Avukatlar ve hukuk büroları için KVKK rehberi: yükümlülükler, bulut, yurt dışına aktarım ve veri ihlali

Kısa özet

Hukuk büroları müvekkiller, karşı taraflar, tanıklar, çalışanlar ve stajyerler hakkında yoğun biçimde kişisel veri işler; bunların önemli kısmı sağlık, ceza mahkûmiyeti ve aile ilişkileri gibi özel nitelikli verilerdir. Bu rehber, büronun 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındaki yükümlülüklerini tek yerde toplar:

• Avukat ve büro, verilerin işleme amaç ve vasıtalarını belirlediği için veri sorumlusudur; yazılım ve bulut sağlayıcıları veri işleyendir (KVKK m.3).
• Dava ve takip işlerinde açık rıza çoğu zaman gerekmez; sözleşmenin ifası, hukuki yükümlülük ve bir hakkın tesisi, kullanılması veya korunması yeterlidir (m.5/2).
• 2024 değişikliğiyle özel nitelikli veriler de "hakkın tesisi" için zorunlu olduğunda açık rıza olmadan işlenebilir; ancak Kurulun belirlediği yeterli önlemler şarttır (m.6/3-4).
• Verinin elde edildiği anda aydınlatma yapılır (m.10); ilgili kişi başvuruları en geç otuz günde sonuçlandırılır (m.13).
• Veri güvenliğinden büro, bulut sağlayıcısıyla birlikte müştereken sorumludur (m.12/2).
• Sunucular yurt dışındaysa yeni yurt dışına aktarım rejimi uygulanır: yeterlilik kararı, uygun güvenceler veya arızi aktarım (m.9).
• Veri ihlali en kısa sürede hem ilgili kişilere hem Kurula bildirilir (m.12/5).

Avukat veri sorumlusu mudur?

KVKK m.3 veri sorumlusunu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi olarak tanımlar. Müvekkil dosyasını hangi belgeyle, hangi sistemde, kimlerle paylaşarak yürüteceğine karar veren avukat veya büro bu tanıma girer.

Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen kişidir. Büro yazılımı, e-posta hizmeti, bulut depolama ve yedekleme sağlayıcıları tipik veri işleyenlerdir. Bu ayrım önemlidir: sorumluluğun ağırlığı büroda kalır, sağlayıcıyla ilişki sözleşmeyle düzenlenir.

KVKK yükümlülükleri, Avukatlık Kanunu m.36'daki sır saklama yükümlülüğünün yerine geçmez, onu tamamlar. Avukat, görevi dolayısıyla öğrendiği hususları açığa vuramaz; tanıklık için iş sahibinin muvafakati gerekir ve bu hâlde bile tanıklıktan çekinebilir.

Hangi hukuki sebeple veri işlenir?

KVKK m.5/1 kural olarak açık rıza arar; ancak m.5/2'de sayılan şartlardan biri varsa açık rızaya gerek yoktur. Avukatlık faaliyetinde öne çıkanlar:

• Sözleşmenin kurulması veya ifası (m.5/2-c): vekâlet ilişkisi kapsamında müvekkilin kimlik, iletişim ve dosya bilgileri.
• Hukuki yükümlülük (m.5/2-ç): mevzuattan doğan kayıt, saklama ve bildirim yükümlülükleri.
• Bir hakkın tesisi, kullanılması veya korunması (m.5/2-e): dava ve takip için karşı taraf, tanık ve delil verilerinin işlenmesi.
• Meşru menfaat (m.5/2-f): ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla.

Bu nedenle her işlem için açık rıza almaya çalışmak gereksizdir ve yanıltıcıdır: rızaya dayandırılan işlem, rıza geri alındığında belirsizleşir. Açık rıza, gerçekten başka bir hukuki sebep bulunmayan işlemler (ör. müvekkil bültenine ekleme) için saklanmalıdır.

Özel nitelikli veriler: 2024 değişikliği

KVKK m.6/1'e göre ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, kılık ve kıyafet, dernek, vakıf veya sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik veriler özel niteliklidir.

