İşten Ayrılan Çalışanın Özlük Dosyası Ne Kadar Saklanır? İş Kanunu, SGK, İSG ve KVKK'da Saklama Süreleri

Kısa cevap: tek bir süre yok. Özlük dosyası tek parça bir belge değil, farklı kanunların farklı süreler bağladığı bir belge yığını. Pratikte üç ayrı dayanak kullanılıyor: iş alacaklarının zamanaşımı (çoğu kalem için beş, kalanı için on yıl), 5510 sayılı Kanun'un işyeri kayıtları için öngördüğü on yıl ve İş Sağlığı ve Güvenliği Hizmetleri Yönetmeliği'nin kişisel sağlık dosyası için istediği en az on beş yıl. Süre dolduğunda saklama hakkı da bitiyor. 6698 sayılı Kanun'un 4. maddesinin ikinci fıkrasının (d) bendi kişisel verilerin ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesini istiyor; 'ne olur ne olmaz, dursun' diyerek dosyayı süresiz tutmak bu hükmün doğrudan ihlali.

İşin başladığı yer 4857 sayılı İş Kanunu'nun 75. maddesi. Madde işverene çalıştırdığı her işçi için bir özlük dosyası düzenleme yükümlülüğü getiriyor, bu dosyada işçinin kimlik bilgilerinin yanında Kanun ve diğer kanunlar uyarınca düzenlemek zorunda olduğu her türlü belge ve kaydın saklanmasını, bunların istendiği zaman yetkili memur ve mercilere gösterilmesini emrediyor. İkinci fıkra da işverenin işçi hakkında edindiği bilgileri dürüstlük kurallarına ve hukuka uygun kullanmasını, gizli kalmasında işçinin haklı çıkarı bulunan bilgileri açıklamamasını istiyor. Dikkat edilecek nokta şu: madde dosyanın ne kadar saklanacağına dair tek kelime etmiyor. Süreler başka kanunlardan geliyor ve her belge grubu için ayrı ayrı hesaplanıyor.

Birinci dayanak, işçinin dava açabileceği süre. 4857 sayılı Kanun'a 25 Ekim 2017 tarihinde 7036 sayılı İş Mahkemeleri Kanunu ile eklenen Ek Madde 3, iş sözleşmesinden kaynaklanmak kaydıyla yıllık izin ücreti ile kıdem tazminatı, bildirim şartına uyulmaksızın fesihten doğan tazminat, kötü niyet tazminatı ve eşit davranma ilkesine uyulmaksızın fesihten doğan tazminat için zamanaşımını beş yıla indirdi; hüküm bu tarihten sonra sona eren sözleşmelere uygulanıyor. Ücret alacakları Türk Borçlar Kanunu'nun 147. maddesi uyarınca yine beş yıllık zamanaşımına tabi. Bunların dışında kalan ve sözleşmeye dayanan alacaklarda genel kural, Türk Borçlar Kanunu'nun 146. maddesindeki on yıl. Şirketlerin çoğu bu yüzden on yılı temel alıyor. Mantıklı bir tercih, ama otomatik bir izin değil. Hangi belgeyi hangi olası uyuşmazlığın ispatı için tuttuğunuzu yazmadıysanız, on yıl da savunması zor bir rakam.

İkinci dayanak sosyal güvenlik tarafında. 5510 sayılı Kanun'un 86. maddesi, işveren ve işyeri sahiplerinin işyeri defter, kayıt ve belgelerini ilgili olduğu yılı takip eden yılbaşından başlamak üzere on yıl süreyle saklamasını, kamu idareleri için bu sürenin otuz yıl olmasını ve Kurumun denetimle görevli memurlarınca istenmesi hâlinde on beş gün içinde ibraz edilmesini düzenliyor. Sürenin başlangıcı çoğu tabloda yanlış yazılıyor: sayaç işten çıkış tarihinden değil, belgenin ilgili olduğu yılı izleyen yılın başından işliyor. Diyelim ki bordro Şubat 2026'da düzenlendi; süre 1 Ocak 2027'de başlıyor ve 31 Aralık 2036'da doluyor. Ücret bordroları, işe giriş ve çıkış bildirgeleri, aylık prim ve hizmet belgeleri bu grupta.

