Doküman saklama politikası: neyi ne kadar tutmalı?

Kurumsal belgelerin ne kadar süreyle saklanacağı, iki farklı baskı arasında sıkışan bir sorudur. Bir yanda hukuki zorunluluk ve olası uyuşmazlıklarda ispat ihtiyacı, diğer yanda kişisel verinin gereğinden uzun tutulmaması yükümlülüğü.

"Her ihtimale karşı hepsini saklayalım" yaklaşımı artık savunulabilir değil.

İki soru, iki farklı cevap

Saklama politikası yazarken her belge türü için iki soru sorulur:

Ne kadar süre saklamak zorundayım? Bu, mevzuattan gelen bir asgari süredir. Ne kadar süre saklayabilirim? Bu, kişisel veri mevzuatından gelen bir azami sınırdır.

İkisi arasındaki aralık, şirketin karar alanıdır. Aralık dışına çıkmak — asgarinin altında ya da azaminin üstünde — her iki yönde de risk üretir.

Kategori bazında düşünün

Politikayı belge belge yazmak sürdürülemez; kategori bazında yazmak gerekir:

• Özlük dosyaları: iş sözleşmesi, kimlik belgeleri, diploma, sağlık raporu
• Bordro ve mali kayıtlar: ücret bordroları, SGK bildirgeleri
• Performans kayıtları: değerlendirmeler, hedefler, disiplin belgeleri
• İşe alım kayıtları: başvurular, mülakat notları, referans kontrolleri
• Eğitim kayıtları: katılım belgeleri, sınav sonuçları
• İSG kayıtları: eğitim belgeleri, kaza raporları, risk değerlendirmeleri
• Kurumsal içerik: duyurular, prosedürler, sunumlar

Her kategori için saklama süresi, sürenin başlangıcı (belge tarihi mi, iş ilişkisinin bitişi mi) ve süre sonunda yapılacak işlem (silme mi, anonimleştirme mi) yazılmalıdır.

Aday verileri sık atlanır

İşe alınmayan adayların özgeçmişleri, en çok unutulan kategoridir. Yıllarca saklanan başvuru dosyaları, hem gereksiz bir veri yığını hem de bir uyum riskidir.

Doğru yaklaşım, başvuru sırasında saklama süresi hakkında bilgilendirme yapmak ve süre sonunda otomatik silmektir. Yetenek havuzunda tutulacaksa, bunun için ayrıca açık rıza alınmalıdır.

Silme mi, anonimleştirme mi?

Bazı veriler istatistik ve analiz için değerlidir ama kişiye bağlı olmaları gerekmez. Devir oranı analizinde, ayrılan çalışanın adı gerekmez; departmanı, kıdemi ve ayrılma sebebi yeterlidir.

Anonimleştirme, veriyi geri döndürülemez biçimde kişiden koparır ve bu işlemden sonra veri kişisel veri olmaktan çıkar. Analitik ihtiyacı ile saklama sınırını uzlaştırmanın en temiz yoludur.

Anonimleştirmenin gerçekten geri döndürülemez olması şarttır: adı silip sicil numarasını bırakmak anonimleştirme değildir.

Sürüm yönetimi

Aynı belgenin farklı sürümlerinin dolaşımda olması, saklama politikasından bağımsız ama onunla ilişkili bir sorundur.

Sürüm takibi olan bir doküman sisteminde, güncel sürüm nettir ve eski sürümler geçmiş olarak erişilebilir kalır. Bu, hem operasyonel bir kolaylık hem de bir uyum gerekliliğidir: hangi tarihte hangi prosedürün geçerli olduğu ispatlanabilmelidir.

Ayrıntısını doküman yönetimi ve sürüm takibi yazısında ele aldık.

Politikayı uygulanabilir kılın

En sık görülen sorun, saklama politikasının yazılıp uygulanmamasıdır. Belge bir klasörde durur, kimse okumaz, silme işlemi hiç yapılmaz.