2/3/2024 tarihli 7499 sayılı Kanunla değiştirilen m.6/3, bu verilerin işlenmesini yasaklar, ancak sayılı hâllerde işlemeye izin verir. Avukatlar için en önemli istisna şudur: verinin bir hakkın tesisi, kullanılması veya korunması için zorunlu olması (m.6/3-d). Böylece işe iade davasında delil olarak sunulacak sağlık raporu veya ceza dosyasındaki adli sicil bilgisi, açık rıza olmadan da işlenebilir. Diğer istisnalar arasında açık rıza, kanunlarda açıkça öngörülme ve istihdam, iş sağlığı ve güvenliği, sosyal güvenlik alanlarındaki hukuki yükümlülükler sayılır.

Hangi istisnaya dayanılırsa dayanılsın, özel nitelikli verilerin işlenmesinde Kurul tarafından belirlenen yeterli önlemlerin alınması ayrıca şarttır (m.6/4). Uygulamada bu; bu verilere erişimi dosyanın sorumlu avukatıyla sınırlamak, ayrı ve şifreli saklamak, aktarımları kayda bağlamak ve ilgili personeli eğitmek demektir.

Aydınlatma yükümlülüğü

KVKK m.10 uyarınca veri sorumlusu, kişisel veriler elde edilirken ilgili kişiyi şu konularda bilgilendirir: veri sorumlusunun kimliği, işleme amacı, verilerin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebep ile m.11'deki hakları.

Büronun ayrı ayrı metinlere ihtiyacı vardır:

• Müvekkil aydınlatma metni (vekâletname veya ücret sözleşmesi aşamasında sunulur),
• Çalışan ve stajyer aydınlatma metni,
• Ziyaretçi metni (kamera varsa katmanlı bilgilendirme),
• Web sitesi, iletişim formu ve çerez aydınlatması.

Aydınlatma ile açık rıza ayrı belgelerdir; ikisini tek metinde birleştirmek sık yapılan bir hatadır. KVKK m.28/2 aydınlatma yükümlülüğü için bazı istisnalar getirir (suç soruşturması, ilgili kişinin alenileştirdiği veriler, meslek kuruluşlarının denetim ve disiplin görevleri, devletin mali çıkarları); bu istisnalar sayılı hâllerle sınırlıdır ve büronun olağan müvekkil ilişkileri için genel bir muafiyet getirmez.

İlgili kişinin hakları ve başvurular

Müvekkil, çalışan veya karşı taraf dahil herkes, veri sorumlusuna başvurarak verisinin işlenip işlenmediğini öğrenme, bilgi isteme, aktarıldığı üçüncü kişileri bilme, düzeltme ve silme isteme ile kanuna aykırı işleme nedeniyle zararın giderilmesini talep etme haklarına sahiptir (m.11).

Başvuru yazılı olarak veya Kurulun belirlediği yöntemlerle yapılır. Veri sorumlusu talebi, niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz sonuçlandırır; işlem ayrıca maliyet gerektiriyorsa Kurul tarifesindeki ücret alınabilir (m.13). Büro, başvuruları kayda alan bir kanal belirlemeli ve otuz günlük süreyi takvime bağlamalıdır.

Veri Sorumluları Sicili (VERBİS)

KVKK m.16 kural olarak veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydı zorunlu tutar; ancak Kurul, verinin niteliği, sayısı, işlemenin kanundan kaynaklanması gibi objektif kriterlere göre kayıt istisnası getirebilir. Büronun kayıt yükümlülüğü, çalışan sayısı ve mali büyüklük gibi kriterlere göre Kurul kararlarıyla belirlendiğinden, güncel Kurul kararlarından kontrol edilmelidir. Kayıt yapıldıysa bildirilen bilgilerdeki değişiklikler derhâl bildirilir (m.16/4).

