Kripto borsasındaki hesabınızı kapatmanız, kimlik fotoğrafınızın, görüntülü görüşme kaydınızın ve işlem bilgilerinizin aynı gün silinmesini sağlamaz. Türkiye’de tabi olunan mevzuat, bazı kayıtların hesap ilişkisi sona erdikten sonra da saklanmasını gerektirir. Buna karşılık, saklama yükümlülüğü bütün verilerin süresiz tutulmasına veya kapanmış hesabın bilgilerinin her amaçla kullanılmasına izin vermez.
Doğru talep, “hakkımdaki her şeyi hemen silin” cümlesinden daha ayrıntılıdır: Hangi veri hangi hukuki sebeple tutuluyor, süre ne zaman başladı, kimler erişebiliyor, hangi kullanımlar sonlandırıldı ve işleme şartları sona eren kayıtlar nasıl imha edilecek? Bu sorular kimlik belgesini korumakla geçmiş işlemleri ispat edebilmek arasındaki dengeyi kurar.
Bu yazı, hesabını kapatmış veya kullanmayı bırakmış kişinin veri saklama ve silme haklarını ele alır. Kimlik bilgilerinin üçüncü kişilere sızdığı bir olayda ayrıca KYC veri ihlali sonrasında yapılacaklar; hesapta kalan varlığın teslim edilmediği durumda hesap kapatma ve varlık iadesi değerlendirilmelidir.
Uygulamayı silmek, hesabı kapatmak ve veriyi sildirmek üç ayrı işlem
Uygulamayı telefondan kaldırmak yalnız cihazdaki uygulamayı etkiler. Borsanın sunucusundaki üyelik, kimlik doğrulama dosyası ve hesap hareketleri bundan dolayı ortadan kalkmaz. Hesabın kapatılması ise hizmet ilişkisinin ve işlem yapma yetkisinin sona ermesine ilişkin bir süreçtir; saklanan kaydın hukuki kaderi ayrıca belirlenir.
Örneğin sıfır bakiyeli hesabı beş yıldır kullanmayan biri, uygulamanın artık açılmadığını görünce bütün kayıtlarının silindiğini düşünebilir. Oysa hesap kapanış tarihi farklı olabilir veya hesap hiç kapatılmamış olabilir. Kimlik belgelerinin hangi süreye tabi olduğunu incelemeden önce kapanışın gerçekleşip gerçekleşmediği ve tarihi yazılı olarak öğrenilmelidir.
6698 sayılı Kanun’un 4 ve 7. maddeleri, amaçla bağlantılı ve gerekli süreyle sınırlı işlemeyi; işleme sebepleri ortadan kalktığında silme, yok etme veya anonimleştirmeyi esas alır. Açık rızanın geri alınması, başka bir kanuni işleme sebebi bulunan kayıtları kendiliğinden hukuka aykırı hâle getirmez. Ancak sadece rızaya dayanan kullanımın sürdürülmesi ayrı değerlendirilir.
KYC kayıtlarında sekiz yıl mı, on yıl mı uygulanır?
“Bütün borsalar kimlikleri beş yıl tutar” şeklinde tek bir cevap Türkiye’deki düzenlemeleri açıklamaz. Aynı dosyada birden fazla saklama yükümlülüğü bulunabilir. Sürenin uzunluğu kadar hangi kayıt için ve hangi tarihten başlayarak hesaplandığı önemlidir.
