Hukuk bürosunda yedekleme stratejisi: verilerin muhafazası yükümlülüğü (KVKK m.12)

Bir hukuk bürosunun dosyaları, müvekkil bilgileri ve yazışmaları, büronun en değerli varlıkları arasındadır. Bu verilerin bir donanım arızası, insan hatası veya siber saldırı sonucu kaybolması, yalnızca operasyonel bir felaket değil, aynı zamanda KVKK açısından bir yükümlülük ihlali riski de taşır.

Muhafaza yükümlülüğü (KVKK m.12/1)

KVKK m.12/1, veri sorumlusuna (hukuk bürosuna) üç amaçla gerekli teknik ve idari tedbirleri alma yükümlülüğü getirir:

• Kişisel verilerin hukuka aykırı işlenmesini önlemek,
• Kişisel verilere hukuka aykırı erişimi önlemek,
• Kişisel verilerin muhafazasını sağlamak.

Bu üçüncü unsur — muhafaza — doğrudan yedekleme kavramıyla ilişkilidir. Bir verinin "muhafaza edilmesi", yalnızca yetkisiz erişime karşı korunmasını değil, aynı zamanda kazara kaybolmaya, arızaya veya felakete karşı da korunmasını gerektirir. Düzenli ve güvenilir bir yedekleme stratejisi, bu yükümlülüğün somut bir gereğidir.

Yedeklerin kendisi de güvenlik gerektirir

Önemli bir nokta: yedekleme, yalnızca "bir kopya almak" değildir. m.12/1'in hukuka aykırı işlenmeyi ve erişimi önleme unsurları, yedek verilerin kendisi için de geçerlidir. Güvensiz bir ortamda (ör. şifrelenmemiş, herkesin erişebileceği bir sürücüde) tutulan bir yedek, asıl veri kadar risk taşıyabilir — hatta bazen daha fazla, çünkü yedekler genellikle daha az dikkatle korunur.

Bulut yedeklemede müşterek sorumluluk

Birçok büro, yedeklemeyi bir bulut hizmeti üzerinden yapar. Ancak bu tercih, sorumluluğu tamamen devretmez: KVKK m.12/2 uyarınca veri sorumlusu, kişisel verilerin kendi adına başka bir kişi tarafından işlenmesi hâlinde, gerekli tedbirlerin alınması hususunda bu kişiyle (bulut/yedekleme sağlayıcısıyla) birlikte müştereken sorumludur. Büro, seçtiği yedekleme sağlayıcısının yeterli güvenlik önlemlerine sahip olduğundan emin olmalıdır.

Veri kaybı, bir veri ihlali midir?

Eğer yetersiz yedekleme nedeniyle veriler kalıcı olarak kaybolursa veya bir saldırı sonucu erişilemez hâle gelirse (ör. fidye yazılımı), bu durum KVKK m.12/5'teki veri ihlali bildirim yükümlülüğünü de gündeme getirebilir — çünkü verilerin kullanılabilirliğinin ortadan kalkması da bir güvenlik olayı olarak değerlendirilir.

Örnek senaryo

Bir hukuk bürosunun ana sunucusu bir donanım arızası nedeniyle kullanılamaz hâle gelir. Büronun düzenli ve güncel bir yedeği varsa, veriler kısa sürede geri yüklenebilir ve m.12'deki muhafaza yükümlülüğü yerine getirilmiş sayılabilir. Ancak yedekleme düzensiz veya eskiyse, önemli miktarda müvekkil verisi kalıcı olarak kaybolabilir — bu durum, büronun KVKK m.12/1'deki yükümlülüğünü yerine getirmediği şeklinde değerlendirilme riski taşır.

Sık yapılan hatalar

• Yedeklemeyi yalnızca bir "IT iyi uygulaması" olarak görüp KVKK yükümlülüğüyle ilişkilendirmemek. Muhafaza, m.12/1'in açık bir unsurudur.
• Yedekleri güvenliksiz bir ortamda tutmak. Yedekler de asıl veriler gibi güvenlik tedbirlerine tabidir.
• Yedekleme sağlayıcısını seçtikten sonra hiç denetlememek. m.12/2'deki müşterek sorumluluk, büronun sağlayıcının yeterliliğini takip etmesini gerektirir.
• Yalnızca tek bir yedek noktasına güvenmek. Tek noktadan yedekleme, o noktanın da etkilenmesi hâlinde (ör. aynı sisteme bağlı bir yedek) koruma sağlamayabilir; çeşitlendirilmiş bir strateji daha güvenlidir.