Belge saklama süreleri ve imha süreci nasıl yönetilir?

Belge saklama süreleri, bir kurumun ürettiği ve aldığı her belge türünün yasal, sözleşmesel ve operasyonel gerekçelerle ne kadar süre saklanacağını ve bu süre dolduğunda belgeye ne olacağını belirleyen kurallardır. İyi tanımlanmış saklama süreleri, gereken belgenin gerektiği kadar korunmasını, süresi dolanın ise kontrollü biçimde imha edilmesini sağlar.

Pek çok kurumda saklama kuralı ya hiç yazılı değildir ya da yalnızca muhasebe belgeleri için düşünülmüştür. Sonuç tanıdıktır: Ne zaman atılabileceği bilinmeyen klasörlerle dolu depolar, yıllardır kimsenin açmadığı ama içinde kişisel veri barındıran dosyalar ve ihtiyaç anında bulunamayan kritik belgeler. Bu yazıda belge saklama sürelerinin neden önemli olduğunu, genel hukuki çerçeveyi, bir saklama ve imha politikasının nasıl hazırlanacağını ve belge imha sürecinin doküman yönetim sistemiyle nasıl otomatikleştirilebileceğini ele alıyoruz.

Belge saklama süreleri neden önemlidir?

Saklama süresi, bir belgenin yaşam döngüsünün son halkasıdır ve çoğu zaman en az ilgilenilen halkadır. Oysa iki yönlü bir risk barındırır:

• Erken imha riski: Saklanması gereken bir belge zamanından önce atılırsa denetimde, uyuşmazlıkta ya da bir talep karşısında kurum elinde kanıt bulunmayabilir.
• Gereğinden uzun saklama riski: Özellikle kişisel veri içeren belgeler, saklama amacı ortadan kalktıktan sonra tutulmaya devam ederse kişisel verilerin korunması mevzuatı açısından uyum riski doğar.

Bunlara bir de maliyet eklenir: Fiziksel arşiv alanı, depolama kapasitesi ve en önemlisi aranan belgeyi gereksiz belgeler arasında bulmak için harcanan zaman. Net bir saklama takvimi, arşivin sürekli büyümesini durdurur ve “bunu atabilir miyiz?” sorusunu kişisel yoruma bırakmaz.

Belge saklama sürelerinin hukuki çerçevesi nedir?

Türkiye’de belge saklama süreleri tek bir düzenlemeden değil, belgenin türüne göre farklı kanun ve yönetmeliklerden gelir. Genel çerçevede en sık başvurulan düzenlemeler şunlardır:

Bu tablo yalnızca genel bir çerçeve sunar. Sektöre ve belge türüne göre değişen süreler söz konusudur; kesin süreler hukuk danışmanınızla belirlenmelidir. Doküman yönetimi tarafındaki görev, hukuken belirlenen bu süreleri belge türlerine eksiksiz ve izlenebilir biçimde uygulamaktır.

Dikkat edilmesi gereken önemli bir nokta, aynı belgenin birden fazla düzenlemenin kapsamına girebilmesidir. Örneğin bir personel dosyası hem ticari kayıt niteliği taşıyabilir hem de yoğun biçimde kişisel veri içerir. Bu durumda saklama süresi belirlenirken tüm ilgili gerekçeler birlikte değerlendirilmelidir.

Saklama ve imha politikası nasıl hazırlanır?

Kişisel veri saklama ve imha politikası, kurumun hangi verileri hangi gerekçeyle ne kadar tutacağını ve süre sonunda ne yapacağını yazılı hale getiren belgedir. Aynı mantık, kişisel veri içermeyen belgeler için de bir saklama takvimi olarak uygulanabilir. Sağlam bir politika genellikle şu altı unsurdan oluşur:

1. Belge türleri envanteri

Kurumda üretilen ve alınan belge türlerini listeleyin: sözleşmeler, faturalar, personel dosyaları, müşteri başvuruları, teknik dokümanlar, yazışmalar. Her türün hangi birimde oluştuğunu, nerede tutulduğunu ve kişisel veri içerip içermediğini not edin.

2. Hukuki dayanak

Her belge türü için saklama gerekçesini yazın: ilgili kanun maddesi, sözleşme yükümlülüğü ya da meşru bir operasyonel ihtiyaç. Gerekçesi yazılamayan saklama, sorgulanmaya açıktır.

