayın CV’sinin gelecekteki uygun pozisyonlar için saklanacağını açık biçimde bildirmeli, hukuki sebebi belirlemeli, saklama süresini sınırlandırmalı ve sürenin sonunda veriyi yeniden değerlendirmelidir.

Aday yalnız belirli bir ilana başvurduysa, CV’nin otomatik olarak şirketin bütün gelecek işe alımlarında yıllarca kullanılacağı varsayılmamalıdır. İşveren aydınlatma metninde başvurunun hangi amaçlarla işlendiğini ve ne kadar süre saklanacağını veya sürenin hangi objektif kritere göre belirlendiğini açıklamalıdır.

Aday havuzunun güncelliği de önemlidir. Beş yıl önce alınmış CV’deki telefon, adres, eğitim ve iş tecrübesi artık yanlış olabilir. KVKK m.4/2-b verilerin doğru ve gerektiğinde güncel tutulmasını gerektirir. Güncel olmayan CV arşivinin işe alım kalitesi de düşüktür.

Aday havuzunda saklamak için açık rıza gerekir mi?

Her veri işleme faaliyeti mutlaka açık rızaya dayanmaz. KVKK m.5/2’deki başka bir hukuki sebep mevcutsa açık rıza aranmaz. Belirli pozisyon için başvurunun değerlendirilmesi iş sözleşmesinin kurulmasıyla doğrudan ilgili olduğundan m.5/2-c kapsamında değerlendirilebilir.

İşe alım süreci sona erdikten sonra CV’nin gelecekteki farklı pozisyonlarda değerlendirilmesi için aynı hukuki sebebin otomatik devam edip etmediği ayrıca incelenir. İşveren adayın temel haklarına zarar vermemek kaydıyla meşru menfaat değerlendirmesi yapabilir veya uygun durumda açık rıza alabilir. Hangi sebep kullanılırsa kullanılsın m.4 ilkeleri uygulanır.

Açık rıza alınacaksa belirli konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle verilmiş olmalıdır. “Tüm kişisel verilerimin süresiz işlenmesini kabul ediyorum” şeklindeki genel metin geçerli sınırsız saklama yetkisi değildir.

CV’de özel nitelikli kişisel veri varsa ne yapılmalıdır?

KVKK m.6 ceza mahkûmiyeti, sağlık, engellilik, sendika üyeliği, siyasi düşünce, din, biyometrik ve benzeri veriler için özel rejim getirir. Adayın özgeçmişinde böyle bir veri bulunması, işverenin o veriyi işe alım için gerçekten işleyip işlememesi gerektiği sorusunu doğurur.

Pozisyon bakımından gerek yoksa özel nitelikli veri ayrıştırılmalı ve işlenmemelidir. Örneğin adayın CV’ye kendi isteğiyle sağlık bilgisi yazması, işverenin bu bilgiyi işe alımla ilgisiz biçimde yıllarca saklamasına yetki vermez.

İş için kanuni zorunluluk bulunan sağlık, adli sicil veya başka özel veri kontrolü varsa yalnız gerekli kapsamda ve KVKK m.6’daki hukuki şartla işlem yapılır. Sitedeki işe girişte adli sicil kaydı rehberi ceza mahkûmiyeti verisini ayrı olarak açıklar.

CV ne zaman silinmeli veya yok edilmelidir?

İşleme amacı ve hukuki sebeplerin tamamı ortadan kalktığında KVKK m.7 gereğince veri silinmeli, yok edilmeli veya anonim hâle getirilmelidir. Adayın başvurusu reddedilmiş, gelecekte değerlendirme amacı bulunmuyor ve hukuki savunma için saklamayı gerektiren süre sona ermişse CV’nin aktif insan kaynakları sisteminde tutulması için sebep kalmaz.

Silme yalnız ekrandan dosyanın adını kaldırmak değildir. Kişisel verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca silme, ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirmeyi; yok etme verinin hiç kimse tarafından erişilemez, geri getirilemez ve tekrar kullanılamaz biçimde ortadan kaldırılmasını ifade eder.

Yedek sistemlerdeki kayıtlar için teknik imha takvimi oluşturulmalı; ana sistemden silinen CV’nin sonsuza kadar yedeklerde erişilebilir kalması önlenmelidir.

İşveren CV saklama süresini nasıl belirlemelidir?

Veri sorumlusu önce işleme amacını yazılı hâle getirir. Belirli ilan değerlendirmesi, gelecekteki pozisyon havuzu, hukuki savunma veya yasal yükümlülük gibi her amaç için gerekli süre ayrı belirlenir. Süre, şirketin keyfî tercihine değil objektif gerekliliğe dayanmalıdır.

