Merhaba
Bölüm 1’de Kişisel Verileri Koruma Kurulunun 2026/2035 sayılı İlke Kararını Bilgi Teknolojileri (BT) gözüyle okumuştum. Karar, kurumsal e-postanın denetiminde ölçülülüğü, kademeliliği ve erişimin sınırlandırılmasını istiyor. Ödeme kuruluşu veya banka tarafında işin bir de diğer yüzü var: Aynı e-posta arşivi, sektör mevzuatı nedeniyle belirli süre boyunca saklanmak, denetimde sunulabilir olmak ve bazı içerikler için de kimseye gösterilmemek zorunda.
Bu yazıda Arctera Enterprise Vault ve Barracuda Message Archiver gibi arşiv çözümlerini kullanan ya da değerlendiren ekiplerin, Türkiye Cumhuriyet Merkez Bankası (TCMB), Bankacılık Düzenleme ve Denetleme Kurumu (BDDK) ve Mali Suçları Araştırma Kurulu (MASAK) mevzuatı karşısında hangi sorulara cevap vermesi gerektiğini ele alıyorum.
Önce kurum türünü ayırın: kim hangi mevzuata tabi?
Ödeme kuruluşu ve elektronik para kuruluşu, 6493 sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun (6493 sayılı Kanun) kapsamında ve ağırlıklı olarak TCMB gözetim ve denetimi altında. Banka ise 5411 sayılı Bankacılık Kanunu (5411 sayılı Kanun) ve BDDK düzenlemelerine tabi, TCMB ile ilişkisi ödeme sistemleri gibi alanlarda devreye giriyor. Her iki kurum türü de 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun (5549 sayılı Kanun) kapsamında yükümlü. Tedbirler yönetmeliğinde bankalar madde 4/1 (a) bendinde, ödeme ve elektronik para kuruluşları (e) bendinde sayılıyor.
Bu ayrım e-posta arşivi için önemli, çünkü saklama süresi, saklama yeri ve denetim kapsamı kurum türüne göre değişiyor.
Ödeme kuruluşu ve elektronik para kuruluşu için ana hatlar
- En az 10 yıl, güvenli, erişilebilir ve yurt içinde. 6493 sayılı Kanun’un 23’üncü maddesi, ödeme kuruluşu ve elektronik para kuruluşunun ilgili belge ve kayıtları en az on yıl süreyle, güvenli ve istenildiğinde erişilebilir biçimde yurt içinde saklamasını istiyor.
- Saklama yeri bir mimari kararı. Arşivin bulut hizmeti olarak yurt dışındaki bir veri merkezinde çalışması, bu madde açısından ciddi bir risk. Şirket içi cihaz veya yurt içinde barındırılan hizmet düşünülmeli. Bilgi sistemlerine ilişkin usul ve esasları ise TCMB belirliyor, bu nedenle Bilgi Sistemleri Tebliği’nin güncel halini ayrıca kontrol etmek gerekiyor.
- Denetim arşiv sağlayıcısına da uzanıyor. 6493 sayılı Kanun’un 21’inci maddesine göre TCMB, kuruluşların dışarıdan hizmet aldığı kuruluşlarda da denetim yapabiliyor ve kayıtları anlık ve işlem bazında isteyebiliyor. Arşiv hizmetini bir üçüncü taraftan alıyorsanız, sözleşmede denetim ve erişim hakkı bulunmalı.
Banka için ana hatlar
- 10 yıl. 5411 sayılı Kanun’un 42’nci maddesi, bankalardan belgelerini on yıl saklamasını istiyor. Elektronik ortamda saklama mümkün, ancak belgenin doğruluğu, bütünlüğü ve erişilebilirliği ile BDDK denetiminde ibraz edilebilirliği korunmalı. Başka bir kanunda daha uzun süre öngörülmüşse o süre geçerli.
- Log kayıtları en az 5 yıl. Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik (BDDK Bilgi Sistemleri Yönetmeliği), madde 13’te bankacılık kayıtlarını değiştiren işlemlerin, hassas veya gizli verilere erişimin ve kritik varlıklara erişim yetkisi değişikliklerinin loglarının en az beş yıl tutulmasını istiyor. Loglar güvenilir ortamda yedeklenmeli, geri yüklenip incelenebilmeli ve değiştirilmeye karşı korunmalı. Dış hizmet sağlayıcıdaki loglar da bankanın standartlarını karşılamalı ve bankaya erişilebilir olmalı.
