E-posta arşivleme yasal zorunluluk mu?

“E-posta arşivleme zorunludur” diyen tek bir kanun maddesi yok. Ama bu, arşivlemenin isteğe bağlı olduğu anlamına gelmiyor. Türk Ticaret Kanunu’nun 82. maddesi tacirin aldığı ticari mektupları ve gönderdiklerinin suretlerini on yıl saklamasını istiyor; aynı madde ticari mektubu “bir ticari işe ilişkin tüm yazışmalar” diye tanımlıyor. Teklifiniz, sipariş onayınız ve fatura yazışmanız e-postadaysa yükümlülük de e-postaya iniyor. Asıl zor soru ikinci sırada gelir: bir uyuşmazlıkta, elinizdeki kaydın sonradan değiştirilmediğini nasıl göstereceksiniz?

Hangi kanun ne kadar süre istiyor?

• TTK m. 82 — on yıl: alınan ticari mektuplar ve gönderilenlerin suretleri on yıl saklanır. Süre, yazışmanın yapıldığı takvim yılının bitişiyle başlar.
• VUK m. 253 — beş yıl: defterler ile düzenlenen ve alınan belgeler, ilgili oldukları yılı izleyen takvim yılından itibaren beş yıl saklanır ve istendiğinde ibraz edilir.
• Sektör düzenlemeleri: bankacılık, sigortacılık, sağlık gibi alanlarda özel mevzuat daha uzun süre isteyebilir. Kendi sektörünüzün süresini hukuk danışmanınıza sorun.

Pratikte uzun olan süre belirleyicidir. Vergi tarafında beş yılı doldurmuş bir yazışma, ticari uyuşmazlık ihtimali nedeniyle hâlâ TTK kapsamında olabilir. Bu yüzden saklama politikasını “en kısa süreye göre” değil, kayıt türüne göre kurmak gerekir.

KVKK: sonsuza kadar saklamak da doğru değil

Saklama yükümlülüğünün bir de ters yönü var. KVKK, kişisel veriyi ancak işleme amacı için gerekli süre boyunca tutmanızı, süre dolduğunda silmenizi ister. Yani “her şeyi sonsuza kadar tut” bir arşiv politikası değildir; süresi biten kaydın imhası da politikanın parçasıdır. Veri sorumlusu yükümlülüklerinin tamamını KVKK ve e-posta uyum rehberimizde anlattık.

Yedek ile arşiv aynı şey değil

Yedek, bir felaket sonrası sistemi geri getirmek içindir ve doğası gereği üzerine yazılır. Arşiv ise kaydı değiştirilemez biçimde tutar, üzerine yazılmaz, aranabilir ve dışa aktarılabilir. “Yedeğimiz var” cevabı bir denetimde ya da davada yeterli olmaz: yedekten dönen bir posta kutusunun içeriğinin araya girilmeden geldiğini gösteren bir şey yoktur.

“Bu kayıt değişmedi” nasıl kanıtlanır?

Kanıtın üç katmanı var ve üçü birbirini tamamlar. Tek başına ilki çoğu sağlayıcıda bulunur, diğer ikisi genellikle bulunmaz.

1. Mesaj özeti (SHA-256): ileti ham hâliyle saklanır ve içeriğinden bir özet çıkarılır. Tek bir karakter değişse özet tutmaz. Ama özet tek başına “ne zaman” sorusunu yanıtlamaz.
2. Zincir: her yeni kaydın halkası, bir önceki halkanın özetiyle birlikte hesaplanır. Aradan bir ileti silinir ya da sıra değiştirilirse sonraki bütün halkalar bozulur. Tek bir kaydı sessizce çıkarmak mümkün olmaz.
3. İmza (Ed25519): her halka bizim özel anahtarımızla imzalanır. İmzalanan metin kanıt paketinde aynen yayımlanır, böylece imza bizim sistemimize güvenmeden doğrulanabilir.

AkıllıPosta’da bu kanıt paketi panelden JSON olarak inebilir: Arşiv bölümünde iletiyi açın, “Bütünlük ve Delil” başlığındaki “Kanıt paketi indir” bağlantısını kullanın. Dosyanın içinde mesaj özeti, önceki halka, zincir halkası, imza, imzalanan metnin kendisi, açık anahtarımız ve doğrulama komutu bulunur. Bilirkişi ya da karşı taraf, dosyayı açıp openssl ile imzayı kendi bilgisayarında doğrular. Kanıt paketinin indirildiği de denetim kaydına yazılır.

Saklama süresi dolunca ve dava açılınca ne oluyor?

Arşivdeki her kaydın bir saklama sonu tarihi vardır; ham dosya bu tarihe kadar silinemeyecek biçimde tutulur. Süre dolduğunda kayıt imha edilebilir hâle gelir. Devam eden bir uyuşmazlık varsa yasal saklama (legal hold) konur: gerekçesi yazılmadan konulamaz ve altındaki kayıtlar imha turlarında atlanır. Böylece “süresi doldu, otomatik silindi” cevabını bir dava sırasında vermek zorunda kalmazsınız.

Sağlayıcınıza sorabileceğiniz beş soru

1. Arşiv, yedekten ayrı mı tutuluyor; üzerine yazılıyor mu?
2. Kayıt başına özet çıkarılıyor mu, özetler birbirine bağlanıyor mu?
3. Kanıtı sizin sisteminize hiç girmeden, üçüncü bir tarafla doğrulayabilir miyim?
4. Saklama süresi dolduğunda ne oluyor; dava varsa imha durabiliyor mu?
5. Arşivde kim arama yapabiliyor ve bu erişim kayda geçiyor mu?

AkıllıPosta’da e-posta arşivleme, arşivde arama ve yasal keşif Profesyonel planından itibaren açılır; bütünlük kanıtı arşivdeki her kayıt için üretilir. Güvenlik mimarisinin tamamını Güvenlik ve KVKK sayfamızda, arşivin panel tarafındaki karşılığını özellikler sayfamızda görebilirsiniz. Kurumsal e-postanın tüm başlıklarını tek yerde okumak isterseniz kurumsal e-posta rehberimiz iyi bir başlangıç.