İşten Ayrıldıktan Sonra Çalışan Verileri İşlenebilir mi? KVKK 2022/1147

Kısa ve net cevap: İş sözleşmesinin sona ermesi, çalışana ait bütün kişisel verilerin aynı gün silinmesini gerektirmez; ancak işverenin çalışma ilişkisi dönemindeki bütün veri işleme amaçlarının da süresiz devam ettiği anlamına gelmez. Kişisel Verileri Koruma Kurulunun 2022/1147 sayılı kararında, iş ilişkisi sona erdikten sonra eski çalışana ait kişisel verilerin işlenmeye devam edilmesi; 6698 sayılı Kanun m.4’teki amaçla sınırlılık ve gerekli süre kadar muhafaza ilkeleri, m.5’teki işleme şartları ve m.7’deki silme, yok etme veya anonim hâle getirme yükümlülüğü bakımından değerlendirilmiştir. İşveren ücret, bordro, SGK, vergi, iş sağlığı, dava ve zamanaşımı süreçleri nedeniyle belirli verileri yasal süre boyunca saklayabilir. Buna karşılık personel rehberi, aktif kullanıcı hesabı, pazarlama listesi, kart erişimi veya görev için oluşturulmuş sistem profili gibi verilerin aktif kullanılmaya devam edilmesi için ilişki sonrası ayrıca hukuki sebep bulunmalıdır.

KVKK 2022/1147 Kararının Hukuki Önemi

Çalışan verisi iş ilişkisinin kurulmasından önce başlar ve çoğu zaman iş sözleşmesinin sona ermesinden sonra da belirli süre devam eder. İş başvurusu, özlük dosyası, bordro, SGK bildirimi, performans, izin, disiplin, kamera, erişim kayıtları ve kurumsal sistem verileri farklı hukuki sebeplere dayanır.

Bu nedenle “işten ayrıldı, bütün verileri sil” yaklaşımı da “eski çalışan verisini istediğimiz kadar tutabiliriz” yaklaşımı da doğru değildir. 2022/1147 sayılı Kurul kararı bu geçiş dönemini veri yaşam döngüsü bakımından değerlendiren önemli örneklerdendir.

İşverenin öncelikle veri kategorilerini ve saklama gerekçelerini ayırması gerekir. Vergi veya sosyal güvenlik mevzuatı nedeniyle tutulması gereken bordro ile artık kullanılması gerekmeyen turnike kartı profili aynı saklama mantığına tabi değildir.

Eski çalışanın verilerinin sistemde kalması tek başına ihlal anlamına gelmeyebilir; ancak her veri için işleme sebebinin devam edip etmediği ve erişimin hangi kişilerle sınırlandırıldığı gösterilebilmelidir.

İşten Ayrılınca Hangi İşleme Amaçları Sona Erer?

İşçinin günlük iş organizasyonu, vardiya planı, aktif e-posta, telefon rehberi, VPN, CRM, bina kartı ve proje yetkileri iş ilişkisinin yürütülmesine bağlıdır. İş sözleşmesi sona erdiğinde bu amaçların önemli bölümü sona erer.

Buna karşılık geçmiş iş ilişkisinden doğan ücret, kıdem, ihbar, fazla çalışma veya iş kazası uyuşmazlıkları için belirli kayıtların tutulması gerekebilir. Vergi ve sosyal güvenlik mevzuatında da belge saklama yükümlülükleri vardır.

Bu ayrım, verinin aktif sistemde tutulması ile arşivde saklanmasını birbirinden ayırmayı gerektirir. Eski çalışanın kartı veya e-posta hesabı aktif kalmamalı; kanuni gerekçeyle saklanan belgeler ise sınırlı erişimli arşivde bulunmalıdır.

İşveren ayrılık tarihinde veri kapanış kontrolü yapmalı ve işleme amaçlarının hangilerinin devam ettiğini yazılı olarak belirlemelidir.

Hangi Çalışan Verileri Saklanmaya Devam Edebilir?

Özlük dosyasındaki bazı kayıtlar 4857 sayılı İş Kanunu, 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu, vergi mevzuatı, iş sağlığı ve güvenliği mevzuatı ve zamanaşımı süreleri nedeniyle belirli dönemler boyunca saklanabilir.