3. Saklama süresi

Dayanağa göre saklama süresini ve sürenin hangi olayla başlayacağını (örneğin belge tarihi, sözleşmenin sona ermesi, çalışanın ayrılması) netleştirin. Başlangıç olayı belirsiz bırakılırsa süreyi otomatik hesaplamak mümkün olmaz.

4. Süre sonunda yapılacak işlem

Süre dolduğunda belgenin silinip silinmeyeceğini, yok edilip edilmeyeceğini, anonim hale getirilip getirilmeyeceğini ya da süresinin gerekçeli olarak uzatılıp uzatılmayacağını belirleyin.

5. Sorumlu

Her belge türü için imha kararını onaylayacak ve uygulayacak rolü atayın. Sorumluluğun kişiye değil role bağlanması, çalışan değişikliklerinde sürecin kesintiye uğramasını önler.

6. Kayıt

Hangi belgenin ne zaman, kimin onayıyla ve hangi yöntemle imha edildiğini kayıt altına alın. Bu kayıt, imhanın kurallara uygun yapıldığını gösteren temel kanıttır.

Politikayı hazırlarken yalnızca hukuk ve bilgi işlem birimleriyle sınırlı kalmayın. İnsan kaynakları, finans, satın alma ve teknik birimler, kendi belgelerinin hangi durumlarda yeniden açıldığını en iyi bilen ekiplerdir. Onların katkısıyla hazırlanan bir saklama takvimi hem gerçekçi olur hem de sahada sahiplenilir. Taslak politikayı küçük bir belge türü grubunda deneyip ardından tüm kuruma yaymak da uygulamadaki boşlukları erken görmeyi sağlar.

Belge imha süreci nasıl işler?

Kişisel veriler açısından yönetmelik üç yöntemden söz eder. Genel hatlarıyla:

• Silme: Verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesidir.
• Yok etme: Verinin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesidir; fiziksel belgelerde bu, belgenin kalıcı olarak ortadan kaldırılması anlamına gelir.
• Anonim hale getirme: Verinin başka verilerle eşleştirilse dahi belirli bir kişiyle ilişkilendirilemeyecek hale getirilmesidir. Belge saklanmaya devam edebilir, ancak artık kişisel veri içermez.

Hangi yöntemin seçileceği belge türüne, saklama ortamına ve kurumun politikasına bağlıdır. Uygulamada belge imha süreci genellikle şu sırayı izler:

1. Saklama süresi dolan belgeler belirlenir.
2. Liste, ilgili birim ve gerekiyorsa hukuk tarafından gözden geçirilir; devam eden bir uyuşmazlık ya da denetim nedeniyle saklanması gerekenler ayrılır.
3. Sorumlu rol imhayı onaylar.
4. Belirlenen yöntemle silme, yok etme veya anonim hale getirme uygulanır.
5. İşlem tarih, yöntem ve onaylayanla birlikte kayıt altına alınır.

Periyodik imha, bu döngünün belirli aralıklarla düzenli olarak tekrarlanmasıdır. Yönetmeliğe göre bu aralık 6 ayı geçemez. Elle yürütülen süreçlerde en sık aksayan adım da budur: Takvim unutulur, liste hazırlanmaz ve süresi dolmuş belgeler birikmeye devam eder.

Saklama ve imha süreçlerinde sık yapılan hatalar nelerdir?

• Tek bir süreyi her belgeye uygulamak: “Her şeyi 10 yıl saklayalım” yaklaşımı basit görünür, ancak kişisel veri içeren ve daha kısa süre tutulması gereken belgeler açısından risk doğurur.
• Yalnızca kâğıt belgeleri düşünmek: E-posta ekleri, ortak klasörlerdeki kopyalar ve yedeklerdeki belgeler de politikanın kapsamındadır. Asıl imha edilip kopyası bir ağ sürücüsünde kalırsa imha gerçekleşmiş sayılmaz.
• Başlangıç olayını tanımlamamak: Sürenin belge tarihinden mi, sözleşmenin bitişinden mi başlayacağı belirsizse hiçbir belge için doğru imha tarihi hesaplanamaz.
• İmhayı kayıt altına almamak: Kurallara uygun yapılmış ama belgelenmemiş bir imha, gerektiğinde gösterilemez.
• Politikayı bir kez yazıp bırakmak: Yeni belge türleri, yeni süreçler ve değişen düzenlemeler politikanın düzenli olarak gözden geçirilmesini gerektirir.

