KVKK Verilerin Silinmesi, Yok Edilmesi ve Anonimleştirilmesi 2026: m.7

KVKK m.7 kişisel verilerin imhası hakkında ne düzenler?

6698 sayılı Kişisel Verilerin Korunması Kanununun 7. maddesi, hukuka uygun biçimde işlenmiş kişisel verilerin dahi sonsuza kadar tutulamayacağını düzenler. Verinin işlenmesini gerektiren sebepler ortadan kalkmışsa veri, veri sorumlusu tarafından resen veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hâle getirilir.

Bu hüküm veri minimizasyonu ve saklama süresi ilkelerinin doğal sonucudur. Bir kişisel verinin başlangıçta hukuka uygun alınmış olması, işleme amacı sona erdikten sonra sınırsız süreyle saklanmasına izin vermez. Veri sorumlusu her veri kategorisi için hukuki saklama sebebini ve süresini belirlemelidir.

Silme, yok etme ve anonimleştirme birbirinin eş anlamlısı değildir. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik bu üç işlemi teknik ve hukuki sonuçları bakımından ayrı tanımlar.

Kişisel veriyi işlemeyi gerektiren sebep ne zaman sona erer?

İşleme sebebinin sona ermesi, verinin dayandığı bütün hukuki sebeplerin ortadan kalkmasıdır. Örneğin bir sözleşme sona ermiş olabilir; ancak vergi, ticaret, iş, sosyal güvenlik veya zamanaşımı mevzuatı belirli kayıtların daha uzun süre saklanmasını zorunlu kılıyorsa işleme sebebi tamamen bitmiş sayılmaz.

Bu nedenle “müşterilik bitti, bütün kayıtlar aynı gün silinmeli” şeklinde genel bir kural yoktur. Her veri için sözleşmesel ihtiyaç, kanuni saklama yükümlülüğü, hukuki uyuşmazlık riski ve diğer m.5/m.6 işleme şartları tek tek değerlendirilir.

Açık rızaya dayalı tek işleme sebebi varsa ve ilgili kişi rızasını geri almışsa veri sorumlusu başka bir hukuki işleme şartının bulunup bulunmadığını inceler. Başka geçerli şart yoksa işleme sebebi sona erer ve m.7 süreci başlar.

İşleme amacının yalnız “ileride lazım olabilir” şeklinde belirsiz tutulması saklama için yeterli değildir. Veri sorumlusu belirli, açık ve meşru amaçlarla bağlıdır.

Kişisel verilerin silinmesi ne demektir?

Yönetmeliğe göre silme, kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesi işlemidir. Buradaki “ilgili kullanıcı”, veri sorumlusu organizasyonu içinde verileri teknik depolama, koruma ve yedeklemeden sorumlu birim veya kişi dışındaki veri işleyen kullanıcıları ifade eder.

Örneğin aktif müşteri sistemindeki bir kaydın normal kullanıcı hesaplarından erişilemez hâle getirilmesi, yetki matrisiyle kapatılması ve tekrar iş süreçlerinde kullanılmasının önlenmesi silme yöntemi olabilir. Ancak verinin sistemde teknik olarak varlığını sürdürmesi durumunda güvenlik tedbirleri devam eder.

Sadece dosya adını değiştirmek, klasörü gizlemek veya normal ekrandan kaldırmak her durumda hukuki anlamda silme değildir. Uygulanan yöntemin veriyi ilgili kullanıcılar için gerçekten erişilemez ve tekrar kullanılamaz hâle getirmesi gerekir.

Kişisel verilerin yok edilmesi nedir?

Yok etme, kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hâle getirilmesidir. Silmeden daha kesin bir teknik sonuç doğurur.

Kağıt ortamındaki kayıtların güvenli şekilde fiziksel imhası, manyetik ortamların uygun yöntemle geri döndürülemez biçimde silinmesi, kriptografik anahtarların yok edilmesi veya veri tabanı kayıtlarının yedekler dahil geri getirilemeyecek şekilde imhası kullanılan yöntemlere örnek olabilir.