Ücret bordroları, SGK işe giriş-çıkış bildirimleri, izin kayıtları, iş kazası belgeleri, iş sağlığı ve güvenliği kayıtları veya dava konusu olabilecek belgeler bu kapsamda değerlendirilebilir. Hangi belgenin ne kadar süre tutulacağı somut mevzuat ve olası hukuki talebe göre belirlenmelidir.

Ancak şirketin eski çalışan fotoğrafını kurumsal web sitesindeki “ekibimiz” sayfasında tutması, eski telefon numarasını aktif personel rehberinde göstermesi veya görev hesabını kullanmaya devam etmesi kanuni saklama yükümlülüğünden farklıdır.

Arşivleme, verinin herkese açık veya aktif kullanıma hazır tutulması anlamına gelmez. Saklama gerekiyorsa erişim sınırlandırılmalı ve süre sonunda imha edilmelidir.

KVKK m.4 “Gerekli Süre Kadar Muhafaza” İlkesi

KVKK m.4/2-d, kişisel verilerin ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesini zorunlu kılar. Bu ilke veri sorumlusunun “saklamak için saklama” yaklaşımını engeller.

Her veri kategorisi için saklama süresi aynı olmak zorunda değildir. Bordro ve SGK kaydı uzun süre saklanırken günlük giriş logu veya personel rehberi bilgisi daha kısa süreli olabilir.

Saklama süresi belirlenirken ilgili mevzuat, zamanaşımı, ispat ihtiyacı ve işleme amacı birlikte değerlendirilmelidir. “Şirket politikamız 20 yıl” demek, kanuni veya amaçsal gerekçe yoksa tek başına yeterli değildir.

Veri sorumlusu saklama ve imha politikasında sürenin başlangıç anını da belirlemelidir. Örneğin sürenin iş sözleşmesinin sona erme tarihinden mi, belgenin düzenlendiği tarihten mi yoksa hukuki sürecin tamamlanmasından mı başlayacağı veri türüne göre değişebilir.

KVKK m.5 İşten Ayrıldıktan Sonra Hangi Hukuki Sebepleri Sağlayabilir?

İş ilişkisi döneminde sözleşmenin ifası ve işverenin hukuki yükümlülükleri önemli işleme sebepleridir. İlişki sona erdikten sonra sözleşmenin günlük ifası amacı büyük ölçüde biter; fakat hukuki yükümlülük ve bir hakkın tesisi, kullanılması veya korunması gibi m.5/2 sebepleri devam edebilir.

Örneğin eski çalışanın ücret bordrosunun olası dava için saklanması m.5/2-e kapsamında bir hakkın korunmasıyla bağlantılı olabilir. SGK bildirimleri ve vergi kayıtları ise kanuni yükümlülüklere dayanabilir.

Meşru menfaat m.5/2-f de her türlü saklama için genel torba gerekçe değildir. İşverenin menfaati ile eski çalışanın temel hakları arasında denge kurulmalı ve daha az müdahaleli yöntemler değerlendirilmelidir.

Açık rıza da kanunen tutulması gereken kayıtlar için zorunlu değildir. İşveren gerçek hukuki sebebi belirlemeli ve aydınlatmada bunu doğru açıklamalıdır.

KVKK m.7 İmha Yükümlülüğü Ne Zaman Doğar?

KVKK m.7, kişisel veriyi işlemeyi gerektiren bütün sebepler ortadan kalktığında silme, yok etme veya anonim hâle getirme yükümlülüğünü düzenler. Veri sorumlusu yalnız talep geldiğinde değil, re’sen de imha yapmak zorundadır.

Bir verinin yasal saklama süresi dolmuş ve devam eden dava/uyuşmazlık da bulunmuyorsa işleme sebebi ortadan kalkabilir. Bu durumda verinin aktif sistemde veya yedeklerde tutulmasına ilişkin imha planı uygulanmalıdır.

Silme, verinin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz hâle getirilmesini; yok etme verinin hiç kimse tarafından erişilemeyecek biçimde ortadan kaldırılmasını; anonimleştirme ise kişiyle ilişkilendirilemez hâle getirilmesini ifade eder.

Yedeklerdeki imha da politika içinde düzenlenmelidir. “Yedekte kalıyor, yapacak bir şey yok” yaklaşımı yeterli değildir; yedeklerin yaşam döngüsü ve geri dönüş hâlinde silme işlemlerinin yeniden uygulanması planlanmalıdır.

Aktif Sistemlerde Eski Çalışan Verisi Tutulabilir mi?