VERBİS kayıt yükümlülüğü bulunan veri sorumluları, kişisel veri işleme envanterinde veri kategorilerini, işleme amaçlarını, hukuki sebepleri, alıcı gruplarını ve azami muhafaza sürelerini belirler. VERBİS yükümlülüğü bulunmayan işverenler de KVKK m.4 ve m.7’ye uymak zorundadır.

Saklama süresi sona erdiğinde periyodik imha süreci işletilmelidir. Süre dolduğunda “bir daha bakarız” diyerek otomatik uzatma yapılmamalıdır; yeni ve geçerli bir işleme sebebi varsa açıkça belgelenmelidir.

Adayın CV’si başka şirketle paylaşılabilir mi?

CV’nin şirket grubundaki başka bir tüzel kişiye, işe alım danışmanına veya üçüncü taraf hizmet sağlayıcısına aktarılması KVKK m.8 anlamında veri aktarımıdır. Adayın yalnız A Ltd. Şti.’ye gönderdiği başvuru, B Ltd. Şti.’nin serbestçe kullanabileceği veri hâline gelmez.

Aktarım amacı, hukuki sebep ve alıcı grubu aydınlatma metninde gösterilmelidir. Grup şirketlerinin ortak markası olması tüzel kişileri tek veri sorumlusu hâline getirmez. Hangi şirketin hangi amaçla veri işlediği belirlenmelidir.

Yurt dışındaki işe alım yazılımı veya grup şirketine veri aktarımı varsa KVKK m.9’daki yurt dışına aktarım rejimi ayrıca uygulanır. Bulut yazılımının sunucusunun yurt dışında olması dahi aktarım değerlendirmesi gerektirebilir.

İşe alınmayan aday CV’sinin silinmesini isteyebilir mi?

Evet. Aday KVKK m.11’deki haklarını m.13 başvurusu ile veri sorumlusuna yöneltebilir. CV’sinin işlenip işlenmediğini öğrenebilir; işleme amacı ve alıcılarını sorabilir; şartları oluşmuşsa düzeltilmesini, silinmesini veya yok edilmesini talep edebilir.

İşveren başvuruyu en kısa sürede ve en geç 30 gün içinde sonuçlandırmalıdır. Talebi reddediyorsa saklamaya devam etmesini sağlayan hukuki sebebi açıklamalıdır. “Şirket politikamız böyle” tek başına kanuni sebep değildir.

Cevap yetersizse, başvuru reddedilirse veya süresinde cevap verilmezse KVKK m.14’teki süreler içinde Kişisel Verileri Koruma Kuruluna şikâyet yapılabilir. Zarar doğmuşsa tazminat talebi genel hükümlere göre ayrıca mümkündür.

İşveren olası işe alım davası için CV’yi saklayabilir mi?

KVKK m.5/2-e, bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması hâlinde açık rıza aramaz. İşveren somut bir hukuki uyuşmazlık riskine karşı aday başvuru kayıtlarını, işe alım kriterlerini ve karar sürecini savunma hakkı için gerekli süre saklayabilir.

Ancak bu hukuki sebep “her CV’yi sonsuza kadar saklarız” şeklinde yorumlanamaz. Hangi hak veya dava riski için hangi verinin ne kadar süre gerekli olduğu belirlenmelidir. İşe alım kararını savunmak için gereken temel kayıt ile adayın eklediği ilgisiz özel bilgi aynı kapsamda tutulmamalıdır.

Uyuşmazlık süresi sona erince bu hukuki sebep de ortadan kalkar; başka işleme sebebi yoksa veriler imha edilir.

Türkiye geneli ve Mersin uygulaması

6698 sayılı KVKK Türkiye genelinde uygulanır. Mersin’deki işverenin e-posta ile aldığı CV ile İstanbul’daki şirketin kariyer portalından topladığı CV aynı saklama ilkelerine tabidir. Kullanılan yazılım veya başvuru kanalı temel hukuki kuralı değiştirmez.

Bakırcı & Keskin Hukuk Bürosu bakımından aday verisi dosyasında dört unsur incelenir: CV hangi ilan için alındı, aday havuzu amacı açıklandı mı, saklamanın hukuki sebebi ne ve belirlenen sürenin sonunda imha mekanizması var mı? Bu dört unsur yoksa süresiz CV arşivi KVKK m.4 ve m.7 bakımından sorunludur.

Resmî kaynak olarak Kişisel Verileri Koruma Kurumu açıklamaları ve 6698 sayılı Kanunun güncel metni esas alınmalıdır.

İşe alınmayan aday CV’leri için saklama envanteri nasıl kurulmalıdır?