Veri güvenliği: teknik ve idari tedbirler

KVKK m.12/1, veri sorumlusunu kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için uygun güvenlik düzeyini temin eden her türlü teknik ve idari tedbiri almakla yükümlü kılar. Büro için asgari liste:

• Yetki bazlı erişim: dosyaya yalnızca o dosyada görevli avukat, stajyer ve asistan erişir; ortak parola kullanılmaz.
• Güçlü parola ve iki aşamalı doğrulama tüm hesaplarda açıktır.
• Erişim kaydı (log): kimin hangi dosyaya ne zaman eriştiği görülebilir.
• Dizüstü bilgisayar, telefon ve yedekler şifrelenir; fiziksel dosyalar kilitli dolapta tutulur.
• Çalışanlara gizlilik taahhüdü imzalatılır ve düzenli eğitim verilir.
• Kurulan düzen yılda en az bir kez gözden geçirilir: veri sorumlusu, Kanun hükümlerinin uygulanmasını sağlamak için gerekli denetimleri yapmak veya yaptırmak zorundadır (m.12/3).

Veri sorumluları ve veri işleyenler öğrendikleri kişisel verileri Kanuna aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamaz; bu yükümlülük görevden ayrıldıktan sonra da devam eder (m.12/4). Ayrılan stajyer veya personelin hesapları aynı gün kapatılmalıdır.

Bulut ve büro yazılımı: müşterek sorumluluk

Dosyalar bulutta tutulduğunda sorumluluk sağlayıcıya geçmez. KVKK m.12/2'ye göre veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, güvenlik tedbirlerinin alınması hususunda bu kişilerle birlikte müştereken sorumludur. "Güvenliği sağlayıcıya bıraktık" savunması büroyu korumaz.

Sağlayıcı seçerken ve sözleşme yaparken şunlar sorulmalıdır:

• Veri işleme yükümlülüklerini, güvenlik tedbirlerini ve ihlal bildirimini düzenleyen yazılı sözleşme var mı?
• Veriler şifreli mi saklanıyor, erişim kaydı tutuluyor mu, her ofisin verisi ayrı mı?
• Sunucular hangi ülkede; yurt dışındaysa aşağıdaki m.9 şartları nasıl sağlanıyor?
• Hizmet sona erdiğinde veriler nasıl geri alınıyor ve siliniyor?

Yurt dışına aktarım: 2024'ten sonraki üç kademeli rejim

Sunucuları yurt dışında bulunan bir yazılım veya bulut hizmeti kullanmak, kişisel verilerin yurt dışına aktarılması anlamına gelir. 7499 sayılı Kanunla baştan yazılan KVKK m.9 üç kademe öngörür:

1. Hukuki sebepHer durumda

   Önce m.5 veya m.6'daki işleme şartlarından biri bulunmalıdır; bu her kademede aranır.

2. Yeterlilik kararı var mı?1. kademe

   Kurul, ülke, ülke içindeki sektör veya uluslararası kuruluş için yeterlilik kararı verir ve Resmî Gazete'de yayımlar (m.9/1-2).

   • Varsa: aktarım bu karar ve işleme şartıyla yapılır; karar en geç dört yılda bir yeniden değerlendirilir

3. Uygun güvence var mı?2. kademe

   Yeterlilik kararı yoksa, ilgili kişinin o ülkede de haklarını kullanabilmesi kaydıyla standart sözleşme, bağlayıcı şirket kuralları veya Kurul izinli taahhütname gibi uygun güvencelerden biri gerekir (m.9/4).

   • Standart sözleşme imzalanmasından itibaren beş iş günü içinde Kuruma bildirilir (m.9/5)

4. Arızi aktarım3. kademe

   İkisi de yoksa yalnızca arızi olmak kaydıyla sayılı hâllerde aktarım yapılabilir: risklerin anlatıldığı açık rıza, sözleşmenin ifası veya bir hakkın tesisi için zorunluluk gibi (m.9/6).

Her gün kullanılan bir büro yazılımı düzenli ve sürekli bir aktarımdır; bunu arızi aktarım hâllerine dayandırmak güçtür, birinci veya ikinci kademe aranmalıdır.

