kvkk·
2 Temmuz 2026
E-posta Arşivleme Zorunluluğu: Hangi Sektörler?
Finans, sağlık, hukuk ve kamu sektörlerinde e-posta arşivleme artık yasal zorunluluk. Hangi mevzuat hangi sektörü kapsıyor, saklama süreleri ne kadar?
Finans, sağlık, hukuk ve kamu sektörlerinde e-posta arşivleme artık yasal zorunluluk. Hangi mevzuat hangi sektörü kapsıyor, saklama süreleri ne kadar?
Türkiye'de e-posta arşivleme artık yalnızca iyi bir uygulama değil; finans, sağlık, hukuk ve kamu sektörlerinde doğrudan yasal yükümlülük. Hangi mevzuat hangi sektörü bağlıyor, saklama süreleri nasıl belirleniyor ve uyumsuzluğun bedeli ne?
Kurumsal iletişimin büyük çoğunluğu e-posta üzerinden yürütülmektedir. Gartner'ın 2024 raporuna göre bir çalışan günde ortalama 121 iş e-postası alıp göndermektedir. Bu hacim, hukuki uyuşmazlıklarda delil, denetim süreçlerinde belge ve veri ihlali soruşturmalarında iz kaynağı anlamına gelir. RFC 5321 ve RFC 5322 standartları e-postanın teknik yapısını tanımlarken, Türk mevzuatı belirli sektörlerde bu iletişimin ne kadar süre, hangi biçimde ve kimin erişimiyle saklanacağını düzenlemektedir.
E-posta arşivleme; basit yedeklemeden farklıdır. Arşivleme; değiştirilemez (immutable), aranabilir, zaman damgalı ve bütünlük korumalı saklama anlamına gelir. Microsoft'un resmi teknik belgelerine göre Exchange Online'daki "In-Place Hold" ve "Litigation Hold" özellikleri tam da bu amaca hizmet eder: kullanıcı silse bile e-posta korunur ve eDiscovery süreçlerine hazır tutulur.
Kişisel Verilerin Korunması Kanunu'nun 7. maddesi, kişisel veri içeren kayıtların işleme amacı ortadan kalktığında silinmesini veya anonimleştirilmesini öngörür. Ancak aynı madde, "ilgili mevzuatta öngörülen saklama sürelerine uyulması" gerektiğini de açıkça ifade eder. Bu çift yönlü yükümlülük, e-posta arşivleme politikasını zorunlu kılar: hem gereğinden uzun tutmamak hem de mevzuatın gerektirdiği süre boyunca silmemek.
Kişisel Verileri Koruma Kurulu'nun rehber kararlarında, müşteri iletişim e-postalarının en az 3 yıl saklanması tavsiye edilmektedir; ticari ilişki devam ettiği sürece bu süre uzayabilir.
TTK'nın 82. maddesi uyarınca tacirler, ticari defterler ve yazışmalar dahil tüm ticari belgeleri 10 yıl saklamakla yükümlüdür. Yargıtay'ın yerleşik içtihadına göre e-posta, TTK kapsamında "ticari yazışma" niteliği taşır; dolayısıyla standart ofis yazışmaları için bile 10 yıllık saklama zorunluluğu söz konusudur.
| Sektör | Dayanak Mevzuat | Asgari Saklama Süresi | Denetleyici Kurum |
|---|---|---|---|
| Bankacılık | 5411 Sayılı Bankacılık Kanunu, BDDK Yönetmeliği | 10 yıl | BDDK |
| Sermaye Piyasaları & Aracı Kurumlar | 6362 Sayılı SPKn, SPK Tebliğleri | 10 yıl | SPK |
| Sigorta & Reasürans | 5684 Sayılı Sigortacılık Kanunu | 10 yıl | SEDDK |
| Sağlık | Sağlık Bakanlığı Hasta Hakları Yönetmeliği, Tıbbi Kayıt Tebliği | 20 yıl (hasta kayıt içeren) | Sağlık Bakanlığı |
| Hukuk Büroları & Noterler | 1136 Sayılı Avukatlık Kanunu, TTK m.82 | 10 yıl | TBB, Adalet Bakanlığı |
| Kamu Kurumları | 3473 Sayılı Muhafaza Müddetleri Kanunu, Devlet Arşivleri Yönetmeliği | 5–25 yıl (belge türüne göre) | Cumhurbaşkanlığı Devlet Arşivleri Başkanlığı |
| Enerji & Elektrik Dağıtım | EPDK Lisans Yönetmelikleri | 5–10 yıl | EPDK |
| Telekomünikasyon | 5651 Sayılı Kanun, BTK Yönetmelikleri | 2 yıl (trafik verisi) | BTK |
BDDK'nın 2019 tarihli Bankalarda Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmeliği'nin 52. maddesi, bankaların tüm elektronik iletişim kayıtlarını en az 10 yıl erişilebilir biçimde saklamasını zorunlu kılar. SPK'nın III-45.1 Tebliği ise aracı kurumlara müşteri emir ve talimatlarına ilişkin yazışmaları aynı süre boyunca arşivleme yükümlülüğü getirir. Bu kapsamda e-posta arşivi; salt bir IT meselesi değil, doğrudan uyumluluk (compliance) denetiminin konusudur.
