Siber Güvenlik Başkanlığı Veriyi Ne Kadar Süre İşleyebilir? 7545 m.6’da 2 Yıl Sınırı 2026

7545 sayılı Kanun’daki iki yıllık veri işleme sınırı nedir?

7545 sayılı Siber Güvenlik Kanunu’nun 6. maddesi Siber Güvenlik Başkanlığının görevlerini yerine getirirken kullanabileceği bilgi toplama ve teknik müdahale yetkilerini düzenler. Maddenin birinci fıkrasının (ç) bendi, Başkanlığın görev alanıyla sınırlı olmak kaydıyla ihtiyaç duyduğu her türlü bilgi, belge, veri ve kayıtları alabilmesine ilişkin açık kanuni dayanak içerir.

Aynı bent yalnızca veri alma yetkisi vermekle kalmaz; işleme süresine de sınır koyar. Kanun metnine göre bu bilgi, belge, veri ve kayıtların işleme süresi iki yılı geçemez. Böylece siber güvenlik amacıyla elde edilen verilerin belirsiz ve süresiz biçimde tutulması yerine kanuni bir üst sınır getirilmiştir.

İki yıllık sınırın doğru anlaşılması önemlidir. Kanun “bütün kurumlar iki yıl log tutar” demez. Hüküm, Başkanlığın m.6/1-ç kapsamındaki ihtiyaç nedeniyle aldığı bilgi, belge, veri ve kayıtları işleme süresini sınırlar. Şirketlerin veya kamu kurumlarının kendi sistemlerinde tutmak zorunda olduğu başka log ve belgelerin saklama süreleri, uygulanabilir diğer mevzuata göre ayrıca belirlenir.

Başkanlık hangi bilgi ve kayıtları m.6/1-ç kapsamında alabilir?

m.6/1-ç, kapsamı “görev alanıyla sınırlı olmak kaydıyla ihtiyaç duyulan” bilgi, belge, veri ve kayıtlar olarak kurar. Bu iki unsur birlikte bulunmalıdır. Birincisi bilgi veya kaydın Başkanlığın kanuni görev alanıyla ilişkili olmasıdır. İkincisi ise somut siber güvenlik faaliyeti bakımından ihtiyaç bulunmasıdır. Kanun, amaçtan tamamen kopuk veri toplamaya açık çek vermez.

Bu kayıtlar siber olayın kaynağını ve etkisini belirlemeye yarayan teknik kayıtlar, güvenlik ürünü çıktıları, sistem envanteri, zafiyet bilgileri, olay zaman çizelgesi, ağ veya erişim kayıtları, kurumun siber güvenlik tedbirlerini gösteren belgeler ya da Başkanlığın görevini yerine getirmesi için gerekli başka veriler olabilir. Verinin türü somut görev ve talebe göre belirlenir.

Başkanlığın veri ve log kayıtlarını toplama yetkisi m.6/1-b ve m.6/1-d’de ayrıca düzenlenmiştir. Bu konu Siber Güvenlik Başkanlığı log kayıtları rehberimizde ayrıntılı olarak açıklanmıştır. m.6/1-ç’nin ayırt edici yönü, alınan bilgi ve kayıtların işlenmesine iki yıllık açık üst sınır koymasıdır.

İki yıllık süre hangi tarihten itibaren hesaplanır?

Kanun iki yıllık azami sürenin “işleme süresi” olduğunu belirtir. Kişisel veri hukukunda işleme; verinin elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, açıklanması, aktarılması, sınıflandırılması veya kullanılmasının engellenmesi gibi geniş bir faaliyet alanını ifade eder. Dolayısıyla sürenin, Başkanlığın veriyi kanuni görev kapsamında işlemeye başladığı dönemle bağlantılı ele alınması gerekir.

