Avukatlar için siber güvenlik temel önlemleri: sır saklama ve veri güvenliği yükümlülüğü

Hukuk büroları, müvekkillerine ait hassas ve gizli bilgileri yoğun biçimde işleyen kurumlardır. Bu bilgilerin dijital ortamda saklanması, avukatlık mesleğinin klasik sır saklama yükümlülüğünü, modern veri güvenliği gerekleriyle birleştirir.

Meslek sırrı: kağıt-dijital ayrımı yapılmaz

Avukatlık Kanunu m.36, avukatların kendilerine tevdi edilen veya meslekleri dolayısıyla öğrendikleri sırları açığa vurmalarını yasaklar; bu yasağa aykırılık, hukuki ve cezai sorumluluk doğurur (muvafakat verilen hâller ayrıktır). Bu yükümlülük, sırrın nerede saklandığına bakılmaksızın geçerlidir: bir müvekkil bilgisi ister bir kağıt dosyada, ister bir dizüstü bilgisayarda, ister bulut sisteminde tutulsun, avukatın bu bilgiyi açığa vurmama yükümlülüğü aynen devam eder.

Bu, siber güvenlik önlemlerinin avukatlar için yalnızca teknik bir tercih değil, doğrudan mesleki yükümlülüğün bir uzantısı olduğu anlamına gelir: yetersiz güvenlik önlemleri nedeniyle bir sırrın istemsizce açığa çıkması (ör. bir siber saldırı sonucu dosyaların ele geçirilmesi), avukatın sorumluluğunu gündeme getirebilir.

Dijital veriler için ek yükümlülük: KVKK m.12

Müvekkil bilgileri aynı zamanda kişisel veri niteliği taşıdığından, bu verileri dijital ortamda işleyen bir hukuk bürosu, Avukatlık Kanunundaki sır saklama yükümlülüğünün yanında, KVKK m.12'deki veri güvenliği yükümlülüklerine de tabidir: kişisel verilerin hukuka aykırı işlenmesini ve bunlara hukuka aykırı erişimi önlemeye, muhafazasını sağlamaya yönelik uygun teknik ve idari tedbirleri almak zorundadır.

Siber saldırı hâlinde bildirim yükümlülüğü

Bir siber saldırı veya veri ihlali sonucu müvekkil verilerinin kanuni olmayan yollarla ele geçirilmesi hâlinde, büro (veri sorumlusu sıfatıyla) bu durumu en kısa sürede ilgili kişilere ve Kişisel Verileri Koruma Kuruluna bildirmekle yükümlüdür (KVKK m.12/5). Bu bildirim yükümlülüğü, saldırının büronun kusuru olmadan gerçekleşmiş olması hâlinde bile devam eder.

Neden temel önlemler önemlidir?

Bu iki katmanlı yükümlülük (meslek sırrı + KVKK veri güvenliği) göz önüne alındığında, hukuk bürolarının temel siber güvenlik önlemlerini (güçlü ve düzenli değiştirilen parolalar, iki faktörlü kimlik doğrulama, düzenli yedekleme, güncel güvenlik yazılımları, personel farkındalığı) hafife almaması gerekir — bu önlemler, yalnızca teknik bir iyi uygulama değil, hukuki yükümlülüklerin gereğidir.

Örnek senaryo

Bir hukuk bürosunun e-posta sistemine yetkisiz bir erişim gerçekleşir ve müvekkillere ait hassas bilgiler içeren yazışmalar ele geçirilir. Büro, bu durumu fark eder etmez, KVKK m.12/5 uyarınca en kısa sürede ilgili müvekkillere ve Kişisel Verileri Koruma Kuruluna bildirimde bulunmalıdır; ayrıca, bu olayın önlenebilir bir güvenlik zafiyetinden kaynaklanması hâlinde, avukatın sır saklama yükümlülüğü bakımından da bir değerlendirme yapılması söz konusu olabilir.

Sık yapılan hatalar

• Sır saklama yükümlülüğünün yalnızca sözlü/yazılı açıklamaları kapsadığını, dijital güvenlik zafiyetlerini kapsamadığını sanmak. Yükümlülük, sırrın hangi yolla açığa çıktığına bakmaksızın geçerlidir.
• Küçük büroların KVKK yükümlülüklerinden muaf olduğunu düşünmek. Büyüklükten bağımsız olarak, kişisel veri işleyen her büro veri sorumlusu sıfatıyla m.12'deki tedbirleri almakla yükümlüdür.
• Veri ihlalini fark edildiğinde geciktirerek bildirmek. Kanun, bildirimin en kısa sürede yapılmasını arar; gecikme ayrı bir sorun teşkil edebilir.
• Temel güvenlik önlemlerini (parola, yedekleme, güncelleme) ihmal etmek. Bu önlemlerin eksikliği, hem KVKK hem de meslek sırrı yükümlülükleri açısından risk doğurur.