| Kayıt veya belge | Dayanak ve süre | Başlangıç veya uzama meselesi |
|---|---|---|
| MASAK yükümlülüklerine ilişkin belgeler; defter ve kayıtlar | 5549 sayılı Kanun m.8: sekiz yıl | Belgelerde düzenleme; defter ve kayıtlarda son kayıt tarihi esas alınır. |
| Kimlik tespitine ilişkin belgeler | 5549 m.8 ve Tedbirler Yönetmeliği m.46: sekiz yıl | Hesaplara ilişkin kimlik belgelerinde süre hesabın kapatıldığı tarihten başlar. |
| Platformun faaliyet belgeleri; uzaktan kimlik tespitindeki belgeler ve video kayıtları | SPK III-35/B.1 m.40/4: TTK m.82 uyarınca on yıl | Kayıt türüne uygun başlangıç incelenir. TTK m.82/6 kapsamındaki hesap, ilgili takvim yılının bitişini esas alır. |
| İhtilaf konusu olan ve saklanması gereken belgeler | SPK III-35/B.1 m.40/4 | On yıllık süreyle sınırlı olmaksızın ihtilaf sonuçlanıncaya kadar muhafaza gerekir. |
| Yatırımcıyla iletişim ve şikâyet dosyası | SPK III-35/B.1 m.40/6 ve m.41 | İlgili hükümlerin bağladığı saklama düzeni uygulanır; hesabın kapanması tek başına imha sebebi değildir. |
Sekiz yıllık yükümlülüğün tamamlanması, aynı belgeye uygulanan on yıllık yükümlülük devam ediyorsa silme zorunluluğu doğurmaz. Tersine, tek bir dosyada saklanması gereken kayıt bulunması da o kişiye ait ilgisiz bütün veri kopyalarının aynı süreyle tutulmasını otomatik olarak açıklamaz. Platformun belgeyi ve dayanağı eşleştirmesi gerekir. Süreler MASAK’ın muhafaza ve ibraz açıklaması ile SPK III-35/B.1 sayılı Tebliğ üzerinden birlikte kontrol edilmelidir.
Hesap kapanış tarihi neden fark yaratır?
Temsili bir olayda kimlik belgesi 2021’de alınmış, hesap 2026’da kapatılmış olsun. Hesapla ilgili kimlik belgesinin MASAK bakımından sekiz yıllık süresini yalnız 2021’den başlatmak doğru olmaz; kapanış tarihi ayrıca devreye girer. Platformun faaliyet belgelerine uygulanan on yıllık düzenleme de kendi başlangıç kurallarıyla incelenir. Bu örnek, belirli bir kişinin bütün kayıtları için tek bir imha tarihi vermeye elverişli değildir.
Başvuruda bu nedenle sadece “saklama süreniz kaç yıl?” sorulmaz. Kimlik görüntüsü, görüntülü görüşme, hesap ekstresi, destek kaydı ve pazarlama profili için ayrı ayrı başlangıç olayı, uygulanacak norm ve öngörülen son tarih istenir. Bir uyuşmazlık gerekçesi ileri sürülüyorsa, hangi kayıtların bu uyuşmazlıkla bağlantılı olduğu da açıklanmalıdır.
Saklamak zorunda olması, pazarlamada kullanabileceği anlamına gelir mi?
Hayır. Mevzuata uyum amacıyla korunan bir kimlik dosyasının yeni kampanyalar için profil oluşturmakta kullanılması farklı bir işleme faaliyetidir. Aynı telefon numarası hesap güvenliği, resmî bildirim, şikâyetin cevaplanması ve reklam için ayrı amaçlarla işlenebilir. Her amaç kendi hukuki şartına tabi olur.
KVKK’nın yayımladığı aktif olmayan müşterinin silme talebine ilişkin karar özeti, on yıllık saklama zorunluluğu bulunan olayda verilerin saklama amacı dışında işlenmemesi yönünde talimat verildiğini belirtir. Bu özet bütün kripto kayıtlarının süresini belirlemez; saklama ile başka amaçla kullanımın ayrılmasına somut dayanak sağlar.
Dolayısıyla kanunen korunması gereken kimlik kaydının derhâl imhası mümkün değilse bile aktif kullanımın sınırlandırılmasını, erişim yetkilerinin ihtiyaca göre düzenlenmesini ve hukuki dayanağı kalmayan pazarlama kullanımının sonlandırılmasını istemek anlamlıdır. Reklam iletilerinden çıkış talebiyle zorunlu hesap bildiriminin kesilmesi talebi birbirine karıştırılmamalıdır.
Silme başvurusunda hangi talepler ayrı yazılmalı?
Başvurunun odağı veri sorumlusunun ne yaptığını denetlenebilir hâle getirmektir. Hesapla ilişkinizi doğrulayan bilgileri sunun; fakat çözüm için gerekmeyen yeni kimlik kopyalarını rastgele destek hesaplarına göndermeyin. Platformun kendi sitesindeki güncel aydınlatma metninden veri sorumlusunun ticaret unvanını ve başvuru kanalını doğrulayın.
- Hesabın durumunu belirtin: Hesap numarası, kapatma talebi, kapanış teyidi ve ilgili yazışmaları eşleştirin.
