Hukuk büroları müvekkil verilerini işlerken KVKK kapsamında hangi yükümlülüklere tabidir? Pratik bir uyum kontrol listesi.
Kurucu ve CEO, Miron Group LLC
Hukuk büroları, müvekkillerine ait kimlik bilgileri, mali veriler, sağlık kayıtları, ceza yargılamasına ilişkin bilgiler gibi büyük ölçüde hassas nitelikli kişisel veri işler. Bu veri işleme faaliyeti, avukatlık mesleğinin sır saklama yükümlülüğünün yanı sıra, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında da ayrı yükümlülükler doğurur.
1. Aydınlatma yükümlülüğü: Müvekkilin verilerinin hangi amaçla, hangi yöntemle işlendiği konusunda bilgilendirilmesi.
2. Açık rıza veya başka bir hukuki sebep: Veri işlemenin hangi hukuki sebebe (sözleşmenin ifası, meşru menfaat, kanuni yükümlülük) dayandığının belirlenmesi.
3. Veri güvenliği tedbirleri: Fiziksel dosyalar ve dijital sistemler için yeterli teknik ve idari tedbirlerin alınması.
4. Veri saklama ve imha politikası: Dosyaların hangi süreyle saklanacağı, süre sonunda nasıl imha edileceğinin belirlenmesi.
5. Üçüncü taraf paylaşımlarının kontrolü: Bilirkişi, tercüman, danışman gibi üçüncü kişilerle veri paylaşımının hukuki zemine oturtulması.
Büro uyum dosyalarında en yaygın yapısal hata budur: her veri işleme faaliyetinin müvekkilin açık rızasına dayandırılması.
Kanun, açık rızayı işleme şartlarından yalnızca biri olarak sayar. Avukatlık faaliyetinde işlemenin dayanağı çoğu zaman rıza değildir: sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması ile bir hakkın tesisi, kullanılması veya korunması için işlemenin zorunlu olması, vekâlet ilişkisinin doğal dayanaklarıdır.
Rızaya dayanmanın somut riski şudur: açık rıza her zaman geri alınabilir. Müvekkil rızasını geri çektiğinde, işlemenin dayanağı rıza olarak kurulmuşsa hukuki temel ortadan kalkar. Oysa devam eden bir dava dosyasında veri işlemeyi durdurmak mümkün değildir. Doğru dayanağa oturtulmuş bir işleme faaliyeti bu kırılganlığı taşımaz.
Pratik sonuç: uyum çalışmasında her veri kategorisi için işleme sebebi ayrı ayrı yazılmalı ve rıza yalnızca gerçekten başka dayanağın bulunmadığı hâllerde kullanılmalıdır. Karşı taraf ve tanıklara ait veriler bakımından bu ayrım özellikle önemlidir — bu kişilerden rıza alınması pratikte mümkün olmadığından, işleme başka bir dayanağa oturmak zorundadır.
Kişisel verilerin işlenme amacı ortadan kalktığında silinmesi, yok edilmesi veya anonim hâle getirilmesi gerekir. Bu, bir defalık iş değil süreklilik gerektiren bir işleyiştir.
Bir büroda kurulması gerekenler:
Uygulamada en sık atlanan nokta yedeklerdir. Bir dosya ana sistemden silindiğinde yedeklerde, e-posta arşivinde ve personelin kişisel cihazlarında kalmaya devam ediyorsa silme gerçekleşmemiş sayılır.
Veri sahibi, kendisine ilişkin verilerin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltme, silinmesini isteme ve aktarıldığı üçüncü kişilere bildirilmesini isteme gibi haklara sahiptir.
Bu talepler veri sorumlusuna, yani buroya yapılır. Veri sorumlusu talebi en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırmakla yükümlüdür.
Talep reddedilirse, cevap yetersiz bulunursa ya da süresinde cevap verilmezse ilgili kişi Kurula şikâyette bulunabilir: cevabı öğrendiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde.
