AML ve KYC Kayıtları Ne Kadar Süre Saklanmalıdır?

Kara para aklama ile mücadele (AML) ve müşteri tanı (KYC) süreçlerinde üretilen belge ve kayıtların ne kadar süre saklanacağı, uyum yükümlülüklerinin önemli bir bileşenidir. Kayıtların saklanması, hem denetimlerde sürecin gösterilebilmesi hem de olası incelemelerde geçmiş işlemlerin izlenebilmesi açısından gereklidir. Saklama süresinin doğru belirlenmesi, hem eksik saklamanın hem de gereğinden uzun tutmanın doğuracağı riskleri önler.

Saklama süresi tek bir sayıdan ibaret değildir; mevzuatın öngördüğü asgari süre, verinin türü, sektörel düzenlemeler ve kişisel verilerin korunmasına ilişkin ilkeler birlikte değerlendirilir. Bu rehber, saklama süresini belirleyen etkenleri ve saklama sürecinin teknik-operasyonel boyutunu, uygulama reçetesi vermeden, yüksek seviyede ele alır.

İçerik; uyum ekiplerine, veri sorumlularına ve teknoloji yöneticilerine yöneliktir. Odak, belirli bir kurulumun yapılandırılması değil; saklama kararının hangi çerçevede verileceğidir.

Kayıt Saklamanın Amacı

AML ve KYC kayıtları, müşteri ilişkisinin ve gerçekleştirilen işlemlerin izlenebilir bir kaydını oluşturur. Bu kayıtlar; kimlik doğrulama sonuçlarını, tarama bulgularını, risk değerlendirmelerini ve verilen kararların gerekçelerini kapsar. Saklamanın temel amacı, sürecin sonradan gösterilebilir ve denetlenebilir olmasıdır.

Kayıtların bütünlüğü, denetim gereksinimlerine göre yapılandırılmış bir saklama düzeni gerektirir. Bir denetim ya da inceleme sırasında geçmiş kararların gerekçeleriyle birlikte sunulabilmesi, sürecin savunulabilirliğini güçlendirir. Kayıtların erişilebilir ve düzenli tutulması, denetim taleplerinin zamanında karşılanmasını da kolaylaştırır. AML ve KYC süreçlerinin birbirinden farkı için AML ve KYC arasındaki fark başlıklı içerik incelenebilir.

Kayıtların amaca uygun biçimde sınıflandırılması, saklama sürecinin ilk adımıdır. Hangi kaydın ne amaçla tutulduğunun belirlenmesi, hem sürenin doğru uygulanmasını hem de gerektiğinde ilgili kayda hızlı erişilmesini sağlar. Bu düzen, saklamayı pasif bir arşivleme olmaktan çıkarıp yönetilen bir süreç hâline getirir.

Saklama Süresini Belirleyen Etkenler

Saklama süresi, birden çok etkenin birlikte değerlendirilmesiyle belirlenir. Mevzuatın öngördüğü asgari süre çıkış noktasıdır; ancak verinin türü, ilişkinin niteliği ve tabi olunan sektörel düzenlemeler bu süreyi etkileyebilir. Kimlik belgeleri, tarama kayıtları ve işlem verileri farklı gereksinimlere tabi olabilir.

Süreyi etkileyen bir diğer boyut, kişisel verilerin korunmasına ilişkin ilkelerdir. Verinin yalnızca gerekli olduğu süre boyunca saklanması ilkesi ile uyum mevzuatının asgari saklama yükümlülüğü arasında bir denge kurulması gerekir. Bu denge, saklama politikasının merkezinde yer alır.

Farklı veri türlerinin farklı sürelere tabi olması, saklama politikasının tek bir kural yerine katmanlı bir yapı olarak kurgulanmasını gerektirebilir. Kimlik doğrulama belgeleri, işlem kayıtları ve tarama sonuçları için ayrı ayrı belirlenmiş süreler, hem uyum gereksinimlerinin karşılanmasını hem de gereksiz veri birikiminin önlenmesini sağlar.

• Mevzuatın öngördüğü asgari saklama süresi çıkış noktasını oluşturur.
• Verinin türü ve ilişkinin niteliği süreyi farklılaştırabilir.
• Kişisel verilerin korunması ilkeleri saklama süresini sınırlayan bir etkendir.