- Verileri ayırın: Kimlik ön/arka yüzü, selfie, video, adres belgesi, işlem kayıtları ve iletişim/pazarlama verilerini ayrı kategoriler olarak sorun.
- Gerekçeyi somutlaştırın: Her kategori için işleme amacı, kanuni dayanak, saklama başlangıcı ve süresi hakkında bilgi isteyin.
- İmha talebini koşuluyla kurun: İşleme şartları sona eren verilerin silinmesini veya yok edilmesini; saklanması gerekenlerin gerekçesiyle açıklanmasını talep edin.
- Aktarımı sorun: Yurt içi ve yurt dışındaki alıcıları, kimlik doğrulama hizmeti sağlayıcılarını ve imha talebinin bunlara etkisini belirtmesini isteyin.
- Cevabın niteliğini belirleyin: Kabul edilen, kısmen kabul edilen ve reddedilen taleplerin ayrı gerekçelendirilmesini; sonucun yazılı veya elektronik olarak bildirilmesini talep edin.
Buradaki liste her veri sorumlusunun bütün teknik altyapısını kullanıcıya açması gerektiği anlamına gelmez. Kişinin kendi verisi hakkında bilgi almasıyla üçüncü kişilerin verilerinin veya sistem güvenliğini zayıflatabilecek ayrıntıların açıklanması aynı şey değildir. Başvuru, kişisel veri talebini gereksiz bir teknik denetim talebine dönüştürmeden somut tutulmalıdır.
KVKK’nın kripto platformu hakkındaki 2023/570 sayılı kararı ne gösteriyor?
11 Nisan 2023 tarihli ve 2023/570 sayılı kararın resmî özetinde, üyelik seviyesinin artırılması sırasında istenen kimlik ve fotoğraf bilgileri incelenmiştir. Kurul, somut olayda kimlik tespitinin 5549 sayılı Kanundan kaynaklanan işleme şartına dayandığını değerlendirmiş; silme talebi bakımından ise ilgili kişinin bu talebi öngörülen usulle önce veri sorumlusuna iletmediğini ve üyeliğin sürdüğünü dikkate almıştır.
Karar, “borsa istediği her veriyi toplayabilir” veya “KYC hiçbir zaman silinmez” sonucu doğurmaz. Ayrıca 2023’te incelenen üyelik kademeleri bugünkü bütün platformlara uygulanacak ürün modeli değildir. Buradan çıkan pratik sonuç, kimlik doğrulamanın kanuni sebebini incelemek ve silme talebini üyelik kapatma mesajından ayrı, açık ve usulüne uygun biçimde iletmektir.
Başvuru kanalı ve cevap süresi nasıl takip edilir?
Başvuru yazılı olarak; KEP, güvenli elektronik imza, mobil imza, veri sorumlusuna daha önce bildirilmiş ve sisteminde kayıtlı e-posta adresi veya başvuru için geliştirilmiş uygulama üzerinden yapılabilir. Kimliği ve talebi belirlemeye yarayan zorunlu bilgiler bulunmalıdır. Sosyal medya yorumu veya rastgele bir destek adresine gönderilen belirsiz mesajın aynı usulü karşıladığı varsayılmamalıdır. Dayanak, KVKK’nın başvuru ve şikâyet usulü açıklamasıdır.
Veri sorumlusu talebi niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırır. Başvuru reddedilirse, cevap yetersizse veya süresinde cevap verilmezse Kurula şikâyet gündeme gelir. Şikâyet için cevabın öğrenilmesinden itibaren otuz gün ve her hâlde başvurudan itibaren altmış günlük sınır birlikte izlenir. Geç cevap verildiğinde takvim yeniden başlıyormuş gibi hareket edilmez; Kurulun süre açıklaması esas alınır.
Bir destek görevlisinin “ilgili ekibe iletildi” cevabı taleplerin sonuçlandırılmasıyla aynı değildir. KVKK’nın 1 Ekim 2026 tarihli duyurusu, cevabın ilgili kişiye yazılı veya elektronik ortamda bildirilmesi yükümlülüğünü yeniden hatırlatır. Gönderim ve teslim kayıtlarını, ekleri ve cevap tarihini bir arada saklamak süre tartışmasını azaltır.
“Silindi” cevabı hangi sonucu anlatmalı?