Üçüncü ve en uzun süre sağlık tarafında. 29 Aralık 2012 tarihli ve 28512 sayılı Resmî Gazete'de yayımlanan İş Sağlığı ve Güvenliği Hizmetleri Yönetmeliği'nin 7. maddesi, işverenin işyerinde yürütülen iş sağlığı ve güvenliği faaliyetlerine ilişkin her türlü kaydı ve işten ayrılma tarihinden itibaren en az on beş yıl süreyle çalışanların kişisel sağlık dosyalarını saklamasını istiyor. Aynı maddenin ikinci fıkrası devir mekanizmasını da kuruyor: çalışan başka bir işyerinde çalışmaya başladığında yeni işveren dosyayı yazılı olarak talep eder, önceki işveren bir örneğini onaylayarak bir ay içinde gönderir. Bu on beş yıl tanımı gereği özel nitelikli kişisel veriye ilişkin, dolayısıyla dosyanın İK biriminin ortak klasöründe değil işyeri hekiminin ya da OSGB'nin erişimindeki kilitli bir ortamda durması gerekiyor. Kanserojen veya mutajen maddelerle çalışılan işyerlerinde süre daha da uzuyor: ilgili yönetmelik maruziyetin sona ermesinden sonra kayıtların en az kırk yıl saklanmasını, işyerinin faaliyetine son vermesi hâlinde bunların Bakanlığa teslim edilmesini öngörüyor.

Bordronun bir de mali yüzü var. 213 sayılı Vergi Usul Kanunu'nun 253. maddesi defter ve vesikaların ilgili bulundukları yılı takip eden takvim yılından başlayarak beş yıl muhafaza edilmesini istiyor. 6102 sayılı Türk Ticaret Kanunu'nun 82. maddesi ise ticari defterler, envanterler, finansal tablolar ve muhasebe belgeleri için on yıl öngörüyor; süre, son kaydın yapıldığı, tabloların hazırlandığı veya belgenin oluştuğu takvim yılının bitişiyle başlıyor. Aynı bordro böylece üç ayrı mevzuatın kapsamına giriyor ve belirleyici olan en uzun süre oluyor. Buradan çıkan asıl iş, özlük dosyasını tek bir kutu gibi görmeyi bırakmak. 'Sağlık dosyası on beş yıl saklanıyor, o hâlde hepsini on beş yıl tutalım' kolaycılığı, süresi çoktan dolmuş her belge bakımından ölçülülük ilkesine takılıyor. Dosyayı gruplara ayırın: kimlik ve iletişim bilgileri, iş sözleşmesi ve ekleri, bordro ve SGK belgeleri, sağlık raporları ve muayene kayıtları, İSG eğitim katılım kayıtları, zimmet tutanakları, disiplin ve performans belgeleri, izin talepleri. Her grubun süresi, o sürenin hukuki dayanağı ve süre bitince ne yapılacağı ayrı satır olsun. Saklama ve imha politikanızdaki tablo tam olarak bu işe yarıyor; tek satırda 'özlük dosyası: 10 yıl' yazan bir tablo denetimde hiçbir şey anlatmıyor.

Süre dolduğunda ne olacağı da yazılı bir kurala bağlı. 6698 sayılı Kanun'un 7. maddesi, hukuka uygun işlenmiş verilerin bile işlenmesini gerektiren sebepler ortadan kalktığında resen veya ilgili kişinin talebiyle silinmesini, yok edilmesini ya da anonim hâle getirilmesini emrediyor. 28 Ekim 2017 tarihli ve 30224 sayılı Resmî Gazete'de yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik takvimi netleştiriyor. Saklama ve imha politikası hazırlamış veri sorumlularında imha, yükümlülüğün ortaya çıktığı tarihi takip eden ilk periyodik imha işleminde yapılıyor ve periyodik imha aralığı hiçbir hâlde altı ayı geçemiyor. Politika hazırlama yükümlülüğü olmayanlarda süre, yükümlülüğün doğduğu tarihi izleyen üç ay. İlgili kişi kendisi talep ederse işlemin en geç otuz günde sonuçlandırılması gerekiyor. Yönetmelik ayrıca silme, yok etme ve anonim hâle getirme işlemlerine ilişkin kayıtların en az üç yıl saklanmasını istiyor. İmhayı yapmak yetmiyor, yaptığınızı belgelemeniz de gerekiyor.

Kurul'un aday verilerindeki çizgisi net. 6 Temmuz 2021 tarihli ve 2021/670 sayılı kararda, bir bankaya internet sitesi üzerinden iş başvurusu yapan kişi mülakattan olumsuz dönüş aldıktan sonra verilerinin silinmesini istemiş; banka ad, soyad ve kimlik numarasını sonraki başvuruların karşılaştırılmasında kullanmak üzere meşru menfaat kapsamında saklayacağını ve ilk periyodik imhada sileceğini savunmuştu. Kurul bu savunmayı kabul etmedi. Başvurunun kabul edilmemesiyle birlikte işleme şartlarının devam etmediğini, ileri sürülen meşru menfaatin açık ve belirli olmadığını, bu verileri saklamadan da aynı sonuca ulaşılabileceğini değerlendirdi. Talebin Yönetmelik'in 12. maddesi kapsamında ele alınması gerektiğini, yani otuz günlük sürenin işlediğini belirtti; verilerin silinmesine, benzer durumdaki diğer adaylar için de aynı işlemin yapılmasına ve idari para cezasına hükmetti. Aday havuzu tutacaksanız süresini belirleyin, adaya söyleyin ve süre dolduğunda gerçekten silin.