Eski çalışan hesabının aktif personel sisteminde görünmeye devam etmesi yanlış işlem ve yetkisiz erişim riskini artırır. İlişki sona erdiğinde personel statüsü güncellenmeli, aktif listelerden çıkarılmalı ve erişim hesapları kapatılmalıdır.

Kurumsal e-posta hesabı için geçiş süreci gerekiyorsa sınırlı süreli otomatik yanıt veya arşivleme tercih edilebilir. Bu konuda KVKK 2023/1321 kurumsal e-posta yazımızı inceleyebilirsiniz.

Web sitesindeki ekip sayfası, telefon rehberi ve kurumsal uygulama profilleri de ayrılık kontrol listesine dahil edilmelidir. Eski çalışanın adının aktif personel gibi gösterilmesi veri doğruluğu ilkesine de aykırılık yaratabilir.

Arşiv sisteminde tutulan kayıtlar ise yalnız yetkili hukuk, insan kaynakları veya mali işler personeline açık olmalıdır.

İş Davaları ve Alacak Süreçleri İçin Veriler Saklanabilir mi?

Evet. İşçi veya işverenin olası dava, arabuluculuk, icra veya idari denetim sürecinde haklarını kullanabilmesi için ilgili kayıtların saklanması gerekebilir. Bu işleme m.5/2-e kapsamındaki “bir hakkın tesisi, kullanılması veya korunması” sebebine dayanabilir.

Ancak dava ihtimali, her türlü veriyi süresiz tutmak için gerekçe değildir. Uyuşmazlıkla ilgisi olmayan kişisel bilgiler ayrıştırılmalı, saklama süresi makul ve hukuken gerekçeli olmalıdır.

Dava açıldıysa ilgili veri “hukuki saklama” altına alınabilir ve periyodik imha sırasında yanlışlıkla silinmesi önlenebilir. Uyuşmazlık sona erdiğinde saklama gerekçesi yeniden gözden geçirilmelidir.

Hukuk birimleri ve dış avukatlarla yapılan veri aktarımı da amaçla sınırlı olmalı; dosyada ilgisiz çalışan verileri paylaşılmamalıdır.

Özel Nitelikli Çalışan Verileri Ne Olur?

Sağlık raporu, engellilik bilgisi, sendika üyeliği ve Kanun m.6 kapsamındaki diğer özel nitelikli veriler iş ilişkisinin sona ermesinden sonra da daha sıkı güvenlik şartlarına tabidir.

İş sağlığı ve güvenliği mevzuatı belirli sağlık kayıtlarının saklanmasını gerektirebilir. Bu durumda veriler yalnız yetkili personelin erişebildiği ayrı sistem veya arşivde tutulmalıdır.

Eski çalışanın sağlık verisinin aktif insan kaynakları ekranında gereksiz kişilerce görünür kalması ölçülülük ve m.12 bakımından risklidir. Kanuni saklama ihtiyacı, geniş erişim ihtiyacı anlamına gelmez.

2026 itibarıyla m.6’nın güncel metni esas alınmalı ve eski çalışan veri politikaları 2024 değişikliklerine göre güncellenmelidir.

Eski Çalışan Hangi KVKK Haklarını Kullanabilir?

KVKK m.11 ve m.13 kapsamında eski çalışan, hangi kişisel verilerinin işlenmeye devam ettiğini, amaçları, hukuki sebepleri, aktarıldığı üçüncü kişileri ve saklama sürelerini sorabilir.

İşleme sebebinin ortadan kalktığı veri için silme/yok etme talep edilebilir. Veri yanlış veya güncel değilse düzeltme istenebilir. Örneğin şirket web sitesinde hâlâ aktif çalışan gibi gösteriliyorsa güncelleme talebi gündeme gelir.

Veri sorumlusu başvuruyu en kısa sürede ve en geç otuz gün içinde cevaplamalıdır. “Şirket politikamız gereği saklıyoruz” şeklindeki soyut cevap yeterli değildir; hangi veri için hangi hukuki sebep ve süre bulunduğu açıklanmalıdır.

Cevabın yetersiz olması veya süresinde verilmemesi hâlinde m.14’teki süreler içinde Kurula şikâyet edilebilir.