Silme, yok etme ve anonimleştirme teknik olarak aynı işlem değildir. Silmede ilgili kullanıcıların veriye erişmesi ve onu yeniden kullanması engellenir; yok etme daha kapsamlı erişilemez ve geri getirilemez hâle getirmeyi ifade eder. Anonimleştirmede kişiyle ilişki kurulamaz hâle gelmesi gerekir. Yalnız adın kaldırılması, diğer alanlardan kişi tanınabiliyorsa anonimleştirme sayılmaz. Tanımlar ve talebe bağlı işlem kuralları İmha Yönetmeliğinde düzenlenir.
Cevap, uygulanan yöntemi ve kapsadığı veri gruplarını anlaşılır kılmalıdır. Bazı kayıtlar saklanırken diğerleri imha ediliyorsa bunlar ayrılmalıdır. Yönetmeliğin 12. maddesinde, işleme şartlarının tamamı ortadan kalkmışsa ilgili kişinin talebinin en geç otuz gün içinde sonuçlandırılması öngörülür; rutin periyodik imha tarihini beklemek bu süreyi uzatmaz. İşleme şartları sona ermiş ve veriler üçüncü kişilere aktarılmışsa yönetmelikteki bildirim ve gerekli işlemleri temin yükümlülüğü de değerlendirilir. “Hesabınız görünmüyor” mesajı, yedekler ve diğer alıcılar bakımından ne yapıldığını kendiliğinden açıklamaz.
Öte yandan yetkisiz işlem veya tazminat uyuşmazlığı sürerken olay kayıtlarının korunması sizin de yararınıza olabilir. Böyle bir durumda işlem, oturum, destek ve güvenlik kayıtlarının uyuşmazlık için muhafazasını isterken artık gerekli olmayan diğer verilerin imhasını ayrıca talep edebilirsiniz. Delilin korunmasıyla hukuka aykırı kullanımın durdurulması birbiriyle çelişen talepler değildir.
Yabancı borsada aynı takvim otomatik uygulanır mı?
Yurt dışındaki platformun marka adıyla Türkiye’deki şirketin adı aynı olsa bile sözleşmenin tarafı ve veriyi işleyen kuruluş farklı olabilir. Türk platformuna uygulanacak SPK saklama kuralını, yabancı kuruluşun bütün kayıtlarına kendiliğinden uygulamak doğru olmaz. Hizmetin Türkiye’yle bağlantısı, ilgili kişinin konumu, veri işleme faaliyeti ve yabancı hukuktaki yükümlülükler birlikte incelenir.
İlk adım sözleşmedeki şirketi, güncel gizlilik bildirimini ve veri başvuru kanalını belirlemektir. “Global hesabı kapattım” ile Türkiye’deki ayrı hesabın kapanması aynı sonuç olmayabilir. Yabancı veri koruma hakkı varsa onun süreleri ve başvuru mercii ayrıca değerlendirilir; Türkçe destek sunulması tek başına bütün kayıt rejimini belirlemez.
Kullanıcı açısından ulaşılması gereken sonuç, hesabın kapandığını gösteren tek satırlık cevapla sınırlı değildir: Hangi kayıtların neden korunduğu, hangi kullanımların sona erdiği ve kalan verilerin hangi şartla imha edileceği anlaşılabilir olmalıdır. Böylece hem kimlik bilgilerinin gereksiz kullanımına karşı çıkılabilir hem de gelecekte ihtiyaç duyulabilecek hesap delilleri korunabilir.
Dayanaklar ve kararın kapsamı
Kaynaklar 6 Ekim 2026 itibarıyla kontrol edilmiştir. 2023/570 sayılı atıf, Kurulun kamuya açıkladığı karar özetine dayanır; olayın tüm taraf belgelerine veya yayımlanmamış karar ayrıntılarına erişildiği iddia edilmez.
- 6698 sayılı Kanun, m.4, 7, 11, 13 ve 14: amaç, saklama, imha ve hak arama.
- SPK III-35/B.1 sayılı Tebliğ, m.40-41; TTK m.82: kayıt kapsamı ve süre hesabı.
- MASAK muhafaza ve ibraz açıklaması: 5549 m.8 ve Tedbirler Yönetmeliği m.46.
- KVKK, 11.04.2023 tarihli 2023/570 sayılı karar özeti: kripto platformunda kimlik doğrulaması ve silme talebinin usulü.
- Kişisel verilerin imhasına ilişkin yönetmelik: yöntemler ve ilgili kişinin talebi.