Mevzuat Çerçevesi ve Süreler

Türkiye'de suç gelirlerinin aklanmasının önlenmesine ilişkin düzenlemeler, yükümlülerin belge ve kayıtları belirli bir süre saklamasını öngörür. Bu kapsamda saklama yükümlülüğü, ilgili mevzuatta tanımlanan süre boyunca sürer ve genel olarak birden çok yıla yayılan bir dönemi kapsar. Sektöre özgü düzenlemeler — örneğin sermaye piyasası veya ödeme hizmetleri alanındaki gereksinimler — ek saklama koşulları getirebilir. Bu nedenle saklama süresi, tek bir düzenlemeye değil, kuruluşun tabi olduğu düzenlemeler bütününe göre belirlenir.

Mevzuat referanslarının doğru yorumlanması, saklama süresinin kuruluşa özgü biçimde belirlenmesini gerektirir. Süre, işlemin ya da ilişkinin sona erdiği tarihten itibaren hesaplanabilir; bu başlangıç noktasının doğru tanımlanması, sürenin tutarlı biçimde uygulanmasını sağlar. Mevzuata uygun bir saklama politikasının kurulması için MASAK ve AML hazırlığı kapsamındaki içerik değerlendirilebilir.

Saklamanın Teknik ve Operasyonel Boyutu

Belirlenen süre boyunca kayıtların güvenli, erişilebilir ve değişmez biçimde saklanması gerekir. Saklama düzeni; yetkisiz erişime karşı koruma, kaydın bütünlüğünün korunması ve gerektiğinde kayda erişilebilmesi ilkelerine dayanır. Verinin şifrelenmesi ve erişim yetkilerinin sınırlandırılması, saklama güvenliğinin temel bileşenleridir.

Operasyonel açıdan, saklanan verinin yedeklenmesi ve kurtarılabilir olması da önem taşır. Uzun saklama süreleri boyunca verinin okunabilir ve bütünlüğü doğrulanabilir kalması, saklama altyapısının sürekliliğini gerektirir. Kimlik doğrulama verilerinin güvenli işlenmesine ilişkin yaklaşım için dijital KYC başlıklı içerik incelenebilir.

Saklama altyapısının, artan kayıt hacmini uzun yıllar boyunca taşıyabilecek biçimde ölçeklenmesi de planlanır. Verinin bütünlüğünü doğrulayan mekanizmalar, saklama süresi boyunca kayıtların değiştirilmediğinin gösterilebilmesini sağlar. Bu güvence, kayıtların denetimlerde kanıt değeri taşıması açısından önemlidir.

Erişim yönetimi, saklama güvenliğinin sürekli işleyen bir bileşenidir. Kayıtlara kimlerin, hangi koşullarda eriştiğinin izlenmesi, verinin gizliliğinin korunmasına katkıda bulunur. Erişim kayıtlarının da tutulması, saklanan verinin yalnızca yetkili ve gerekçeli biçimde kullanıldığının gösterilebilmesini sağlar.

İmha ve KVKK Dengesi

Saklama süresinin sonunda, kayıtların denetimli biçimde imha edilmesi gerekir. Kişisel verilerin korunması mevzuatı, verinin amaç için gerekli süreyi aşan biçimde tutulmamasını öngörür; bu nedenle sürenin dolmasıyla birlikte verinin güvenli biçimde silinmesi ya da anonimleştirilmesi değerlendirilir. İmha süreci de, saklama gibi, izlenebilir ve belgelenebilir olmalıdır.

Uyum mevzuatının asgari saklama yükümlülüğü ile kişisel verilerin korunmasının veri minimizasyonu ilkesi arasındaki denge, saklama politikasının en kritik noktasıdır. Bu dengenin kuruluşa özgü biçimde kurulması, hem uyum riskinin hem de veri koruma riskinin yönetilmesini sağlar. Dengenin belgelenmiş bir politikayla tanımlanması, hem tutarlılığı hem de denetlenebilirliği güçlendirir.

İmha kararlarının merkezî bir politikayla yönetilmesi, süre dolmadan silme ya da süre sonrası gereksiz saklama gibi tutarsızlıkların önüne geçer. Önceden tanımlanmış bir saklama takvimi, hangi kaydın ne zaman imha edileceğinin belirlenmesini sağlar. Bu yaklaşım, hem uyum yükümlülüğünün hem de veri minimizasyonu ilkesinin tutarlı biçimde uygulanmasına katkıda bulunur.

Sonuç

AML ve KYC kayıtlarının saklanma süresi; mevzuatın öngördüğü asgari süre, verinin türü, sektörel düzenlemeler ve kişisel verilerin korunması ilkelerinin birlikte değerlendirilmesiyle belirlenir. Saklama süresi kadar, kayıtların güvenli tutulması ve süre sonunda denetimli biçimde imha edilmesi de sürecin bir parçasıdır. Doğru kurgulanmış bir saklama politikası, uyum yükümlülüğü ile veri minimizasyonu arasındaki dengeyi gözetir.