İşveren İçin Veri Kapanış Planı

1. Veri envanteri: Ayrılan çalışanla ilişkili aktif sistemleri ve arşivleri listeleyin.

2. Amaç analizi: Hangi veri işleme amaçlarının ayrılıkla sona erdiğini belirleyin.

3. Erişim kapatma: E-posta, VPN, CRM, HR, kart ve bulut hesaplarını kapatın.

4. Aktif listeleri güncelleyin: Web sitesi, telefon rehberi ve organizasyon şemasından eski çalışanı çıkarın.

5. Arşiv sınırlaması: Kanuni gerekçeyle tutulan verileri yalnız yetkili personele açın.

6. Saklama takvimi: Her veri kategorisi için süre ve başlangıç tarihini kaydedin.

7. İmha: Süre bitiminde periyodik imha politikasını uygulayın ve işlemi kayıt altına alın.

Sık Yapılan Hatalar

1. İşten ayrılınca bütün verinin hemen silineceğini sanmak: Kanuni saklama ve hakların korunması sebepleri devam edebilir.
2. Eski çalışan verisini süresiz tutmak: M.4/2-d gerekli süre ilkesine aykırıdır.
3. Arşiv ile aktif kullanım arasında ayrım yapmamak: Saklama gereği aktif hesap kullanımını meşrulaştırmaz.
4. Web sitesinde eski çalışanı güncellememek: Veri doğruluğu sorunu doğurabilir.
5. Özel nitelikli verileri geniş erişimde tutmak: Kanuni saklama olsa bile erişim sınırlandırılmalıdır.
6. Silme talebine genel ret vermek: Her veri kategorisinin hukuki sebebi ayrı açıklanmalıdır.

Resmî Kaynaklar

• Kişisel Verileri Koruma Kurumu – Kurul kararları
• 6698 sayılı Kişisel Verilerin Korunması Kanunu – m.4, m.5, m.6, m.7, m.11 ve m.13
• Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik
• 4857 sayılı İş Kanunu

Sık Sorulan Sorular

1. İşten ayrıldıktan sonra bütün kişisel veriler silinir mi?

Hayır. Kanuni saklama veya bir hakkın korunması için gerekli veriler belirli süre tutulabilir.

2. Eski çalışanın e-posta hesabı açık kalabilir mi?

İş sürekliliği için ölçülü geçiş yöntemi gerekebilir; süresiz aktif hesap hukuki gerekçe gerektirir.

3. Bordro ne kadar saklanır?

Süre ilgili iş, vergi, sosyal güvenlik ve olası uyuşmazlık mevzuatına göre belirlenmelidir; tek bir KVKK süresi yoktur.

4. Eski çalışan fotoğrafı web sitesinde kalabilir mi?

Aktif ekip tanıtımı amacı sona ermişse güncelleme yapılmalıdır; başka hukuki amaç varsa ayrıca değerlendirilir.

5. Dava için veriler saklanabilir mi?

Evet. Uyuşmazlıkla bağlantılı veriler m.5/2-e kapsamında gerekli süre saklanabilir.

6. Sağlık raporu ayrılık sonrası tutulabilir mi?

İlgili mevzuat veya hakların korunması gerektiriyorsa tutulabilir; erişim m.6 ve m.12 kapsamında sıkı sınırlandırılmalıdır.

7. Eski çalışan verilerinin kimlere aktarıldığını sorabilir mi?

Evet. M.11 kapsamında aktarım ve işleme bilgilerini talep edebilir.

8. İşveren “şirket politikası” diyerek her veriyi tutabilir mi?

Hayır. Politikanın kanuni veya amaçsal hukuki dayanağı bulunmalıdır.

9. Yedeklerde veri kalabilir mi?

Yedek yaşam döngüsü ve imha prosedürü olmalıdır; geri yükleme hâlinde silinmiş verilerin yeniden aktifleşmesi önlenmelidir.

10. Karar yalnız işçiler için mi önemlidir?

Hayır. Sözleşme veya görev ilişkisi sona eren tüm gerçek kişiler bakımından veri yaşam döngüsü ve saklama ilkeleri önemlidir.

Av. Halil Bakırcı tarafından hazırlanmış, Av. Emirhan Keskin tarafından incelenmiştir.

Yazar Bilgisi

Avukat Halil BAKIRCI, Mersin Barosu 3472 sicil numarasına kayıtlıdır. Bakırcı & Keskin Hukuk Bürosu bünyesinde ceza, aile, iş, gayrimenkul ve ticaret hukuku alanlarında hukuki danışmanlık ve dava takibi sunmaktadır.

İnceleyen: Av. Emirhan Keskin · Mersin Barosu Sicil No: 5507

Av. Halil Bakırcı profilini inceleyin →