Hukuk Bürolarında KVKK Uyum Süreci

Hukuk büroları, faaliyetlerinin doğası gereği yoğun ve çoğu zaman özel nitelikli kişisel veri işler: sağlık raporları, ceza mahkûmiyeti bilgileri, aile ilişkileri, mali durum. Bu nedenle KVKK uyumu, büro açısından hem hukuki bir zorunluluk hem de mesleki sır yükümlülüğünün tamamlayıcısıdır.

1. Veri envanteri çıkarın

Uyum çalışması envanterle başlar. Şu sorular cevaplanmalıdır:

• Hangi veriler işleniyor? (kimlik, iletişim, mali, sağlık, ceza mahkûmiyeti, biyometrik)
• Kimlerin verileri? (müvekkiller, karşı taraflar, tanıklar, çalışanlar, stajyerler, tedarikçiler, ziyaretçiler)
• Nereden geliyor? (vekâletname, UYAP, e-posta, form, telefon, kamera)
• Nerede saklanıyor? (fiziksel dosya dolabı, yerel sunucu, bulut, kişisel dizüstü, telefon)
• Kimlere aktarılıyor? (adliye, icra daireleri, bilirkişi, muhasebeci, karşı vekil)
• Ne kadar süre saklanıyor?

Envanter olmadan diğer adımlar havada kalır.

2. Hukuki sebepleri belirleyin

Avukatlık faaliyetinde işlenen verilerin büyük bölümü, KVKK m.5'teki açık rıza dışı sebeplere dayanır:

• Vekâlet sözleşmesinin ifası
• Hukuki yükümlülüğün yerine getirilmesi
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması

Bu nedenle her işlem için açık rıza almaya çalışmak hem gereksiz hem de yanıltıcıdır. Özel nitelikli veriler için m.6'daki şartlar ayrıca değerlendirilir.

3. Aydınlatma metinlerini hazırlayın

Ayrı ayrı metin gerekir:

• Müvekkil aydınlatma metni (vekâletname alınırken sunulur)
• Çalışan ve stajyer aydınlatma metni
• Ziyaretçi metni (kamera varsa levha ile katmanlı bilgilendirme)
• Web sitesi ve iletişim formu metni, ayrıca çerez aydınlatması

Metinler, verinin elde edildiği anda sunulmalıdır.

4. Erişim yetkilerini sınırlayın

• Dosyalara yalnızca o dosyada görevli kişiler erişmelidir.
• Kullanıcı bazlı hesap kullanılmalı; ortak parola paylaşımından kaçınılmalıdır.
• Mümkünse iki aşamalı doğrulama açılmalıdır.
• Log kayıtları tutulmalı; kimin hangi dosyaya ne zaman eriştiği görülebilmelidir.
• Fiziksel dosyalar kilitli dolapta tutulmalı, arşiv erişimi kayda bağlanmalıdır.

5. Yazılım ve bulut sağlayıcılarıyla sözleşme

Kullanılan büro yazılımı, e-posta, bulut depolama ve yedekleme hizmetleri veri işleyen konumundadır. Bu sağlayıcılarla:

• Veri işleme yükümlülüklerini düzenleyen yazılı sözleşme yapılmalı,
• Güvenlik tedbirleri ve ihlal bildirimi yükümlülükleri kararlaştırılmalı,
• Sunucuların bulunduğu ülke belirlenmeli; yurt dışına aktarım söz konusuysa KVKK m.9 çerçevesinde değerlendirme yapılmalıdır.

6. Saklama ve imha politikası

• Her veri kategorisi için saklama süresi belirlenmeli.
• Süre dolduğunda silme, yok etme veya anonim hâle getirme yapılmalı.
• Periyodik imha takvimi işletilmeli ve imha tutanağa bağlanmalı.
• Dosya kapandıktan sonra hangi belgelerin ne kadar saklanacağı, mevzuattaki zorunluluklar ve olası sorumluluk süreleri gözetilerek kararlaştırılmalıdır.

7. İhlal müdahale planı

Veri ihlali hâlinde ne yapılacağı önceden yazılı olmalıdır:

• İhlali kim tespit eder, kime bildirir
• Kapsam ve etkilenen kişi sayısı nasıl belirlenir
• Kurula ve ilgili kişilere bildirim kim tarafından, hangi metinle yapılır
• Kayıt ve delil nasıl korunur

8. Başvuru süreci

İlgili kişi başvuruları için kanal belirlenmeli, başvurular kayda alınmalı ve otuz günlük süre takvimlenmelidir.

9. Personel eğitimi ve gizlilik taahhüdü

Avukat, stajyer ve büro personeline düzenli eğitim verilmeli; gizlilik taahhütnameleri imzalatılmalıdır. Avukatlık Kanunu'ndan doğan sır saklama yükümlülüğü, KVKK yükümlülükleriyle birlikte ele alınmalıdır.

Örnek senaryo

Üç avukatlı bir büro, uyum çalışmasına envanterle başlar. Müvekkil, çalışan ve ziyaretçi için ayrı aydınlatma metinleri hazırlar. Büro yazılımı sağlayıcısıyla veri işleyen sözleşmesi imzalar. Dosya erişimini sorumlu avukat ve asistanla sınırlar, log kaydı açar. Saklama sürelerini politikaya bağlayıp yılda bir imha takvimi işletir.

Sık yapılan hatalar

• Aydınlatma ve açık rıza metnini birleştirmek.
• Her işlem için açık rıza almaya çalışmak.
• Yazılım ve bulut sağlayıcısıyla yazılı sözleşme yapmamak.
• Dosyaları süresiz saklamak ve imha politikası oluşturmamak.
• Ortak parola kullanmak ve erişim kaydı tutmamak.