FATF (Mali Eylem Görev Gücü) standartlarına paralel olarak hazırlanan 5549 Sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun da finansal kurumlara müşteri iletişim kayıtlarını 8 yıl saklama zorunluluğu getirmektedir; BDDK yükümlülüğü daha uzun olduğundan pratikte belirleyici olan 10 yıllık süredir.
KVKK'nın 6. maddesi uyarınca sağlık verileri "özel nitelikli kişisel veri" kategorisindedir ve işlenmesi için açık rıza ya da yasal dayanak şarttır. Sağlık Bakanlığı'nın 2015 tarihli Kişisel Sağlık Verileri Hakkında Yönetmeliği, hasta iletişim kayıtlarının 20 yıl saklanmasını öngörür. Bu durum, hastaneler ve klinikler için e-posta arşivlemeyi hem en uzun süreli hem de en hassas hale getiren sektörel gerekliliktir.
Sağlık verisi içeren e-postaların arşivinde şifreleme zorunludur. ISO/IEC 27001:2022 standardının Ek A madde 8.12'si veri maskeleme ve erişim denetimini açıkça düzenler; Türkiye'deki akredite sağlık kurumlarının büyük çoğunluğu bu standart kapsamında denetlenmektedir.
3473 Sayılı Muhafaza Müddetleri Mütecaviz Arşiv Malzemesi ile Devlet Arşivlerinde Saklanan Arşiv Malzemesinin İmha Edilmesi Hakkında Kanun, kamu kurumlarının hangi belgeleri ne kadar saklayacağını tasnif etmektedir. Cumhurbaşkanlığı Devlet Arşivleri Başkanlığı'nın 2023'te yayımladığı genelgeler, e-postanın elektronik belge statüsünde değerlendirileceğini ve standart saklama tablolarına tabi olduğunu teyit etmektedir. Buna göre idari yazışmalar 5 yıl, stratejik kararlar ve proje yazışmaları 20 yıl, kalıcı nitelikteki belgeler ise süresiz korunur.
KVKK kapsamındaki idari para cezaları 2026 yılı için yeniden değerleme katsayısıyla güncellenmiştir; veri güvenliği ihlallerinde üst sınır 7,5 milyon TL'ye ulaşmaktadır. BDDK, bankacılık mevzuatı ihlallerinde kurum başına uyarıdan faaliyet izninin iptaline uzanan bir yaptırım yelpazesine sahiptir. SPK ise Sermaye Piyasası Kanunu'nun 103. maddesi uyarınca kayıt saklama yükümlülüklerini ihlal eden aracı kurumlara idari para cezası uygulayabilmektedir.
"E-posta arşivleme politikası olmayan bir kurumun denetimde veya hukuki uyuşmazlıkta delil üretebilme kapasitesi yoktur; bu durum tek başına ciddi bir kurumsal risk oluşturur." — Bilgi Teknolojileri ve İletişim Kurumu (BTK) Siber Güvenlik Rehberi, 2023
Microsoft 365 Business Premium ve Enterprise planları, Türkiye veri merkezi (Azure Turkey North) seçeneğiyle birlikte gelen yerleşik arşivleme özellikleri sunar. Microsoft Purview Uyumluluk Merkezi üzerinden saklama politikaları, dava tutma (Litigation Hold) ve otomatik etiketleme yapılandırılabilir. Connect365 olarak müşterilerimize sektörel yükümlülüklere göre uyarlanmış saklama politikaları kurgulamalarında teknik destek sağlıyoruz.