Kanun bu bentte “takvim yılının sonundan”, “olay tarihinden” veya “denetim tarihinden” başlayan özel bir hesaplama kuralı yazmamıştır. Bu nedenle veri setinin Başkanlıkça hangi tarihte elde edildiğinin ve işleme kaydına alındığının izlenebilir olması önemlidir. Kurumsal kayıt düzeni, daha sonra iki yıllık üst sınırın denetlenebilmesini sağlar.

Aynı veri setinin farklı tarihlerde parça parça alınması halinde işleme kayıtlarının veri seti veya işlem bazında tutulması gerekir. Süre hesabının belirsiz hale gelmemesi için alınma tarihi, hukuki dayanak, işleme amacı ve imha/anonimleştirme tarihi kayıt altına alınmalıdır.

İki yıl dolduğunda veriye ne olur?

m.6/1-ç açık hüküm içerir: işleme süresi sonunda veriler silinir, yok edilir veya anonim hale getirilir. Bu üç yöntem farklı teknik ve hukuki sonuçlar doğurur. Silme, verinin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz hale getirilmesini; yok etme, verinin hiçbir şekilde erişilemez ve geri getirilemez hale getirilmesini; anonim hale getirme ise verinin başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesini ifade eder.

Hangi yöntemin uygulanacağı verinin niteliğine ve işleme amacının sona erme biçimine göre belirlenir. Kanun tek bir teknik yöntem dayatmaz; ancak sürenin dolmasına rağmen verinin işlemeye devam edilmesine izin veren genel bir istisna da getirmez. Başka bir kanuni dayanak doğmuşsa o yeni dayanak ayrıca değerlendirilir; aksi halde m.6/1-ç’deki imha veya anonimleştirme sonucu uygulanır.

Silme ve imha işlemlerinin kayıt altına alınması hukuki denetlenebilirlik bakımından önemlidir. Yalnızca “sistem otomatik temizledi” şeklindeki açıklama yerine hangi veri kategorisinin hangi tarihte ve hangi yöntemle işlemden çıkarıldığı gösterilebilmelidir.

Erişim sebebi iki yıl dolmadan ortadan kalkarsa veri yine iki yıl tutulabilir mi?

Hayır. İki yıllık süre azami süredir; asgari saklama zorunluluğu değildir. 7545 m.6/2, kişisel verilere ve ticari sırlara erişmeyi gerektiren sebeplerin ortadan kalkması halinde bunların resen silinmesini, yok edilmesini veya anonim hale getirilmesini emreder. Bu nedenle işleme amacı onuncu ayda sona ermişse “iki yıl dolmadı” gerekçesiyle kişisel veri veya ticari sırın gereksiz tutulması kanunun sistematiğiyle bağdaşmaz.

Bu hüküm veri minimizasyonunu somutlaştırır. Başkanlık yalnızca gerekli olduğu süre boyunca veriyi işlemelidir. Amaç sona erdiğinde veya veriye erişim artık gerekli olmadığında daha uzun süre saklama için ayrıca hukuki gerekçe bulunması gerekir.

Şirketlerin de Başkanlığa veri iletirken bu ayrımı anlaması gerekir. Verinin kamu makamına kanuni olarak iletilmiş olması, şirket içindeki aynı verinin süresiz saklanmasına otomatik olarak gerekçe oluşturmaz. Veri sorumlusunun kendi saklama politikası ayrı hukuki dayanaklara göre yönetilir.

Kişisel veri işleme ilkeleri 7545 içinde ayrıca düzenleniyor mu?

Evet. 7545 m.6/2, Başkanlığın kişisel veri işlemesinde uyması gereken ilkeleri doğrudan sayar. Buna göre kişisel veriler hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel, belirli, açık ve meşru amaçlarla, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü biçimde işlenir.

Bu ilkeler, 6698 sayılı Kişisel Verilerin Korunması Kanunu m.4’teki genel ilkelerle paraleldir. Bu nedenle 7545’in verdiği görev yetkisi veri koruma hukukundan bağımsız veya sınırsız bir alan yaratmaz. Kanuni yetki, amaçla sınırlılık ve ölçülülük içinde kullanılır.