Bir büronun bu talepleri karşılayabilmesi için önceden hazır olması gerekenler: başvuruların hangi kanaldan alınacağı, kimin sorumlu olduğu, başvuru kaydının nasıl tutulacağı ve otuz günlük sürenin nasıl takip edileceği. Bu düzen kurulmadığında ilk başvuru geldiğinde süre, cevap hazırlanırken dolar.
Kurul kararlarıyla belirli meslek grupları — avukatlar da dâhil olmak üzere — Veri Sorumluları Sicili'ne kayıt yükümlülüğünden muaf tutulmuştur.
Bu muafiyetin kapsamı sık yanlış anlaşılır. Muafiyet yalnızca kayıt yükümlülüğüne ilişkindir; KVKK'nın diğer bütün yükümlülüklerini olduğu gibi bırakır. Aydınlatma yükümlülüğü, veri güvenliğine ilişkin teknik ve idari tedbirler, saklama ve imha politikası, ilgili kişi başvurularının karşılanması ve ihlal bildirimi muafiyetten etkilenmez.
"VERBİS'e kayıtlı değiliz, KVKK bizi kapsamıyor" değerlendirmesi bu yüzden hatalıdır. Muafiyet kapsamının güncel Kurul kararları üzerinden ayrıca teyit edilmesi de gerekir; kapsam zaman içinde değişmiştir.
Hukuk büroları dosya analizi için yapay zeka araçları kullanmaya başladıkça ek bir soru katmanı ortaya çıkar:
Bu sorulara net yanıt alınamayan bir araç, büronun KVKK sorumluluğunu genişletebilir. Konunun ayrıntılı ele alındığı yazı: yapay zeka hukuk asistanı seçerken veri güvenliği.
Veri ihlali gerçekleştiğinde bunun en kısa sürede ilgili kişilere ve Kurula bildirilmesi gerekir; Kurul kararı uyarınca Kurula bildirim için yetmiş iki saatlik bir pencere esas alınır.
Yetmiş iki saat, ihlalin fark edildiği andan itibaren işler ve bir büro için kısa bir süredir. Önceden belirlenmiş olması gerekenler:
Son madde özellikle önemlidir: ihlal bir tedarikçide gerçekleşmişse yükümlülük yine sizde kalır, ancak süreniz ancak haberdar olduğunuzda anlamlı biçimde başlar. Sağlayıcının bildirim süresi sözleşmede yazılı olmalıdır.
Aydınlatma yükümlülüğüne aykırılık, veri güvenliğine ilişkin yükümlülüklerin ihlali, Kurul kararlarına uymama ve kayıt ile bildirim yükümlülüklerine aykırılık idari para cezasına bağlanmıştır. Ceza tutarları her yıl yeniden değerleme oranına göre güncellendiği için bu yazıda sabit bir rakam verilmiyor; güncel tutarlar Kurumun yayınlarından teyit edilmelidir.
Yaptırım riskinin yanında ikinci bir boyut vardır ve hukuk büroları için genellikle daha ağırdır: mesleki sır yükümlülüğünün ihlali. Avukatlık Kanunu, avukatların görevleri dolayısıyla öğrendikleri hususları açığa vurmasını yasaklar. Bir veri ihlali, aynı anda hem KVKK hem meslek hukuku boyutu doğurabilir.
KVKK uyumu, hukuk büroları için hem yasal bir zorunluluk hem de müvekkil güveninin temelidir. Özellikle yapay zeka araçlarının yaygınlaşmasıyla, veri güvenliği artık teknoloji seçiminin ayrılmaz bir parçası haline gelmiştir.
Miron AI, veri minimizasyonu ve güvenlik kontrollerisı ve AB/Frankfurt sunucularıyla müvekkil verilerinizi güvenli biçimde işler; ürün iyileştirme için yalnızca açık onayınız varsa anonimleştirilmiş veri kullanılır.
Bu site işlevsel zorunlu çerezler kullanmaktadır. Analitik ve pazarlama çerezleri için onayınız gereklidir. Ayrıntılar için Çerez Politikası'nı inceleyebilirsiniz.