- Ayrıcalıklı hesaplar. Madde 11’e göre ayrıcalıklı hesapların kullanımı, hesap açma ve silme işlemleri ve başarısız oturum denemeleri loglanmalı ve alarm üretmeli. Arşiv sisteminin yönetici hesapları bu kapsamda düşünülmeli.
- E-posta için ayrı süre yok. Yönetmeliğin okuduğum bölümünde e-posta veya iletişim kayıtları için ayrı bir saklama süresi bulunmuyor. Hangi e-postaların 5411 sayılı Kanun’un 42’nci maddesindeki belge kapsamına girdiği yine kurumun yorumuna ve hukuk görüşüne bağlı.
MASAK: iki kurum türü için ortak yük
- 8 yıl. 5549 sayılı Kanun’un 8’inci maddesi, yükümlülüklere ve işlemlere ilişkin her türlü ortamdaki kayıtların sekiz yıl saklanmasını istiyor. Süre, belgelerde düzenleme tarihinden, defter ve kayıtlarda son kayıt tarihinden, kimlik tespitine ilişkin belgelerde son işlem tarihinden başlıyor.
- Süreler çakışıyor. Aynı içerik hem MASAK hem sektör mevzuatı kapsamındaysa, pratikte en uzun süreyi uygulamak güvenli yol. Başlangıç tarihleri farklı olduğu için, bu karşılaştırmayı hukuk ve uyum ekibiyle birlikte yapın.
- Bildirim gizliliği. Kanun’un 4’üncü maddesinin ikinci fıkrası, şüpheli işlem bildiriminde bulunulduğunun denetim elemanları ve yargılama sırasındaki mahkemeler dışında, işleme taraf olanlar dahil kimseye açıklanamayacağını söylüyor. İhlalin yaptırımı, 14’üncü maddeye göre bir yıldan üç yıla kadar hapis ve beşbin güne kadar adli para cezası.
- MASAK talebine hızlı ve eksiksiz cevap. Tedbirler yönetmeliğinin 31’inci maddesine göre istenen kayıtlar eksiksiz ve gecikmeksizin verilmeli, yazılı taleplerde en az yedi günlük bir süre tanınıyor. Arşivde arama ve dışa aktarma becerisi bu nedenle bir uyum konusu.
| Kurum türü | Düzenleme | Ne istiyor | Arşiv tasarımına etkisi |
|---|---|---|---|
| Ödeme / Elektronik para kuruluşu | 6493 sayılı Kanun md. 23 | İlgili belge ve kayıtlar en az 10 yıl, güvenli, erişilebilir, yurt içinde | Yurt içi barındırma, 10 yıl saklama, erişilebilirlik testi |
| Ödeme / Elektronik para kuruluşu | 6493 sayılı Kanun md. 21 | TCMB denetimi, dışarıdan hizmet alınan kuruluşları da kapsar | Arşiv sağlayıcısı sözleşmesinde denetim ve erişim hakkı |
| Banka | 5411 sayılı Kanun md. 42 | Belgeler 10 yıl, elektronik ortam serbest, bütünlük ve ibraz edilebilirlik şartıyla | Bütünlük koruması, BDDK denetiminde sunulabilirlik |
| Banka | BDDK Bilgi Sistemleri Yönetmeliği md. 13 | Kritik işlem, erişim ve yetki değişikliği logları en az 5 yıl, korumalı, yedekli, sağlayıcıda da erişilebilir | Arşiv yönetim işlemlerinin ve erişimlerin loglanması, log yedeği |
| Her ikisi | 5549 sayılı Kanun md. 8 | Her türlü ortamdaki kayıtlar 8 yıl | En uzun uygulanabilir süre, farklı başlangıç tarihleri |
| Her ikisi | 5549 sayılı Kanun md. 4/2 ve md. 14 | Şüpheli işlem bildirimi açıklanamaz, ihlal cezai yaptırımlı | Şüpheli işlem bildirimiyle ilgili içerik ayrı ve kısıtlı erişimli alanda |
| Her ikisi | Tedbirler yönetmeliği md. 31 | İstenen kayıtlar eksiksiz ve gecikmesiz, en az 7 gün süre | Arama, dışa aktarma ve tatbikat |
Arşivi içerik sınıflarına göre tasarlayın
Tek bir saklama süresi ve tek bir erişim modeli bu ortamda yeterli olmuyor. Aşağıdaki sınıflandırmayı bir başlangıç noktası olarak öneriyorum. Sınıfların içeriğine ve sürelere uyum ve hukuk ekibiniz karar vermeli.