Örneğin bir siber olayın kaynağını tespit etmek için yalnızca belirli kullanıcıların erişim kayıtları gerekiyorsa olayla ilgisi bulunmayan geniş çalışan dosyalarının aynı amaçla toplanması ölçülülük bakımından ayrıca değerlendirilir. Teknik kolaylık hukuki gerekliliğin yerine geçmez.

Ticari sırlar da iki yıllık ve erken silme rejimine tabi mi?

m.6/2 ticari sırları açıkça kişisel verilerle birlikte anmıştır. Ticari sır niteliğindeki verilere erişmeyi gerektiren sebep ortadan kalktığında bu veriler de resen silinir, yok edilir veya anonim hale getirilir. Kanunun bu düzenlemesi, siber güvenlik denetimi ve olay müdahalesinde şirketlerin hassas teknik veya ticari bilgilerine erişilebileceğini kabul ederken aynı zamanda saklama sonu güvencesi getirir.

Ağ mimarisi, güvenlik konfigürasyonu, müşteri yapısı, iş akışları, üretim sistemi bilgileri, erişim anahtarları veya ticari stratejiyle ilişkili teknik kayıtlar somut olaya göre ticari sır niteliği taşıyabilir. Başkanlığın görev alanı içindeki ihtiyaç mevcutsa bu nitelik bilgi vermeyi kendiliğinden engellemez; ancak gizlilik, amaç ve saklama sınırları uygulanır.

7545 m.13 ayrıca gizli bilgi ve belgelerin korunmasına ilişkin yükümlülük getirir. Görev dolayısıyla öğrenilen devlet sırrı, ticari sır, kişisel veri ve benzeri bilgilerin açıklanması bakımından cezai hükümler de bulunmaktadır.

İki yıl kuralı log kayıtlarının tamamına uygulanır mı?

Hayır. En önemli ayrım budur. 7545 m.6/1-d Başkanlığa siber güvenliğin sağlanmasına yönelik olarak her türlü veri ve log kaydını toplama, saklama ve değerlendirme yetkisi verir. m.6/1-ç ise görev alanıyla sınırlı olarak ihtiyaç duyulan bilgi, belge, veri ve kayıtların işlenmesini ve bu işleme süresinin iki yılı geçmemesini düzenler. Hükümler birlikte okunmalıdır; ancak buradan tüm sektörler ve tüm log türleri için genel “iki yıllık log saklama zorunluluğu” sonucu çıkarılamaz.

Örneğin 5651 sayılı Kanun, elektronik haberleşme düzenlemeleri veya finans mevzuatı belirli aktörlere farklı log saklama süreleri yükleyebilir. O özel süreler kendi kanuni dayanaklarına göre uygulanır. 7545’in iki yıllık sınırı bunların tamamını ortadan kaldıran genel bir hüküm değildir.

Şirketlerin saklama envanterinde her kayıt türü için dayanak kanunu ayrıca yazması bu nedenle önemlidir. “Tüm loglar iki yıl” şeklindeki tek satırlık politika hem fazla veri saklamaya hem de başka mevzuattaki daha uzun veya daha kısa sürelerin ihlaline yol açabilir.

Başkanlık veri isterse şirket hangi kayıtları tutmalı?

Şirketin ilk kaydı talebin kendisidir. Talebi yapan makam, tarih, sayı, hukuki dayanak ve istenen veri kapsamı dosyalanmalıdır. İkinci kayıt, hangi verilerin hangi tarihte ve kim tarafından çıkarıldığıdır. Üçüncü kayıt, veri bütünlüğünü gösterecek teknik doğrulama bilgileridir. Dördüncü kayıt, iletim yöntemidir. Beşinci kayıt ise şirket içindeki erişim ve onay zinciridir.