Yok etme yöntemi veri ortamına göre seçilir. Kağıt, sunucu, bulut, taşınabilir medya, yedek sistem, arşiv ve üçüncü taraf hizmetlerinde aynı teknik uygulanmaz. Veri sorumlusu kullanılan yöntemin geri döndürülemez sonucu sağladığını belgelemelidir.

Anonim hâle getirme nedir?

Anonimleştirme, kişisel verilerin başka verilerle eşleştirilmesi hâlinde dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesidir. Veri artık kişiye bağlanamıyorsa kişisel veri niteliği sona erer.

İsim ve T.C. kimlik numarasını kaldırmak tek başına her zaman anonimleştirme değildir. Yaş, ilçe, meslek, tarih, nadir hastalık veya benzersiz işlem bilgileri bir araya geldiğinde kişinin yeniden belirlenmesi mümkünse veri hâlâ kişisel veri olabilir.

Anonimleştirme işleminde doğrudan tanımlayıcılar, dolaylı tanımlayıcılar, veri setinin büyüklüğü, yeniden tanımlama riski ve erişilebilecek diğer veri kaynakları birlikte değerlendirilir. Maskeleme, toplulaştırma, genelleştirme, değişken çıkarma ve istatistiksel yöntemler veri setine göre kullanılabilir.

Takma adlandırma/pseudonimleştirme ile anonimleştirme aynı değildir. Anahtar veya ek bilgi kullanılarak kişinin yeniden belirlenmesi mümkünse veri kişisel veri olma niteliğini korur.

Veri sorumlusu talep olmadan silme/yok etme yapmak zorunda mı?

Evet. KVKK m.7 açıkça “resen veya ilgili kişinin talebi üzerine” ifadesini kullanır. Dolayısıyla veri sorumlusunun imha yükümlülüğü yalnız bir kişinin başvurmasıyla başlamaz. İşleme sebebinin sona erdiğini kendi saklama ve kontrol mekanizmalarıyla tespit edip gerekli işlemi yapmalıdır.

Bu nedenle veri sorumlularının veri envanteri, saklama süreleri ve imha takvimi oluşturması önemlidir. Hangi veri kategorisinin ne kadar süre saklandığı ve süre sonunda hangi yöntemle imha edildiği izlenebilir olmalıdır.

Resen imha yapılmaması, işleme sebebi kalmayan verinin gereksiz biçimde tutulmasına yol açar ve Kanunun genel ilkeleri ile m.7 bakımından hukuka aykırılık oluşturabilir.

İlgili kişi verisinin silinmesini nasıl talep eder?

İlgili kişi, KVKK m.11 ve m.13 kapsamında veri sorumlusuna başvurarak m.7 şartları oluşmuşsa kişisel verilerinin silinmesini veya yok edilmesini talep edebilir. Başvuruda hangi veri veya veri kategorisinin imhasının istendiği mümkün olduğunca somutlaştırılmalıdır.

Veri sorumlusu, talebi değerlendirirken işleme şartlarının tamamının sona erip ermediğini kontrol eder. Bütün işleme şartları sona ermişse talebi yerine getirir; devam eden kanuni saklama yükümlülüğü varsa gerekçesiyle açıklama yapar.

Veri sorumlusunun cevabı yetersiz veya ret ise, ilgili kişi Kanunun m.14’ündeki süreler içinde Kurula şikâyet edebilir. Başvuru ve şikâyet yolları için m.13 başvuru ve Kurula şikâyet rehberleri incelenebilir.

Kişisel veri saklama ve imha politikası kimler için zorunludur?

Yönetmelik, VERBİS’e kayıt yükümlülüğü bulunan veri sorumlularının kişisel veri saklama ve imha politikası hazırlamasını zorunlu tutar. VERBİS’e kayıt istisnası bulunan her veri sorumlusunun yazılı politika hazırlama zorunluluğu aynı şekilde bulunmasa da, m.7 kapsamındaki silme, yok etme ve anonimleştirme yükümlülüğü yine devam eder.