Uygulanabilir bir politika üç şey gerektirir:

Her kategorinin bir sahibi. Silme kararını kim verecek? Otomatik hatırlatma. Süresi dolan belgeler için uyarı üretilmeli. Kayıt. Ne zaman ne silindiği kayıt altına alınmalı; silme işleminin kendisi de bir uyum kanıtıdır.

Üçüncüsü özellikle önemlidir: bir denetimde "sildik" demek yetmez, sildiğinizi göstermeniz gerekir.

Yedekler ayrı bir konu

Bir belgenin silinmesi, yedeklerden de silindiği anlamına gelmez. Yedek sistemleri genellikle belirli bir döngüyle çalışır ve geriye dönük kayıtlar bir süre daha kalır.

Bu, teknik bir gerçekliktir ve gizlenmesi değil şeffaf biçimde belirtilmesi doğrudur: "veri sistemden hemen, yedeklerden en geç şu sürede silinir".

Yılda bir gözden geçirin

Mevzuat değişir, süreçler değişir, yeni belge türleri ortaya çıkar. Yılda bir yapılacak kısa bir gözden geçirme, politikanın gerçeklikle bağını korur.

Gözden geçirmede sorulacak üç soru: yeni bir belge türü oluştu mu, sürelerden biri değişti mi, geçen yıl planlanan silmeler yapıldı mı?

Bu yazı bilgilendirme amaçlıdır, hukuki görüş niteliği taşımaz.

Erişim ile saklamayı ayırın

Bir belgenin saklanması, herkesin ona erişebilmesi anlamına gelmez. Saklama süresi bir uyum meselesidir; erişim ise bir yetki meselesi.

Arşivlenmiş belgeler günlük akıştan çıkarılmalı ama silinmemelidir. Arama sonuçlarında arşiv içeriğinin ayrı bir bölümde ya da açık bir işaretle görünmesi, güncel belgeyle karıştırılmasını önler.

Bu ayrım yapılmadığında, üç yıl önce yürürlükten kalkmış bir prosedür arama sonuçlarının üstünde çıkar ve çalışan iyi niyetle yanlış işlem yapar.

Kâğıt arşiv de politikaya dahil

Birçok şirkette özlük dosyalarının bir kısmı hâlâ fiziksel. Saklama politikası yalnızca dijitali kapsıyorsa yarım kalır.

Fiziksel arşiv için de aynı sorular geçerlidir: nerede saklanıyor, kim erişebiliyor, ne zaman imha edilecek, imha nasıl belgeleniyor? Kilitli bir dolabın anahtarının kimde olduğu, dijital yetki modeli kadar önemlidir.

Dijitalleştirme yapılıyorsa, aslın imha edilip edilmeyeceği ayrı bir karardır ve bazı belge türlerinde asıl nüsha zorunludur.

Yasal saklama emri

Bir uyuşmazlık ya da soruşturma söz konusu olduğunda, ilgili belgelerin normal saklama süresi dolsa bile silinmemesi gerekebilir.

Bu durumda otomatik silme kurallarının askıya alınabilmesi gerekir. Otomasyonun bu istisnayı desteklememesi, iyi niyetle kurulan bir kuralın delil karartmaya dönüşmesine yol açabilir.

Politikayı çalışana da anlatın

Saklama politikası yalnızca İK'nın bilmesi gereken bir belge değildir. Çalışanın kendi verisinin ne kadar süreyle saklanacağını bilmesi, aydınlatma yükümlülüğünün bir parçasıdır.

Bu bilginin kısa ve anlaşılır bir özetinin çalışanın erişebileceği bir yerde durması, hem uyum hem güven açısından değerlidir.

Saklama politikasının çalışana bakan yüzü aydınlatma metnidir: hangi verinin hangi amaçla ne kadar süre işlendiği orada anlatılır. Sürüm takibi ve başvuru yönetimini KVKK aydınlatma metni ve başvuru takibi yazısında ele aldık.