Yeterlilik kararı verilirken Kurul öncelikle karşılıklılık durumunu, alıcı ülkenin mevzuatı ve uygulamasını, bağımsız ve etkin bir veri koruma kurumu ile idari ve adli başvuru yollarının varlığını ve ülkenin veri korumaya ilişkin uluslararası sözleşmelere taraf olup olmadığını dikkate alır (m.9/3). Karar süresiz değildir; Kurul onu ileriye etkili olarak değiştirebilir, askıya alabilir veya kaldırabilir.

Pratik sonuç: yazılım seçerken "veriler şifreli mi?" sorusu yeterli değildir. Şifreleme teknik bir tedbirdir; m.9'daki aktarım şartları ayrıca ve bağımsız olarak sağlanmalıdır. Sunucuları yurt içinde olan bir hizmet bu sorunu ortadan kaldırır, fakat m.12'deki veri güvenliği yükümlülükleri yine geçerlidir.

Saklama ve imha

KVKK m.7 uyarınca, hukuka uygun işlenmiş olsa bile işlenmesini gerektiren sebepler ortadan kalktığında kişisel veriler resen veya ilgili kişinin talebiyle silinir, yok edilir veya anonim hâle getirilir. Diğer kanunlardaki saklama hükümleri saklıdır.

Büro her veri kategorisi için saklama süresini yazılı bir politikaya bağlamalı, kapanan dosyalarda hangi belgenin ne kadar tutulacağını mevzuattaki zorunluluklar ve olası sorumluluk süreleriyle birlikte belirlemeli, periyodik imha takvimi işletmeli ve imhayı tutanağa bağlamalıdır. Süresiz saklama, hem güvenlik riski hem de m.7'ye aykırılık oluşturur.

Veri ihlali müdahale planı

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir; Kurul gerekirse durumu kendi internet sitesinde ilan edebilir (m.12/5). Kanun gün sayısı vermez; "en kısa süre" ancak önceden hazırlanmış bir planla karşılanabilir.

1. Tespitİlk saatler

   Şüpheli erişim, kaybolan cihaz veya yanlış kişiye giden e-posta fark edilir ve plandaki sorumluya hemen bildirilir.

2. SınırlamaHemen

   Etkilenen hesabın parolası değiştirilir, oturumlar kapatılır, cihaz uzaktan kilitlenir veya sistem izole edilir.

3. Kapsam

   Hangi dosyaların, kimlere ait hangi verilerin ve özel nitelikli veri bulunup bulunmadığı belirlenir; kayıtlar delil olarak korunur.

4. BildirimEn kısa sürede

   Durum en kısa sürede hem etkilenen kişilere (müvekkil, çalışan) hem Kişisel Verileri Koruma Kuruluna bildirilir (KVKK m.12/5).

5. İyileştirme

   İhlale yol açan zafiyet giderilir, ekip bilgilendirilir, plan güncellenir.

Sır saklama yükümlülüğü nedeniyle müvekkile yapılacak bildirimin içeriği, başka müvekkillerin bilgisini açığa vurmayacak şekilde hazırlanmalıdır.

Planın yalnızca yazılı olması yetmez; stajyer ve asistan dahil herkes şüpheli bir durumda kime haber vereceğini bilmelidir. Bildirimi yalnızca Kurula yapıp etkilenen müvekkilleri atlamak da hatalıdır: Kanun bildirimi her ikisine birden öngörür.

Yaptırımlar

KVKK m.18; aydınlatma yükümlülüğüne, veri güvenliği yükümlülüklerine, Kurul kararlarına ve Veri Sorumluları Siciline ilişkin yükümlülüklere uymayanlar ile 2024 değişikliğiyle standart sözleşme bildirimini yapmayanlar hakkında idari para cezası öngörür. Güncel tutarlar Kurumun duyurularından takip edilmelidir. Kurulun verdiği idari para cezalarına karşı idare mahkemelerinde dava açılabilir (m.18/3). Ayrıca kanuna aykırı işleme nedeniyle zarar gören kişi zararının giderilmesini isteyebilir (m.11) ve Avukatlık Kanunu'ndan doğan mesleki sorumluluk ayrıca gündeme gelebilir.