Bu düzen, sonradan “hangi veriyi hangi gerekçeyle gönderdik?” sorusunun cevaplanmasını sağlar. Siber olay sırasında hızlı hareket edilmesi gerektiği için kayıt düzeninin olaydan önce belirlenmiş olması gerekir. M.7/1-a kapsamındaki bilgi verme yükümlülüğü hakkında ayrıntılı rehberimize bakılabilir.

Kişisel veri içeren setlerde gereksiz alanların çıkarılması, veri minimizasyonu ve erişim yetkilerinin sınırlandırılması da ayrıca değerlendirilmelidir. Kanuni talebe uymak ile talebin dışına taşan veri aktarmak aynı şey değildir.

Veri vermemek veya engellemek hangi yaptırımları doğurur?

7545 m.16/10’un 31 Temmuz 2026 tarihinden itibaren yürürlükteki halinde, m.7/1’in (a), (b) ve (c) bentlerindeki görev ve sorumluluklarını yerine getirmeyenlere bir milyon Türk lirasından on milyon Türk lirasına kadar idari para cezası uygulanır. Böylece Başkanlığın görev ve faaliyetleri kapsamında talep ettiği veri, bilgi, belge, donanım ve yazılımı öncelikle ve zamanında iletme yükümlülüğünün ihlali de açıkça idari yaptırım kapsamındadır.

Ayrıca m.16/1, kamu kurum ve kuruluşları hariç olmak üzere, yetkili mercilerin ve denetim görevlilerinin görevleri kapsamında istedikleri bilgi, belge, yazılım, veri ve donanımı vermeyen veya bunların alınmasına engel olanlar için bir yıldan üç yıla kadar hapis ve beş yüz günden bin beş yüz güne kadar adli para cezası öngörür. Her iki hükmün somut olayda uygulanması fiilin niteliğine göre değerlendirilir.

İdari para cezası verilmeden önce m.17 gereğince ilgilinin savunması alınır. Savunma istem yazısının tebliğinden itibaren otuz gün içinde savunma yapılmazsa savunma hakkından feragat edilmiş sayılır. Verilen idari para cezasına karşı idari yargı yolu açıktır.

Şirketlerin veri saklama politikasında 7545 nasıl yazılmalı?

Politikada önce veri kategorileri ayrılmalıdır: siber olay kayıtları, ağ logları, erişim logları, zafiyet raporları, güvenlik ürünü çıktıları, Başkanlık talepleri kapsamında hazırlanan veri setleri ve diğer teknik kayıtlar. Her kategori için hukuki dayanak, işleme amacı, kurum içi erişim yetkisi, saklama süresi ve imha yöntemi ayrı gösterilmelidir.

7545 m.6/1-ç’deki iki yıllık azami işleme süresi “her şey iki yıl saklanır” şeklinde genellenmemelidir. Başkanlığın m.6/1-ç kapsamında işlediği kayıtlar bakımından üst sınır olarak tanımlanmalı; erişim sebebinin daha önce ortadan kalkması halinde m.6/2’deki erken silme/yok etme/anonimleştirme kuralı ayrıca yazılmalıdır.

Şirket kendi bünyesindeki veri için ise hangi kanunun ve hangi meşru amacın saklamayı gerektirdiğini belirlemelidir. Kişisel veri saklama ve imha politikası, bilgi güvenliği politikası ve siber olay müdahale prosedürü birbiriyle çelişmemelidir.

Kritik altyapılarda bu süre nasıl uygulanır?

Kritik altyapı olmak, m.6/1-ç’deki iki yıllık üst sınırı ortadan kaldırmaz. Kritik altyapılar için Başkanlığın daha yoğun envanter, risk analizi, güvenlik tedbiri ve denetim faaliyetleri bulunabilir; ancak kişisel veri ve ticari sırlar bakımından m.6/2’deki amaçla sınırlılık ve silme hükümleri yine uygulanır.