Asıl risk çoğu zaman özlük dosyasında değil, onun dışına dağılmış kopyalarda. Kurul'un 20 Ekim 2022 tarihli ve 2022/1147 sayılı kararına konu olayda, iş akdi sona eren bir çalışanın görüntüleri televizyon reklamlarında, internet sitesinde ve sosyal medya hesaplarında kullanılmaya devam etmiş, kişisel cep telefonu numarası kargo kayıtlarında ve satış belgelerinde durmayı sürdürmüştü. Kurul, görüntülerin şirket arşivinde bulunmasını hukuka uygun görmekle birlikte fesihten sonra paylaşıma devam edilmesinde geçerli bir işleme şartı olmadığını, kargo ve ödeme sistemlerindeki bilgilerin doğru ve gerektiğinde güncel olma ilkesine aykırı biçimde işlendiğini tespit etti. 250.000 TL idari para cezası verdi, verilerin imha edilip işlemin tutanakla belgelenmesine ve ilgili kişiye bildirilmesine karar verdi. Çıkış listesi hazırlarken bakılacak yerler bellidir: CRM kayıtları, kargo ve tedarikçi portalları, web sitesindeki ekip sayfaları, e-posta imzaları, WhatsApp grupları, ortak telefon rehberleri, basılmış kartvizitler.

Ters taraf da var. Çalışan 'tüm verilerimi silin' dediğinde her şeyi silmek de yanlış. Kurul'un 28 Haziran 2018 tarihli ve 2018/69 sayılı kararında, haklarında inceleme ve soruşturma yürütülmüş devlet memurlarının bu evrakın imhası talebi reddedildi; belgelerin mevzuat gereği özlük dosyasında yer alması ve arşiv rejimine tabi olması karşısında işlenmeyi gerektiren sebeplerin ortadan kalkmadığı, dolayısıyla veri sorumlusunun talebi karşılamamasının yerinde olduğu sonucuna varıldı. 8 Ekim 2020 tarihli ve 2020/769 sayılı kararda ise devralınan bir şirketin eski çalışanı, sağlık verileri dahil olmak üzere verilerinin işlenmeye devam edilmesinden şikâyetçi olmuştu; Kurul işlemenin iş ve sosyal güvenlik mevzuatından doğan hukuki yükümlülüklere dayandığını, işe giriş ve periyodik muayene sonuçlarının sır saklama yükümlülüğü altındaki işyeri hekimince güvenli biçimde saklandığını belirterek şikâyeti reddetti. Doğru cevap 'sildik' ya da 'silemeyiz' değil; hangi belgenin hangi hüküm nedeniyle ne zamana kadar tutulduğunu gösteren yazılı bir cevap.

Çıkış gününde yapılacaklar listesi bir sayfayı geçmez. Kişisel sağlık dosyası işyeri hekimine veya OSGB'ye teslim edilir ve on beş yıllık sayaç işten ayrılma tarihinden başlatılır. Kurumsal e-posta ile sistem erişimleri kapatılır, kart ve turnike yetkileri iptal edilir. CRM, kargo, ödeme ve santral kayıtlarındaki kişisel iletişim bilgileri temizlenir. İnternet sitesindeki ve sosyal medyadaki görsel ve tanıtım içerikleri kaldırılır. Özlük belgeleri gruplara ayrılır, her grubun imha tarihi hesaplanır ve en yakın periyodik imha dönemine bağlanır. Bu adımlar atlandığında risk teorik kalmıyor: veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi 2026'da 256.357 TL ile 17.092.242 TL arasında idari para cezasıyla karşılık buluyor ve şikâyeti açan kişi çoğu zaman işten ayrılmış çalışanın kendisi oluyor.

Özlük arşivindeki en eski dosyanın hangi yıla ait olduğunu bilen şirket azdır. Hangi belgenin hangi süreyle tutulacağını ve hangilerinin süresi dolduğu hâlde hâlâ dolapta beklediğini çıkarmak birkaç saatlik bir iş. KVKK Danışman'ın ücretsiz ön değerlendirmesinde mevcut saklama tablonuza bakıp eksik satırları birlikte tamamlayabiliriz.

Randevu Al