Avukatlar için KVKK: büroda kişisel veri işlerken temel yükümlülükler

Hukuk büroları müvekkiller, karşı taraflar, tanıklar ve çalışanlar hakkında yoğun biçimde kişisel veri işler. Bu verilerin önemli bir kısmı sağlık, ceza mahkûmiyeti gibi özel nitelikli verilerdir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), avukatlık mesleğinin sır saklama yükümlülüğüyle birlikte değerlendirilmelidir.

Hukuki sebepler

KVKK m.5 uyarınca kişisel veriler, açık rıza dışında şu sebeplerle işlenebilir:

• Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması (vekâlet ilişkisi),
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi,
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
• Veri sorumlusunun meşru menfaati.

Avukatların dava ve takip işlerinde işlediği verilerin büyük bölümü "hakkın tesisi, kullanılması veya korunması" kapsamında değerlendirilebilir.

Özel nitelikli veriler

Sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri, biyometrik ve genetik veriler gibi özel nitelikli veriler KVKK m.6'daki şartlara tabidir. Bu verilerin işlenmesinde Kurul'un belirlediği yeterli önlemlerin alınması gerekir.

Aydınlatma yükümlülüğü

KVKK m.10 uyarınca veri sorumlusu, verileri elde ederken ilgili kişiyi kimliği, işleme amacı, aktarım yapılabilecek kişiler, toplama yöntemi ve hukuki sebep ile ilgili kişinin hakları konusunda bilgilendirmelidir. Büronun müvekkiller ve çalışanlar için aydınlatma metinleri bulunmalıdır.

Veri güvenliği

KVKK m.12 veri sorumlusuna teknik ve idari tedbir alma yükümlülüğü getirir:

• Dosya ve belgelere yetki bazlı erişim,
• Güçlü parola ve mümkünse iki aşamalı doğrulama,
• Cihaz ve yedeklerin şifrelenmesi,
• Çalışanlara gizlilik taahhüdü ve eğitim,
• Veri ihlali hâlinde Kurul'a ve ilgililere bildirim prosedürü.

Bulut ve yazılım kullanımı

Büro yazılımı veya bulut hizmeti kullanıldığında sağlayıcı veri işleyen konumundadır; veri işleyenle yapılan sözleşmede güvenlik yükümlülükleri düzenlenmelidir. Sunucuların yurt dışında olması hâlinde yurt dışına aktarım kuralları (KVKK m.9) dikkate alınmalıdır.

Örnek senaryo

Bir iş hukuku bürosu, müvekkilin sağlık raporunu işe iade davasında delil olarak kullanacaktır. Rapor özel nitelikli veri olduğundan büro, erişimi yalnızca dosyanın sorumlu avukatı ve asistanıyla sınırlar, belgeyi şifreli ortamda saklar ve müvekkile aydınlatma metnini verir.

Sık yapılan hatalar

• Her işlem için açık rıza almaya çalışmak veya hiç aydınlatma yapmamak,
• Özel nitelikli verileri diğer belgelerle aynı erişim düzeyinde tutmak,
• Yazılım sağlayıcısıyla veri işleme sözleşmesi yapmamak,
• Eski dosyaları süresiz saklamak.

LexLawy'de her ofisin verileri ayrı tutulur, kullanıcı rolleri ve denetim kaydı bulunur; bu özellikler KVKK uyumunuza destek olur ancak aydınlatma ve iç süreçlerin büro tarafından yürütülmesi gerekir.