Politikada hazırlanma amacı, kayıt ortamları, hukuki ve teknik terimler, saklamayı gerektiren hukuki/teknik sebepler, imhayı gerektiren sebepler, kullanılan teknik/idari tedbirler, saklama ve imha süreleri, periyodik imha süreleri ve güncelleme usulü yer almalıdır.

Politikanın internet sitesinde yayımlanması her durumda Kanunda zorunlu değildir; ancak ilgili kişilerin saklama süreleri hakkında aydınlatılması ve m.10 yükümlülüğünün yerine getirilmesi ayrıca gerekir.

Periyodik imha süresi neden en fazla 6 aydır?

Yönetmeliğe göre periyodik imha, işleme şartlarının tamamen ortadan kalkması hâlinde politika kapsamında belirtilen ve tekrar eden aralıklarla resen gerçekleştirilecek silme, yok etme veya anonimleştirme işlemidir. Periyodik imha zaman aralığı veri sorumlusu tarafından belirlenir; ancak bu süre altı ayı geçemez.

Örneğin veri sorumlusu politikada üç ayda bir veya altı ayda bir periyodik imha öngörebilir. On iki ayda bir imha politikası Yönetmelikteki üst sınırı aşar.

Politika hazırlama yükümlülüğü bulunmayan veri sorumluları için süre farklıdır: Yönetmelik m.11/3 uyarınca imha yükümlülüğünün doğduğu tarihten sonra en geç üç ay içinde silme, yok etme veya anonimleştirme yapılmalıdır. Bu kişiler için altı aylık periyodik imha aralığı esas alınmaz.

İlgili kişinin başvurusu ayrıca değerlendirilir: İşleme şartlarının tamamı ortadan kalkmışsa m.12/1-a gereğince talep en geç otuz gün içinde sonuçlandırılmalı ve kişiye bilgi verilmelidir. Sıradaki periyodik imha tarihinin beklenmesi bu süreyi uzatmaz. İşleme şartları devam ediyorsa ret gerekçesi de m.12/1-c kapsamında en geç otuz gün içinde yazılı veya elektronik olarak bildirilir.

Silinen veri daha önce üçüncü kişilere aktarılmışsa ne olur?

KVKK m.11, düzeltme, silme veya yok etme işlemlerinin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme hakkını ilgili kişiye tanır. İşleme şartları sona ermişse veri sorumlusu yalnız kendi sistemini değil, aktarım zincirini de değerlendirmelidir.

Üçüncü kişinin ayrı bir veri sorumlusu olduğu durumda kendi hukuki saklama sebebi bulunabilir. Ancak aktaran veri sorumlusu, yaptığı düzeltme veya imha işlemine ilişkin gerekli bildirimi mevzuat kapsamında gerçekleştirir.

Veri işleyen hizmet sağlayıcılar bakımından veri sorumlusu sözleşmesel ve teknik tedbirlerle imha talimatlarının uygulanmasını sağlamalıdır. Bulut sağlayıcı, çağrı merkezi veya arşiv şirketinde veri bulunması veri sorumlusunun sorumluluğunu ortadan kaldırmaz.

Silme ve yok etme işlemleri kayıt altına alınmalı mı?

Yönetmelik, silme, yok etme ve anonimleştirmeye ilişkin yapılan bütün işlemlerin kayıt altına alınmasını ve söz konusu kayıtların diğer hukuki yükümlülükler hariç en az üç yıl saklanmasını öngörür.

İmha kaydında hangi veri kategorisinin, hangi tarihte, hangi hukuki nedenle ve hangi yöntemle imha edildiğinin gösterilebilmesi hesap verebilirlik açısından önemlidir. Teknik log, imha tutanağı veya sistem raporu kullanılabilir.

Bu kayıtların kendisi de kişisel veri içerebilir. Bu nedenle yalnız imha işlemini ispatlayacak gerekli bilgilerin tutulması ve erişimin sınırlandırılması gerekir.