| İçerik sınıfı | Örnek | Saklama dayanağı | Erişim |
|---|---|---|---|
| MASAK bildirim ve uyum yazışmaları | Şüpheli işlem bildirimi taslakları, iç raporlar, MASAK yazışmaları | 5549 sayılı Kanun md. 8 ve kurum türüne göre 6493 md. 23 veya 5411 md. 42 | Yalnızca uyum görevlisi ve yetkilendirilmiş uyum ekibi, genel arama ve BT yönetici rollerinin dışında |
| Müşteri ve işlem yazışmaları | Müşteri tanıma, işlem teyidi, itiraz yazışmaları | Aynı dayanaklar, başlangıç tarihi müşteri ilişkisine bağlı olabilir | Uyum, iç denetim, hukuk, vaka bazlı |
| Düzenleyici yazışmalar | TCMB veya BDDK ile yazışmalar, bildirimler | 6493 md. 23 veya 5411 md. 42 | Uyum ve hukuk |
| Güvenlik ve erişim kayıtları | Arşiv yönetim logları, denetim izi | Banka için BDDK Bilgi Sistemleri Yönetmeliği md. 13 | BT güvenlik, iç denetim |
| Genel kurumsal posta | Rutin iç yazışmalar | Kurumun saklama ve imha politikası, sektörel gereklilik yoksa kısa süre | Standart erişim |
Kişisel Verilerin Korunması Kanunu (KVKK) kararıyla birlikte nasıl okumalı?
Bölüm 1’deki karar, hukuki dayanağı kalmayan kişisel verinin imha edilmesini ve içeriğe erişimin sınırlı, gerekçeli ve kayıtlı olmasını istiyor. Sektör mevzuatı ise bu verilerin belirli süre saklanmasını zorunlu kılıyor. Bence bu iki yaklaşım çelişmiyor, birbirini tamamlıyor:
- Saklama için hukuki dayanak var (6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 5’inci maddesinin ikinci fıkrasının (ç) bendi, veri sorumlusunun hukuki yükümlülüğü). Bunu saklama ve imha politikasında ve aydınlatmada yazılı hale getirin.
- Saklamanın olması, herkesin okuyabilmesi demek değil. Erişim amaçla sınırlı, görev tanımına bağlı ve kayıtlı olmalı.
- Süre dolunca ve başka bir saklama gerekçesi yoksa imha çalıştırılmalı. Arşiv ürünündeki saklama politikaları ve yasal bekletmeler bu noktada kritik. Yasal bekletme (legal hold), dava, soruşturma veya denetim varken silmeyi engelliyor ve diğer saklama kurallarından bağımsız uygulanabiliyor.
Arctera Enterprise Vault ve Barracuda Message Archiver için kontrol soruları
Üretici dokümanlarına göre Barracuda Message Archiver saklama politikaları, diğer kurallardan bağımsız yasal bekletme, aranabilir denetim izi, rol tabanlı erişim, arama ve PST/EML dışa aktarma sunuyor ve kurcalamaya dirençli depolama ifadesini kullanıyor. Arctera Enterprise Vault de saklama politikaları, yasal bekletme, denetim izi ve keşif (discovery) özellikleri sunuyor. İki ürün de bu yapı taşlarına sahip. Asıl fark, sizin ortamınızda şu sorulara verilecek cevaplarda ortaya çıkıyor:
- Veri nerede duruyor? Ödeme ve elektronik para kuruluşunda kayıtlar yurt içinde saklanmalı. Bulut seçeneği düşünüyorsanız veri merkezi konumunu yazılı olarak doğrulayın.
