Neden E-postalar Bu Kadar Kritik?

Bir şirketin e-posta sunucusuna bakıldığında genellikle şu tablo görülür: yıllarca birikmiş müşteri yazışmaları, aday özgeçmişleri, sözleşme müzakereleri, hastalık izni talepleri ve onlarca çalışanın kişisel iletişimi. KVKK'nın 4. maddesi uyarınca kişisel veriler yalnızca işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olarak saklanabilir. Bu demek oluyor ki 2019'da işten ayrılan bir çalışanın özgeçmişini ya da o tarihten bu yana müşteri olmayan birinin iletişim bilgilerini hâlâ sunucunuzda tutuyorsanız, ihlal içindesiniz.

Kişisel Verileri Koruma Kurumu'nun (KVKK) yayımladığı Kişisel Veri Saklama ve İmha Politikası Rehberi'ne göre veri sorumluları, her kategorideki kişisel veri için azami saklama süresi belirlemek ve bu süreyi aşan verileri periyodik imha döngüleriyle silmek zorundadır. E-posta arşivleri bu politikanın kapsamı dışında tutulamaz.

KVKK Madde 7: Tam Metin ve Pratik Yorumu

"Madde 7 — (1) Bu Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hâle getirilir."

Madde metnindeki "sebeplerin ortadan kalkması" ifadesi iş e-postaları özelinde şu üç durumu kapsar:

• Hizmet/sözleşme ilişkisinin sona ermesi: Müşteriyle yapılan sözleşmenin bitiş tarihinden itibaren mevzuatta öngörülen azami süre (ör. Türk Ticaret Kanunu md. 82 uyarınca ticari defterler için 10 yıl) geçince e-posta yazışmaları imha edilmelidir.
• İş başvurusunun sonuçlanması: İşe alınmayan adayın özgeçmişi ve yazışmaları, adayın onayı alınmamışsa değerlendirme sürecinin bitiminden sonra en geç 6 ay içinde silinmelidir (Kurul'un 2019/157 sayılı kararı bu süreyi örtülü biçimde teyit etmektedir).
• Çalışan ilişkisinin sona ermesi: Ayrılan çalışanın kurumsal e-posta kutusundaki yazışmalar, yasal saklama zorunluluğu olmayan kısımları itibarıyla makul bir süre içinde (genellikle 1–2 yıl) imha edilmelidir.

Saklama Süresi Tablosu: E-posta Kategorilerine Göre

Aşağıdaki tablo; Türk Ticaret Kanunu, İş Kanunu, Vergi Usul Kanunu ve KVKK rehber kararları çerçevesinde hazırlanmıştır. Yasal değişiklik durumunda güncellenmelidir.

"Silme" mi, "Yok Etme" mi, "Anonimleştirme" mi?

KVKK Yönetmeliği ve Kurul'un Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'i (RG: 28.10.2017/30224) bu üç yöntemi açıkça tanımlar:

• Silme: Verinin kullanıcılar tarafından hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesidir. E-posta bağlamında bu; yalnızca "Çöp Kutusu'na taşımak" değil, yedek sistemler dahil tüm kopyaların kaldırılmasını içerir. Microsoft Exchange ve Microsoft 365 ortamlarında bu, Litigation Hold ve Retention Policy ayarlarının dikkatli yapılandırılmasını gerektirir.
• Yok etme: Verinin teknik olarak kurtarılmasının imkânsız kılınmasıdır. Fiziksel medya söz konusu olduğunda NIST SP 800-88 standardı referans alınabilir; dijital ortamlarda ise kriptografik silme (cryptographic erasure) ya da çok-geçişli üzerine yazma yöntemleri kullanılır.
• Anonimleştirme: Verinin kimlik tespitine imkân vermeyecek şekilde değiştirilmesidir. E-postalarda bu pratikte son derece güçtür; çünkü gönderen adresi, IP başlıkları ve içerik bütünlüklü bir kimlik profili oluşturabilir. Bu nedenle e-posta arşivleri için silme ya da yok etme yöntemi tercih edilmelidir.

Microsoft 365 ve Google Workspace'te Uyumluluk Ayarları

Bulut tabanlı e-posta hizmetleri kullanan şirketler için teknik yapılandırma, KVKK uyumunun bel kemiğini oluşturur. Microsoft 365'te Microsoft Purview Compliance Portal üzerinden tanımlanan Retention Labels ve Retention Policies, belirli süreler sonunda e-postaların otomatik olarak silinmesini sağlar. Google Workspace'te ise Vault servisi üzerindeki Retention Rules aynı işlevi görür.

Ancak dikkat edilmesi gereken kritik nokta şudur: bu platformların varsayılan ayarları çoğunlukla sonsuza kadar sakla yönünde yapılandırılmıştır. BT ekipleri, saklama politikalarını KVKK gereksinimleriyle uyumlu biçimde elle tanımlamadığı sürece e-postalar silinmez. Connect365 gibi Microsoft 365 tabanlı kurumsal e-posta çözümleri, bu politikaların merkezi yönetimini mümkün kılarak uyum yükünü önemli ölçüde azaltır.

İhlal Durumunda Yaptırımlar

KVKK md. 18 uyarınca silme, yok etme veya anonimleştirme yükümlülüğünü yerine getirmeyen veri sorumluları idari para cezasıyla karşılaşabilir. 2024 yılında güncellenen ceza tavanları çerçevesinde bu cezalar ciddi tutarlara ulaşabilmektedir. Bunun ötesinde, Kurul'un şikâyet üzerine veya resen başlattığı incelemelerde e-posta arşivleri sıklıkla inceleme konusu yapılmaktadır. 2023–2025 döneminde Kurul'un kamuoyuna duyurduğu kararlarda sağlık, finans ve perakende sektörlerindeki şirketlere yönelik cezalar arasında e-posta saklama ihlalleri önemli bir yer tutmaktadır.

Öte yandan, Avrupa Birliği ile iş yapan şirketler için GDPR'ın 17. maddesi kapsamındaki "unutulma hakkı" talepleri de devreye girebilir. Bu durum, e-posta imha süreçlerinin yalnızca yerel mevzuatla değil, AB düzenlemeleriyle de uyumlu olmasını zorunlu kılar.

Adım Adım Uyum Planı

Aşağıdaki adımlar, e-posta arşiv yönetimini KVKK Madde 7 ile uyumlu hale getirmek için pratik bir yol haritası sunar:

1. Veri envanteri çıkarın: Hangi e-posta kategorilerinin kişisel veri içerdiğini ve hangi yasal dayanakla saklandığını belgeleyin (KVKK md. 16 kapsamındaki VERBİS kaydıyla da uyumlu olmalıdır).
2. Kategori bazlı saklama süreleri belirleyin: Yukarıdaki tabloyu kendi sektörünüze ve iş süreçlerinize göre uyarlayın; hukuk müşavirinizle onaylayın.
3. Teknik araçları yapılandırın: Microsoft Purview, Google Vault veya kullandığınız e-posta sisteminin saklama politikası modülünü etkinleştirin.
4. Periyodik imha döngüsü oluşturun: Yönetmelik, en geç 6 ayda bir periyodik imha yapılmasını şart koşar. Bu döngüyü otomatize edin.
5. Silme kayıtlarını tutun: Her imha işlemini tarih, kapsam ve yöntemiyle belgeleyin. Kurul denetiminde bu kayıtlar uyumu ispatlayan temel kanıttır.
6. Çalışanları eğitin: "Silmesem daha güvenli" algısını kırmak için farkındalık eğitimi verin.