TTK'nın 82. maddesi uyarınca tacir sıfatı taşıyan tüm şirketlerin ticari yazışmalarını — e-postalar dahil — 10 yıl saklaması gerekmektedir. Finans, sağlık ve kamu gibi sektörlerde ek mevzuat daha uzun süreler ve daha katı teknik gereklilikler öngörmektedir. Dolayısıyla yasal bir zorunluluk, sektörden bağımsız olarak fiilen tüm şirketleri kapsamaktadır.
Doğru yapılandırılmış bir arşiv sisteminde evet. Microsoft 365'teki Litigation Hold veya Barracuda gibi üçüncü taraf arşiv çözümleri, kullanıcı posta kutusundan silinen e-postaları bağımsız bir arşivde korumaya devam eder. Bu özellik özellikle BDDK ve SPK denetimlerinde kritik öneme sahiptir.
Yedekleme, sistemi olası bir arızadan kurtarmak için anlık bir kopya almaktır; üzerine yazılabilir ve belirli aralıklarla güncellenir. Arşivleme ise değiştirilemez (WORM), aranabilir ve zaman damgalı uzun süreli saklamadır. Hukuki süreçlerde ve denetimlerde kabul edilen delil niteliği taşıyan yalnızca arşivdir; yedek dosyalar bu standardı karşılamaz.
Microsoft Purview'un sunduğu saklama politikaları ve Litigation Hold özellikleri, doğru yapılandırıldığında KVKK, TTK ve BDDK gerekliliklerinin büyük bölümünü karşılar. Ancak bazı büyük banka ve SPK lisanslı kurumlar için yerel veri merkezi gereksinimi ve özel denetim raporlama ihtiyaçları nedeniyle Barracuda veya Mimecast gibi hibrit çözümler tercih edilebilmektedir.
Microsoft 365 Exchange Online Archiving eklentisi kullanıcı başına aylık yaklaşık 3–4 USD düzeyindedir (Son güncelleme: Haziran 2026; kur değişkendir, güncel TL karşılığı için teklifimize başvurunuz). Kurumsal arşiv çözümlerinde lisans, depolama kapasitesi ve yerel veri merkezi tercihi maliyeti doğrudan etkiler; ihtiyaca özel fiyatlandırma için Connect365 ekibiyle iletişime geçmenizi öneririz.
TTK'nın 82. maddesi uyarınca tacir sıfatı taşıyan tüm şirketlerin ticari yazışmalarını — e-postalar dahil — 10 yıl saklaması gerekmektedir. Finans, sağlık ve kamu gibi sektörlerde ek mevzuat daha uzun süreler ve daha katı teknik gereklilikler öngörmektedir.
Doğru yapılandırılmış bir arşiv sisteminde evet. Microsoft 365'teki Litigation Hold veya Barracuda gibi üçüncü taraf arşiv çözümleri, kullanıcı posta kutusundan silinen e-postaları bağımsız bir arşivde korumaya devam eder.
Yedekleme, sistemi olası bir arızadan kurtarmak için anlık bir kopya almaktır. Arşivleme ise değiştirilemez (WORM), aranabilir ve zaman damgalı uzun süreli saklamadır. Hukuki süreçlerde ve denetimlerde kabul edilen delil niteliği taşıyan yalnızca arşivdir.
Microsoft Purview'un sunduğu saklama politikaları ve Litigation Hold özellikleri, doğru yapılandırıldığında KVKK, TTK ve BDDK gerekliliklerinin büyük bölümünü karşılar. Ancak bazı kurumlar için yerel veri merkezi gereksinimi nedeniyle hibrit çözümler tercih edilebilmektedir.
Microsoft 365 Exchange Online Archiving eklentisi kullanıcı başına aylık yaklaşık 3–4 USD düzeyindedir (Son güncelleme: Haziran 2026; kur değişkendir). Kurumsal çözümlerde lisans, depolama kapasitesi ve yerel veri merkezi tercihi maliyeti doğrudan etkiler.
Reklamsız, KVKK uyumlu; kurulum ve geçiş ücretsiz, mailleri biz taşırız.
Kurulum + migrasyon ücretsiz. KVKK uyumlu, Türkiye'de barındırma. 7/24 Türkçe destek.
Kampanya 30 Haziran'a kadar geçerlidir.