Hukuk bürosunda KVKK uyumlu bulut kullanımı: veri güvenliği yükümlülüğü (6698 s.K. m.12)

Dosya ve müvekkil verilerini bulut tabanlı sistemlerde saklayan hukuk büroları, bu tercihle birlikte Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındaki veri güvenliği yükümlülüklerini de üstlenmiş olur. Bu yükümlülüklerin kapsamı m.12'de düzenlenir.

Temel yükümlülük: uygun güvenlik düzeyi (m.12/1)

KVKK m.12/1 uyarınca veri sorumlusu (burada: hukuk bürosu), aşağıdaki amaçlarla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almak zorundadır:

• Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,
• Kişisel verilere hukuka aykırı olarak erişilmesini önlemek,
• Kişisel verilerin muhafazasını sağlamak.

Bu, bürünün seçtiği bulut sisteminin, müvekkil bilgileri, dava dosyaları, kişisel veri içeren belgeler gibi verileri yeterli teknik güvenlik önlemleriyle (şifreleme, erişim kontrolü gibi) koruyup korumadığının değerlendirilmesi gerektiği anlamına gelir.

Bulut sağlayıcıyla müşterek sorumluluk (m.12/2)

Önemli bir nokta: hukuk bürosu, verileri kendi sunucusunda değil bir bulut sağlayıcısı üzerinden işlese bile, sorumluluktan kurtulmaz. KVKK m.12/2 uyarınca veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, gerekli tedbirlerin alınması hususunda bu kişiyle (bulut sağlayıcısıyla) birlikte müştereken sorumludur.

Bu, bir hukuk bürosunun "veri güvenliğini bulut sağlayıcıya devrettim, sorumluluk artık onda" diyerek kendini sorumluluktan muaf tutamayacağı anlamına gelir — büro, sağlayıcının uygun tedbirleri aldığından emin olmakla da yükümlüdür.

İç denetim yükümlülüğü (m.12/3)

Veri sorumlusu, kendi kurum veya kuruluşunda, KVKK hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır. Bu, hukuk bürolarının veri güvenliği uygulamalarını bir kez kurup unutmaması, düzenli olarak gözden geçirmesi gerektiği anlamına gelir.

Sır saklama ve amaç dışı kullanım yasağı (m.12/4)

Veri sorumluları ve veri işleyen kişiler, öğrendikleri kişisel verileri KVKK hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar; bu yükümlülük, ilgili kişinin görevden ayrılmasından sonra da devam eder.

Veri ihlali bildirimi (m.12/5)

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından ele geçirilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirmek zorundadır. Bir hukuk bürosunun bulut sistemine yetkisiz erişim olması hâlinde, bu bildirim yükümlülüğü derhal devreye girer.

Örnek senaryo

Bir hukuk bürosu, dava dosyalarını bir bulut depolama hizmetinde saklamaya karar verir. Büro, bu tercihiyle birlikte, seçtiği bulut sağlayıcısının yeterli güvenlik tedbirlerine sahip olup olmadığını değerlendirmekle yükümlüdür; sağlayıcıda bir güvenlik açığı nedeniyle veri ihlali yaşanırsa, büro da bulut sağlayıcısıyla müştereken sorumlu tutulabilir ve bu durumu derhal ilgili kişilere ve Kişisel Verileri Koruma Kuruluna bildirmesi gerekir.

Sık yapılan hatalar

• Bulut sağlayıcının sorumlu olduğunu, büronun sorumsuz kaldığını düşünmek. KVKK m.12/2 açıkça müşterek sorumluluk öngörür.
• Güvenlik tedbirlerini bir kez alıp bir daha gözden geçirmemek. m.12/3, düzenli denetim yükümlülüğü getirir.
• Veri ihlalini gizli tutmaya çalışmak. Kanun, ihlali en kısa sürede hem ilgilisine hem Kurula bildirmeyi zorunlu kılar; gecikme ayrı bir ihlal teşkil edebilir.
• Personel ayrıldıktan sonra sır saklama yükümlülüğünün sona erdiğini sanmak. m.12/4 bu yükümlülüğün görevden ayrılmadan sonra da devam ettiğini açıkça belirtir.