Kritik altyapı kavramı ve özel yükümlülükler 7545 kritik altyapı rehberimizde açıklanmıştır. Özellikle kritik altyapılarda çok büyük hacimde teknik log üretilmesi, saklama politikasının kanuni dayanaklara göre ayrıştırılmasını daha önemli hale getirir.

Mersin’de şirketler için veri işleme süresi farklı mı?

Hayır. 7545 sayılı Kanun Türkiye genelinde uygulanır. Mersin’de faaliyet gösteren şirketler için m.6/1-ç bakımından ayrı bir yerel süre yoktur. Uygulanabilir sektörel mevzuat ve faaliyet türü ayrıca dikkate alınır.

Mersin’de liman, enerji, lojistik, sanayi, sağlık veya bilişim alanındaki işletmelerin farklı teknik kayıt türleri bulunabilir. Bu kayıtların tamamına tek süre yazmak yerine her veri kategorisinin dayanağı ve amacı ayrı belirlenmelidir.

Sık sorulan sorular

7545 sayılı Kanuna göre veri kaç yıl tutulur?

m.6/1-ç kapsamındaki Başkanlık veri işleme süresi iki yılı geçemez. Bu süre bütün kurumların bütün logları için genel saklama süresi değildir.

İki yıl asgari süre mi?

Hayır. İki yıl azami süredir. Kişisel veriye veya ticari sırra erişim sebebi daha önce ortadan kalkarsa m.6/2 gereğince daha erken silme, yok etme veya anonimleştirme gerekir.

İki yıl sonunda veri mutlaka silinir mi?

m.6/1-ç verinin silinmesini, yok edilmesini veya anonim hale getirilmesini emreder.

Tüm siber güvenlik logları iki yıl mı saklanır?

Hayır. Farklı log türlerinde 5651, sektör mevzuatı veya başka kanuni dayanaklar farklı süreler getirebilir.

Başkanlık ticari sırları da işleyebilir mi?

Görev alanıyla sınırlı ihtiyaç halinde işleyebilir; ancak erişim sebebi ortadan kalkınca m.6/2 gereği ticari sırlar da silinir, yok edilir veya anonimleştirilir.

Kişisel veriler için KVKK uygulanır mı?

Evet. 7545 m.6/2 ayrıca hukuka uygunluk, amaçla bağlantılılık, sınırlılık ve ölçülülük ilkelerini doğrudan düzenler.

Şirket Başkanlığın veri talebini reddedebilir mi?

Kanun kapsamındaki yükümlüler bakımından m.7/1-a verinin öncelikle ve zamanında iletilmesini emreder. Keyfi ret hakkı yoktur.

Veri vermemenin cezası var mı?

Evet. Güncel m.16/10 idari para cezası, m.16/1 ise belirli vermeme veya engelleme fiilleri bakımından hapis ve adli para cezası düzenler.

İdari para cezasından önce savunma alınır mı?

Evet. m.17’ye göre savunma alınmadan idari para cezası uygulanmaz; savunma için tebliğden itibaren otuz gün vardır.

Mersin’de iki yıllık süre farklı mı?

Hayır. 7545 bakımından ülke genelinde aynı kural uygulanır.

Dış Kaynaklar

• TBMM – 7545 sayılı Siber Güvenlik Kanunu
• T.C. Siber Güvenlik Başkanlığı – Mevzuat
• Kişisel Verileri Koruma Kurumu

Av. Halil Bakırcı tarafından hazırlanmış, Av. Emirhan Keskin tarafından incelenmiştir.

Yazar Bilgisi

Avukat Halil BAKIRCI, Mersin Barosu 3472 sicil numarasına kayıtlıdır. Bakırcı & Keskin Hukuk Bürosu bünyesinde ceza, aile, iş, gayrimenkul ve ticaret hukuku alanlarında hukuki danışmanlık ve dava takibi sunmaktadır.

İnceleyen: Av. Emirhan Keskin · Mersin Barosu Sicil No: 5507

Av. Halil Bakırcı profilini inceleyin →