Silme talebi reddedilirse hangi yol izlenir?

İlgili kişi önce m.13 kapsamında veri sorumlusuna başvurur. Veri sorumlusu talebi en geç 30 gün içinde sonuçlandırır. Ret, yetersiz cevap veya cevapsızlık hâlinde m.14’teki 30/60 günlük süreler içinde Kurula şikâyet edilebilir.

Kurul işleme sebebinin ortadan kalktığını ve verinin tutulmaya devam ettiğini tespit ederse hukuka aykırılığın giderilmesine karar verebilir. Veri sorumlusu Kurul kararının gereğini tebliğden itibaren gecikmeksizin ve en geç 30 gün içinde yerine getirmelidir.

Kişisel veri ihlali nedeniyle zarar doğmuşsa genel hükümlere göre tazminat hakkı ayrıca saklıdır.

Türkiye geneli ve Mersin uygulaması

KVKK m.7 ve ilgili Yönetmelik Türkiye genelindeki veri sorumlularına uygulanır. Mersin’deki işveren, hastane, okul, site yönetimi, e-ticaret şirketi, avukatlık bürosu veya diğer veri sorumluları da işleme sebebi biten kişisel verileri mevzuata uygun imha etmek zorundadır.

Bakırcı & Keskin Hukuk Bürosu Mersin’deki İstanbul ve Mersin’deki fiziksel ofislerden Türkiye genelindeki KVKK başvuruları ve ilgili uyuşmazlıkları görev ve yetki kurallarına göre takip eder.

KVKK silme, yok etme ve anonimleştirme hakkında sık sorulan sorular

Kişisel veriler ne zaman silinir?

İşlenmesini gerektiren bütün sebepler ortadan kalktığında resen veya talep üzerine silinir, yok edilir veya anonimleştirilir.

Silme ile yok etme aynı mı?

Hayır. Silmede veri ilgili kullanıcılar için erişilemez olur; yok etmede hiç kimse tarafından geri getirilemez ve kullanılamaz hâle gelir.

Anonimleştirme nedir?

Verinin başka verilerle eşleştirilse bile belirli veya belirlenebilir kişiyle ilişkilendirilemeyecek hâle getirilmesidir.

İsim silinince veri anonim olur mu?

Her zaman değil. Diğer verilerle kişi yeniden belirlenebiliyorsa anonimleştirme gerçekleşmemiştir.

Veri sorumlusu talep olmadan imha yapmalı mı?

Evet. m.7 resen imha yükümlülüğü getirir.

Periyodik imha en geç kaç ayda bir yapılır?

Periyodik imha aralığı altı ayı geçemez.

VERBİS’e kayıtlı veri sorumlusu imha politikası hazırlamak zorunda mı?

VERBİS’e kayıt yükümlülüğü bulunan veri sorumluları saklama ve imha politikası hazırlar.

İmha kayıtları kaç yıl saklanır?

Diğer hukuki yükümlülükler hariç en az üç yıl.

Üçüncü kişiye aktarılmış veri için bildirim istenebilir mi?

Evet. m.11 kapsamında düzeltme/silme/yok etme işleminin aktarılan üçüncü kişilere bildirilmesi istenebilir.

Silme talebi reddedilirse ne yapılır?

m.13 başvurusundan sonra m.14 sürelerinde Kurula şikâyet edilebilir.

Av. Halil Bakırcı tarafından hazırlanmış, Av. Emirhan Keskin tarafından incelenmiştir.

Yazar Bilgisi

Avukat Halil BAKIRCI, Mersin Barosu 3472 sicil numarasına kayıtlıdır. Bakırcı & Keskin Hukuk Bürosu bünyesinde ceza, aile, iş, gayrimenkul ve ticaret hukuku alanlarında hukuki danışmanlık ve dava takibi sunmaktadır.

İnceleyen: Av. Emirhan Keskin · Mersin Barosu Sicil No: 5507

Av. Halil Bakırcı profilini inceleyin →