- Değiştirilemezlik nasıl sağlanıyor? WORM (Write Once Read Many) veya eşdeğer bir depolama katmanı var mı, arşiv yöneticisi de arşivlenmiş içeriği değiştirememeli veya silememeli.
- Rol modeli yeterince ince mi? Uyum görevlisinin şüpheli işlem bildirimi içeriği, denetçinin yalnızca belirli veri kümesi, BT yöneticisinin ise hiç içerik görmeden yönetim yapabilmesi gerekiyor.
- Denetim izi dışa aktarılabiliyor mu? Kimin hangi aramayı ne zaman yaptığı, KVKK kararının erişim kaydı beklentisini ve banka tarafında log gereksinimini karşılamak için gerekli.
- Müşteri veya vaka bazlı bekletme yapılabiliyor mu? Başlangıç tarihi müşteri ilişkisine bağlı kayıtlar için sadece tarih bazlı saklama yetmeyebilir.
- Exchange ve Teams kapsamı? Arşivin hangi kaynakları aldığını (e-posta, dosya, mesajlaşma) kendi ortamınızda test edin.
- Üretici ve destek sürekliliği. Arctera, 2024’te Veritas’tan oluşturulan bir yapı. Uzun saklama süreleri düşünüldüğünde ürün yol haritası ve Türkiye’deki destek modelini sözleşme öncesinde netleştirin.
| Sıra | Kontrol | Sorumlu | Öncelik |
|---|---|---|---|
| 1 | Kurum türünüze göre uygulanan mevzuatı ve süreleri hukuk ile birlikte yazılı hale getirin | Hukuk, Uyum | Yüksek |
| 2 | E-posta içerik sınıflarını ve her sınıf için saklama süresini belirleyin | Uyum, BT | Yüksek |
| 3 | Arşiv verisinin ve yedeklerinin yurt içinde olduğunu doğrulayın (ödeme ve elektronik para kuruluşları) | BT, Uyum | Yüksek |
| 4 | MASAK bildirim ve uyum yazışmaları için ayrı, kısıtlı erişimli alan kurun | Uyum, BT | Yüksek |
| 5 | Arşiv yönetici rollerinden içerik arama ve dışa aktarma yetkisini ayırın | BT, Bilgi Güvenliği | Yüksek |
| 6 | Arşiv yönetim işlemlerini ve aramaları loglayın, logları korumalı yedekleyin | BT, Bilgi Güvenliği | Yüksek |
| 7 | Arşiv sağlayıcısıyla denetim ve erişim hakkını sözleşmeye bağlayın | Hukuk, Satın Alma | Orta |
| 8 | MASAK ve düzenleyici talepleri için arama, dışa aktarma ve ibraz tatbikatı yapın | Uyum, BT | Orta |
| 9 | Süre dolan kayıtlar için imha ve yasal bekletme sürecini işletin | Uyum, BT | Orta |
| 10 | Aydınlatma metni ve saklama ve imha politikasını bu dayanaklarla güncelleyin | Hukuk, Uyum | Orta |
Kapanış
Kurumsal e-posta arşivi, KVKK kararı sonrasında her şeyi sakla, herkes arasın yaklaşımından çıkıyor. Ödeme kuruluşu ve banka tarafında ise saklamamak seçeneği zaten yok. Doğru tasarım, her içeriğin hangi dayanakla, ne kadar süre, nerede ve kimin erişimiyle saklanacağını yazılı hale getirmek ve bunu arşiv ürününün ayarlarına yansıtmak.
Kaynaklar: 6493 sayılı Kanun (madde 21 ve 23); 5411 sayılı Kanun (madde 42); 5549 sayılı Kanun (madde 4, 8 ve 14); Suç Gelirlerinin Aklanmasının ve Terörün Finansmanının Önlenmesine İlişkin Tedbirler Hakkında Yönetmelik (madde 4, 29 ve 31); Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik (madde 11 ve 13); Kişisel Verileri Koruma Kurulunun 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı.</