Büro için KVKK uyum yol haritası

1. Veri envanteri: hangi veriler, kimlere ait, nereden geliyor, nerede saklanıyor, kimlere aktarılıyor, ne kadar tutuluyor?
2. Hukuki sebep eşleştirmesi: her işlem için m.5 veya m.6'daki şartı belirleyin; açık rızayı istisna olarak kullanın.
3. Aydınlatma metinleri: müvekkil, çalışan, ziyaretçi ve web sitesi için ayrı metinler.
4. Erişim ve güvenlik: kullanıcı bazlı hesaplar, iki aşamalı doğrulama, erişim kaydı, şifreleme.
5. Sağlayıcı sözleşmeleri: her veri işleyenle yazılı sözleşme; sunucu konumu ve m.9 değerlendirmesi.
6. Saklama-imha politikası ve periyodik imha takvimi.
7. Başvuru kanalı ve otuz günlük süre takibi.
8. Veri ihlali müdahale planı ve ekip eğitimi.
9. VERBİS durumunun güncel Kurul kararlarına göre kontrolü.
10. Yıllık iç denetim (m.12/3).

Örnek senaryo

Üç avukatlı bir iş hukuku bürosu uyum çalışmasına envanterle başlar ve müvekkillerin sağlık raporlarını, işe iade davalarında delil olarak işlediğini tespit eder. Bu işlemi 2024 değişikliğinden sonraki m.6/3-d'ye (hakkın tesisi için zorunluluk) dayandırır, raporlara erişimi yalnızca sorumlu avukat ve asistanla sınırlar ve belgeleri şifreli alanda saklar.

Büro, kullandığı dava takip yazılımının sunucularının yurt dışında olduğunu öğrenince sağlayıcıdan m.9 kapsamındaki dayanağı (yeterlilik kararı veya imzalanmış standart sözleşme ve Kuruma bildirim) yazılı olarak ister; tatmin edici cevap alamayınca sunucuları yurt içinde olan bir hizmete geçer. Müvekkil, çalışan ve web sitesi için ayrı aydınlatma metinleri hazırlar, saklama sürelerini politikaya bağlar ve bir veri ihlali müdahale planı yazıp ekibe tanıtır.

Birkaç ay sonra bir stajyerin dizüstü bilgisayarı çalınır. Plan sayesinde büro cihazı uzaktan kilitler, bilgisayarda hangi müvekkil dosyalarının bulunduğunu erişim kayıtlarından belirler ve en kısa sürede etkilenen müvekkillere ve Kurula bildirim yapar.

Sık yapılan hatalar

• Her işlem için açık rıza almaya çalışmak: avukatlık faaliyetinin büyük kısmı m.5/2'deki sebeplere dayanır; gereksiz rıza, geri alındığında belirsizlik yaratır.
• Aydınlatma ile açık rızayı tek metinde birleştirmek.
• Özel nitelikli verileri diğer belgelerle aynı erişim düzeyinde tutmak; m.6/4'teki yeterli önlemler ayrıca şarttır.
• "Bulut sağlayıcı sorumlu, biz değiliz" demek: m.12/2 müşterek sorumluluk öngörür.
• Sunucu konumunu sormamak veya yalnızca şifrelemeye güvenmek: m.9 şartları ayrıca sağlanmalıdır; standart sözleşme beş iş günü içinde bildirilmezse ayrıca yaptırım vardır.
• Veri ihlalini gizlemek veya bildirimi yalnızca Kurula yapmak: bildirim hem ilgili kişilere hem Kurula en kısa sürede yapılır.
• Dosyaları süresiz saklamak ve imha politikası oluşturmamak.
• Ayrılan personelin hesaplarını açık bırakmak: sır saklama ve m.12/4 yükümlülüğü ayrılıştan sonra da sürer.

LexLawy'de her ofisin verileri ayrı tutulur, kullanıcı rolleri ve denetim kaydı bulunur; bu özellikler büronun KVKK uyumunu destekler, ancak aydınlatma, saklama politikası ve ihlal planı gibi iç süreçlerin büro tarafından yürütülmesi gerekir.