KVKK E-posta Arşivleme Rehberi (Saklama, Erişim, İmha)

KVKK e-posta arşivleme konusunda bilinmesi gereken ilk şey, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun e-postaların arşivlenmesini doğrudan zorunlu kılmadığıdır. Ancak bir arşiv tutuyorsanız içindeki kişisel veriler Kanun'un ilkelerine tabidir: belirli bir amaç, tanımlı bir saklama süresi, süre dolunca imha, yetkiyle sınırlı erişim, şifreleme ve erişimlerin kayıt altına alınması gerekir.

Arşivlemenin temel kavramlarını merak ediyorsanız önce e-posta arşivleme nedir yazımıza göz atabilirsiniz.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Kurumunuza özgü saklama süreleri ve hukuki dayanaklar için bir avukata veya KVKK danışmanınıza başvurun.

E-postalarda hangi kişisel veriler bulunur?

Bir e-posta arşivi, çoğu kurumda en büyük ve en dağınık kişisel veri deposudur. Tek bir iletide bile birçok veri kategorisi bir arada bulunabilir:

• Gönderen ve alıcıların adları, e-posta adresleri, unvanları ve imza bloklarındaki telefon numaraları
• Başlık bilgilerindeki IP adresleri ve istemci bilgileri
• Ek olarak gönderilen özgeçmişler, kimlik fotokopileri, faturalar, sözleşmeler ve banka bilgileri
• Sağlık raporları gibi özel nitelikli kişisel veriler
• Müşteri şikâyetleri, teklif yazışmaları ve iç yazışmalardaki değerlendirmeler

Bu çeşitlilik, arşivin "her şeyi sonsuza kadar sakla" yaklaşımıyla yönetilemeyeceğini gösterir. Veri minimizasyonu ve saklama sınırlaması ilkeleri tam da bu noktada devreye girer.

KVKK'nın genel ilkeleri arşive nasıl uygulanır?

Kanun'un 4. maddesindeki genel ilkeler, e-posta arşivi için somut tasarım kararlarına dönüşür:

Arşivleme faaliyeti ayrıca Kanun'un 5. maddesindeki işleme şartlarından birine dayanmalıdır. Arşivleme için gündeme gelebilecek dayanaklar arasında kanunlarda açıkça öngörülme, veri sorumlusunun hukuki yükümlülüğü, bir hakkın tesisi, kullanılması veya korunması ve meşru menfaat sayılabilir. Özel nitelikli veriler için 6. maddedeki şartlar ayrıca değerlendirilmelidir. Hangi dayanağın uygun olduğu, arşivin amacına göre hukuk ekibinizle birlikte belirlenmelidir.

Saklama süresi ve imha politikası nasıl belirlenir?

KVKK, e-postalar için tek bir saklama süresi belirlemez; süreyi ilgili mevzuat ve işleme amacı belirler. Örneğin 6102 sayılı Türk Ticaret Kanunu'nun 82. maddesi, alınan ticari mektuplar ve gönderilen ticari mektupların suretleri dahil belirli belgelerin genel olarak on yıl saklanmasını öngörür; süre, yazışmanın yapıldığı takvim yılının sonundan itibaren işler. Ticari nitelikteki e-postaların bu kapsamda nasıl değerlendirileceğini hukuk danışmanınızla netleştirin. Vergi, iş ve sektörel mevzuat da farklı süreler öngörebilir.

Süresi dolan veriler için Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik şu kuralları getirir:

• Veri Sorumluları Siciline (VERBİS) kayıt yükümlüsü olan veri sorumluları, kişisel veri saklama ve imha politikası hazırlamakla yükümlüdür.
• Periyodik imha aralığı politikada belirlenir ve altı ayı geçemez.
• Silme, yok etme ve anonim hale getirme işlemleri kayıt altına alınır; bu kayıtlar, diğer hukuki yükümlülükler hariç, en az üç yıl saklanır.

VERBİS kayıt yükümlülüğü; Kurul kararlarıyla belirlenen çalışan sayısı, yıllık mali bilanço toplamı ve faaliyet alanı gibi ölçütlere bağlıdır. Güncel eşikleri Kişisel Verileri Koruma Kurumu sitesinden, Yönetmeliğin metnini ise Kurum'un yönetmelik sayfasından kontrol edin.

İyi bir arşiv politikası e-postaları kategorilere ayırır: sözleşme ve sipariş yazışmaları, insan kaynakları yazışmaları, müşteri destek yazışmaları ve genel yazışmalar gibi. Her kategori için saklama süresi, gerekçesi ve imha yöntemi yazılır. Bir dava veya inceleme beklendiğinde ilgili kayıtlar için imhanın askıya alınması (hukuki bekletme) da politikada tanımlanmalıdır.