KVKK m.4 gereği özgeçmiş ve başvuru belgeleri amaçla bağlantılı ve gerekli süre kadar tutulmalıdır. İşveren her işe alım süreci için başvuru tarihi, pozisyon, toplanan veri kategorileri, hukuki sebep, erişim yetkisi ve saklama süresini envanterde göstermelidir. “İleride lazım olabilir” şeklindeki belirsiz gerekçe süresiz saklamayı haklı kılmaz.

Aday gelecekteki pozisyonlar için havuzda tutulacaksa bunun işe alımın ilk amacıyla aynı olup olmadığı ayrıca değerlendirilmelidir. Yeni veya genişleyen amaç söz konusuysa adayın KVKK m.10 kapsamında doğru biçimde aydınlatılması gerekir. Süre dolduğunda CV, mülakat notu ve ek belgeler kurumun silme, yok etme veya anonimleştirme politikasına göre sistemlerden ve fiziksel arşivden çıkarılmalıdır.

İlgili kişi m.11 kapsamındaki haklarını kullandığında hangi sistemlerde verisinin bulunduğu, kimlerle paylaşıldığı ve saklama süresinin dayanağı cevaplanabilir olmalıdır. Bu nedenle işe alım yazılımı, e-posta kutuları ve ortak klasörlerde dağınık kopya bırakılmamalıdır.

Silme kaydı: Saklama süresi sona eren aday verisinin hangi tarihte ve hangi yöntemle silindiği de kayıt altına alınmalıdır; böylece KVKK m.7 kapsamında imha sürecinin fiilen uygulandığı gösterilebilir.

CV kariyer sitesinden gelmişse sorumluluk değişir mi?

Kariyer platformu üzerinden başvuru yapılması, başvuru alan işverenin veri sorumlusu yükümlülüklerini ortadan kaldırmaz. Platform kendi hizmeti için ayrı veri sorumlusu veya veri işleyen olabilir; işveren kendisine ulaşan CV’yi hangi amaçla ve ne kadar süre sakladığından ayrıca sorumludur.

İşveren platformdan binlerce aday CV’sini toplu biçimde indirip ilanla ilgisi olmayan arşiv oluşturamaz. Erişim yalnız ilgili pozisyon ve yetkili insan kaynakları kullanıcılarıyla sınırlandırılmalıdır.

Aday CV’si e-posta kutusunda unutulursa KVKK’ya aykırılık olur mu?

İşverenin kurumsal e-posta sistemindeki CV de veri işleme faaliyetinin parçasıdır. Ana aday sisteminden silinmiş olsa bile insan kaynakları e-postalarında yıllarca erişilebilir kalıyorsa imha süreci tamamlanmış sayılmaz.

Saklama-imha prosedürü e-posta, ortak klasör, kariyer yazılımı, yedekleme ve fiziksel çıktıların tamamını kapsamalıdır. Yetkili kullanıcıların kişisel cihazlarına indirdiği CV’lerin kontrolsüz çoğaltılması da KVKK m.12 veri güvenliği yükümlülüğüne aykırı risk yaratır.

CV saklama süresi nasıl belirlenmelidir?

KVKK her işveren için tek bir “altı ay” veya “iki yıl” CV saklama süresi koymaz. İşveren; başvurunun sonuçlandırılması, olası bir uyuşmazlıkta hakkın tesisi veya korunması ve varsa gelecekteki pozisyonlar için aday havuzu amaçlarını birbirinden ayırmalıdır. Her amaç için hukuki sebep, erişim yetkisi ve azami süre ayrı yazılmalıdır. İşe alım amacı sona erdiğinde dosyayı süresiz biçimde “belki gerekir” gerekçesiyle tutmak KVKK m.4/2-d’deki süreyle sınırlılık ilkesine uygun değildir.

Kurumun silme, yok etme ve anonimleştirme yönetmeliği ile iş başvurusu verilerine ilişkin 2021/670 sayılı karar özeti, yükümlülüğün doğduğu tarih ile imha takviminin belgelenmesini gerekli kılar.

Bağlantılı işe alım rehberleri

• İşe alımda referans kontrolü
• Adaydan diploma ve mezuniyet belgesi istenmesi
• Kimlik fotokopisinin KVKK’ya uygun işlenmesi

Av. Halil Bakırcı tarafından hazırlanmış, Av. Emirhan Keskin tarafından incelenmiştir.

Yazar Bilgisi

Avukat Halil BAKIRCI, Mersin Barosu 3472 sicil numarasına kayıtlıdır. Bakırcı & Keskin Hukuk Bürosu bünyesinde ceza, aile, iş, gayrimenkul ve ticaret hukuku alanlarında hukuki danışmanlık ve dava takibi sunmaktadır.

İnceleyen: Av. Emirhan Keskin · Mersin Barosu Sicil No: 5507

Av. Halil Bakırcı profilini inceleyin →