Bu hataların ortak kökü, politikanın belgelerle bağlantısız bir doküman olarak kalmasıdır. Kural belgeye bağlanmadıkça uygulanması tesadüfe kalır.

Doküman yönetim sistemi saklama ve imhayı nasıl otomatikleştirir?

Saklama ve imha politikası kâğıt üzerinde kaldığı sürece uygulanması kişilerin dikkatine bağlıdır. Bir doküman yönetim sistemi ise politikayı belge türlerine bağlı kurallara dönüştürebilir. M-Files bu noktada şu şekilde çalışır:

• Üst veriye bağlı kurallar: Belgeler belge türü, müşteri, tarih gibi üst veriyle sınıflandırıldığı için saklama kuralı belge türüne tanımlanır ve o türdeki her belgeye otomatik uygulanır.
• Saklama kuralları ve imha: Süresi dolan belgeler belirlenir ve imha için tanımlı süreç başlatılır.
• İş akışı ve onay: İmha listesi sorumlu role görev olarak atanır, hatırlatmalarla takip edilir ve onaylanmadan işlem yapılmaz.
• Yetkiler: Kişisel veri içeren belgelere erişim, rol ve belge özelliklerine göre sınırlanır.
• Denetim izi: Belge üzerindeki her işlem kayıt altına alındığından imhanın kim tarafından, ne zaman yapıldığı izlenebilir.

Bu yapı, KVKK uyum süreçleriyle birlikte ele alındığında daha da anlam kazanır. Kişisel veri envanteri, aydınlatma ve başvuru süreçleri için KVKK uyum yönetimi sayfamıza, belgelerin merkezi ve aranabilir bir arşivde toplanması için ise belge yönetimi ve elektronik arşiv çözümümüze göz atabilirsiniz.

Saklama kurallarının işleyebilmesi için önce belgelerin tek bir merkezde ve doğru sınıflandırılmış olması gerekir. Opet’te muhasebedeki sözleşme ve evrak süreçleri M-Files ile dijitalleşerek merkezi bir arşivde, yetki bazlı erişimle toplandı; Opet başarı hikâyesi bu temelin nasıl kurulduğunu anlatıyor.

Sık sorulan sorular

Belge saklama süreleri her belge için aynı mı?

Hayır. Ticari defter ve belgeler için genel çerçeve 10 yıl, vergi mevzuatı kapsamındaki belgeler için 5 yıldır; kişisel veri içeren belgelerde ayrıca KVKK ve ilgili yönetmelik dikkate alınır.

Kişisel veri saklama ve imha politikası neden gereklidir?

Politika, kişisel verilerin hangi gerekçeyle ne kadar tutulacağını ve süre sonunda nasıl imha edileceğini yazılı hale getirir. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik bu politikayı ve periyodik imhayı düzenler.

Periyodik imha ne sıklıkla yapılmalı?

Yönetmeliğe göre periyodik imha aralığı 6 ayı geçemez. Kurumlar bu sınır içinde kendi takvimlerini politikalarında belirler.

Silme ile anonim hale getirme arasındaki fark nedir?

Silmede veri ilgili kullanıcılar için erişilemez ve kullanılamaz hale gelir. Anonim hale getirmede ise kayıt kalabilir, ancak artık belirli bir kişiyle ilişkilendirilemez.

Doküman yönetim sistemi imha kararını kendisi verir mi?

Kararın dayanağı kurumun politikasıdır. Sistem süresi dolan belgeleri belirler, onay akışını yürütür ve işlemi kayıt altına alır; böylece politika tutarlı biçimde uygulanır.

Saklama takviminizi belge türlerine bağlı, izlenebilir bir sürece dönüştürmek istiyorsanız mevcut yapınızı birlikte değerlendirelim: MechSoft ile iletişime geçin.

İlgili yazılar: Elektronik arşiv nedir? Kâğıt arşivi dijitalleştirme rehberi · DYS ve EBYS farkı nedir? DYS, EBYS ve ECM karşılaştırması · KVKK, İYS ve Kurumsal Veri Yönetimi: Uyumun Yeni Anlamı · Bilgi Güvenliği ve Temel Unsurları