Yedekleri unutmayın: arşivden silinen bir ileti yıllarca saklanan bir yedekte yaşamaya devam ediyorsa imha tamamlanmış sayılmaz. Yedeklerin de belirli döngülerle eskiyip yok edildiğinden emin olun.

Erişim kontrolü ve kayıt nasıl kurgulanmalı?

Kanun'un 12. maddesi, veri sorumlusundan kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için uygun güvenlik düzeyini sağlayan teknik ve idari tedbirleri almasını ister. Kurum'un yayımladığı Kişisel Veri Güvenliği Rehberi de yetki matrisi, erişim kayıtları, kullanıcı hesap yönetimi, şifreleme ve yedekleme gibi tedbirleri ele alır. E-posta arşivinde bu, şu anlama gelir:

• En az yetki: Arşivde arama yetkisi yalnızca görevi gereği ihtiyaç duyan sınırlı sayıda kişide olmalıdır.
• Rol ayrımı: Arama yapma, dışa aktarma ve saklama politikasını değiştirme yetkileri farklı rollere verilmelidir.
• Güçlü kimlik doğrulama: Arşive erişen tüm hesaplarda iki adımlı doğrulama açık olmalıdır.
• Erişim kaydı: Kimin, ne zaman, hangi ifadeyle arama yaptığı ve hangi iletiyi dışa aktardığı değiştirilemez biçimde kaydedilmelidir.
• Hassas aramalarda çift onay: Çalışan incelemesi gibi aramalar için ikinci bir yetkilinin onayı aranabilir.

Çalışanların kurumsal e-postalarının incelenmesi; aydınlatma, ölçülülük ve özel hayatın gizliliği açısından ayrıca değerlendirilmesi gereken hassas bir konudur. Bu tür aramaları yazılı bir prosedüre bağlamak, hem hukuki riski hem de kurum içi güven sorunlarını azaltır.

Şifreleme ve ihlal durumunda yapılacaklar

Arşivdeki iletiler hem aktarım sırasında hem de depolamada şifrelenmelidir. Aktarım katmanı için e-posta şifreleme ve TLS yazımız ayrıntılı bilgi verir. Depolamada ise şifreleme anahtarlarının veriden ayrı yönetilmesi ve anahtarlara erişimin de kayıt altında tutulması önemlidir. Örneğin MXZilla'in e-posta arşivi şifreli olarak saklanır, saklama süresi ayarlanabilir ve tam metin arama sunar; panelde yapılan işlemler ayrıntılı etkinlik günlüğüne yazılır.

Arşive yetkisiz erişim bir kişisel veri ihlali olabilir. Kanun'un 12. maddesi, işlenen verilerin kanuni olmayan yollarla başkalarınca elde edilmesi halinde durumun en kısa sürede ilgilisine ve Kurul'a bildirilmesini öngörür. Kurul, 2019/10 sayılı kararında Kurul'a bildirim için bu süreyi, ihlalin öğrenilmesinden itibaren 72 saat olarak yorumlamıştır. Bu nedenle erişim kayıtları, bir ihlalin kapsamını hızla belirlemenize yetecek ayrıntıda olmalıdır.

İlgili kişi talepleri arşivde nasıl karşılanır?

Kanun'un 11. maddesi kişilere; verilerinin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltme, silme veya yok edilmesini isteme gibi haklar tanır. Veri sorumlusu başvuruyu en kısa sürede ve en geç otuz gün içinde sonuçlandırmalıdır.

Tam metin arama yapılabilen bir arşiv bu taleplere yanıt vermeyi kolaylaştırır; kişinin adı ve e-posta adresiyle ilgili iletiler hızla bulunur. Silme talebinde ise dikkatli olun. Verinin saklanmasını gerektiren bir hukuki yükümlülük varsa talep gerekçesiyle reddedilebilir; yoksa veriler silinir veya anonim hale getirilir. Her iki durumda da kararı ve gerekçesini kayıt altına alın.

Yurt dışına aktarım boyutu

Arşivin veya yedeklerin tutulduğu sunucuların konumu, Kanun'un 9. maddesindeki yurt dışına aktarım hükümlerini gündeme getirebilir. Bu madde 7499 sayılı Kanun ile değiştirilmiş ve yeni düzen 1 Haziran 2024'te yürürlüğe girmiştir. Aktarım artık yeterlilik kararına, uygun güvencelere (örneğin Kurul'un belirlediği standart sözleşmeler) veya sınırlı arızi aktarım hallerinden birine dayanmalıdır. Standart sözleşme kullanılıyorsa, imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilmesi gerekir.

Arşiv hizmeti alırken sağlayıcıya verinin ve yedeklerin hangi ülkede tutulduğunu, destek ekibinin veriye nereden erişebildiğini mutlaka sorun.

KVKK uyumlu e-posta arşivi için kontrol listesi

1. Arşivin amacını ve hukuki dayanağını yazılı hale getirin.
2. Çalışan ve müşteri aydınlatma metinlerinde e-posta arşivlemesine yer verin.
3. Kişisel veri işleme envanterinize e-posta arşivini ekleyin.
4. E-posta kategorilerini ve her biri için saklama süresini belirleyin.
5. Periyodik imha ve hukuki bekletme süreçlerini tanımlayın.
6. Arama ve dışa aktarma yetkilerini en az yetki ilkesine göre dağıtın.
7. Arşive erişen tüm hesaplarda iki adımlı doğrulamayı zorunlu tutun.
8. Depolamada ve aktarımda şifreleme kullanın, anahtar yönetimini ayırın.
9. Tüm erişim, arama ve imha işlemlerini kayıt altına alın.
10. Verinin tutulduğu ülkeyi ve alt işleyenleri sözleşmeyle netleştirin.
11. İlgili kişi başvurularını otuz gün içinde yanıtlayacak bir iş akışı kurun.
12. Olası bir ihlal için 72 saatlik bildirim sürecini tatbikatla deneyin.

Daha geniş bir denetim için e-posta güvenliği kontrol listesi yazımızdaki 25 maddeyi de kullanabilirsiniz.

Arşiv projesine başlamadan önce alan adınızın temel güvenlik durumunu görmek isterseniz ücretsiz alan adı güvenlik kontrolü sayfamızda SPF, DKIM, DMARC ve MX kayıtlarınızı inceleyebilir, şifreli arşiv içeren seçeneklere paketler bölümünden göz atabilirsiniz.

Sık sorulan sorular

KVKK e-postaların arşivlenmesini zorunlu kılıyor mu?

Hayır, KVKK e-posta arşivlemeyi doğrudan zorunlu kılmaz. Ancak arşiv tutmaya karar verdiyseniz arşivdeki kişisel veriler için Kanun'un ilkeleri, işleme şartları ve veri güvenliği yükümlülükleri geçerlidir. Saklama gereği ise çoğu zaman TTK gibi başka mevzuattan doğar.

E-postaları ne kadar süre saklamalıyız?

Tek bir doğru süre yoktur; süre, e-postanın içeriğine ve ilgili mevzuata göre belirlenir. TTK ticari mektuplar için genel olarak on yıllık bir saklama süresi öngörür, ancak her e-posta bu kapsamda değildir. Kategori bazlı süreleri hukuk danışmanınızla belirleyip saklama ve imha politikanıza yazın.

Çalışan ayrıldığında posta kutusu ve arşivi ne olmalı?

Hesap girişe kapatılmalı ve iş sürekliliği için gerekli yazışmalar yetkili bir kişiye devredilmelidir. Posta kutusu ve arşivdeki iletiler politikanızdaki süre boyunca erişimi sınırlı biçimde saklanmalı, süre dolunca imha edilmelidir. Bu sürecin aydınlatma metninde açıklanması önerilir.

İlgili kişi silme talep ederse arşivdeki e-postaları silmek zorunda mıyız?

Verinin saklanmasını gerektiren bir hukuki yükümlülük veya başka bir işleme şartı devam ediyorsa talep gerekçesiyle reddedilebilir. Böyle bir dayanak yoksa veriler silinmeli, yok edilmeli veya anonim hale getirilmelidir. Başvuru en geç otuz gün içinde yanıtlanmalı ve verilen karar kayıt altına alınmalıdır.

Arşivin yurt dışındaki bir sunucuda tutulması sorun olur mu?

Yurt dışındaki bir sunucuda saklama, KVKK'nın 9. maddesindeki yurt dışına aktarım kurallarını gündeme getirebilir. Bu durumda aktarımın yeterlilik kararına, standart sözleşme gibi uygun güvencelere veya arızi aktarım hallerinden birine dayanması gerekir. Sağlayıcınızdan veri konumu ve alt işleyenler hakkında yazılı bilgi isteyin.