KVKK ve Avukatlık Büroları: Uyum Rehberi

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), Türkiye'de kişisel verilerin işlenmesine ilişkin temel yasal çerçeveyi oluşturur. Avukatlık büroları, mesleki faaliyetleri gereği yoğun miktarda kişisel veri işleyen kuruluşlardır. Müvekkil bilgileri, dava dosyaları, tanık ifadeleri, sağlık raporları ve adli sicil kayıtları gibi hassas veriler, avukatlık bürolarının günlük iş akışının ayrılmaz bir parçasıdır. Bu yazıda, avukatlık bürolarının KVKK kapsamındaki yükümlülüklerini ve uyum için atılması gereken adımları ele alıyoruz.

Avukatlık Büroları Neden Veri Sorumlusudur?

KVKK'nın 3. maddesi, veri sorumlusunu "kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen gerçek veya tüzel kişi" olarak tanımlar. Avukatlık büroları, müvekkillerinin kişisel verilerini hangi amaçlarla ve nasıl işleyeceklerine kendileri karar verdikleri için doğrudan veri sorumlusu sıfatını taşır.

Bu sıfat, beraberinde ciddi yükümlülükler getirir. Veri Sorumluları Sicil Bilgi Sistemine (VERBIS) kayıt, aydınlatma yükümlülüğü, veri güvenliği tedbirleri alma ve ilgili kişi başvurularını yanıtlama bu yükümlülüklerin başlıcalarıdır. KVKK'ya aykırılık halinde Kişisel Verileri Koruma Kurulu tarafından idari para cezaları uygulanabilir.

Hangi Veriler İşleniyor?

Avukatlık bürolarında işlenen kişisel veri kategorileri oldukça geniştir ve bunların önemli bir kısmı KVKK'nın 6. maddesi kapsamında "özel nitelikli kişisel veri" olarak değerlendirilir.

• Kimlik bilgileri: Müvekkillerin, karşı tarafların ve tanıkların ad, soyad, TC kimlik numarası, adres bilgileri.
• İletişim bilgileri: Telefon numaraları, e-posta adresleri, yazışma kayıtları.
• Hukuki bilgiler: Dava dosyaları, dilekçeler, bilirkişi raporları, mahkeme kararları.
• Mali bilgiler: Ücret sözleşmeleri, fatura bilgileri, ödeme kayıtları.
• Özel nitelikli veriler: Sağlık raporları, adli sicil kayıtları, biyometrik veriler (gerektiğinde).
• Çalışan verileri: Büro personelinin özlük dosyaları, maaş bilgileri, performans değerlendirmeleri.

Açık Rıza ve Hukuki İşleme Şartları

KVKK'nın 5. maddesi, kişisel verilerin işlenme şartlarını düzenler. Avukatlık büroları için en sık uygulanan işleme şartları şunlardır:

• Bir hakkın tesisi, kullanılması veya korunması: Dava takibi ve hukuki danışmanlık faaliyetleri bu kapsamda değerlendirilir.
• Sözleşmenin ifası: Avukatlık sözleşmesi kapsamında sunulan hizmetler için müvekkil verilerinin işlenmesi.
• Hukuki yükümlülük: Yasal zorunluluklar gereği tutulan kayıtlar (örneğin vergi mevzuatı kapsamında).
• Açık rıza: Yukarıdaki şartların kapsamına girmeyen durumlarda müvekkilden açık rıza alınması gerekir.

Özel nitelikli kişisel verilerin işlenmesinde ise KVKK'nın 6. maddesi daha sıkı şartlar öngörür. Sağlık verileri ve adli sicil kayıtları gibi hassas bilgilerin işlenmesinde ek güvenlik tedbirleri alınmalı ve Kurul tarafından belirlenen yeterli önlemler sağlanmalıdır.

Aydınlatma Yükümlülüğü

KVKK'nın 10. maddesi gereği, veri sorumlusu kişisel verilerin elde edilmesi sırasında ilgili kişiyi aydınlatmakla yükümlüdür. Avukatlık büroları, müvekkilleriyle avukatlık sözleşmesi imzalanırken aydınlatma metnini sunmalıdır. Bu metinde veri sorumlusunun kimliği, verilerin işlenme amacı, kimlere aktarılabileceği ve ilgili kişinin hakları açıkça belirtilmelidir.

Aydınlatma yükümlülüğü sadece müvekkiller için değil, büro çalışanları, stajyerler ve ziyaretçiler için de geçerlidir. Her bir grup için ayrı aydınlatma metinleri hazırlanmalıdır.

Veri Güvenliği Tedbirleri

KVKK'nın 12. maddesi, veri sorumlusunun kişisel verilerin hukuka aykırı olarak işlenmesini, erişilmesini önlemek ve muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmesini zorunlu kılar. Avukatlık büroları için bu yükümlülük, hem teknik hem de idari tedbirleri kapsar.

Teknik Tedbirler

• Dosyalara ve sistemlere erişimde güçlü parola politikaları ve iki faktörlü kimlik doğrulama uygulanması.
• Müvekkil verilerinin saklandığı sistemlerde veri şifreleme kullanılması.
• Düzenli yedekleme yapılması ve yedeklerin güvenli ortamda saklanması.
• Güncel antivirüs ve güvenlik duvarı yazılımlarının kullanılması.
• Ağ güvenliği ve yetkisiz erişim tespiti için log kayıtlarının tutulması.

İdari Tedbirler

• Büro içinde kişisel veri işleme politikası ve prosedürlerinin yazılı hale getirilmesi.
• Çalışanlara KVKK farkındalık eğitimi verilmesi.
• Veri işleyen üçüncü taraflarla (bulut hizmeti sağlayıcıları, muhasebeciler vb.) veri işleme sözleşmeleri imzalanması.
• Erişim yetkilerinin "bilmesi gereken" prensibiyle sınırlandırılması.

Veri İhlali Protokolü

KVKK'nın 12/5 maddesi, kişisel veri ihlali halinde veri sorumlusunun en kısa sürede ve her halükarda 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirimde bulunmasını zorunlu kılar. Ihlalden etkilenen kişilerin de en kısa sürede bilgilendirilmesi gerekir.

Avukatlık büroları, olası bir veri ihlali durumunda uygulanacak acil eylem planını önceden hazırlamalıdır. Bu plan; ihlalin tespiti, kapsamının belirlenmesi, Kurul'a bildirim, ilgili kişilerin bilgilendirilmesi ve düzeltici tedbirlerin alınması adımlarını içermelidir.

Veri Saklama ve İmha Politikası

KVKK'nın 7. maddesi, kişisel verilerin işlenmesini gerektiren sebeplerin ortadan kalkması halinde verilerin silinmesini, yok edilmesini veya anonim hale getirilmesini zorunlu kılar. Avukatlık büroları, hangi verilerin ne kadar süreyle saklanacağını belirleyen bir veri saklama ve imha politikası oluşturmalıdır.

Avukatlık Kanunu ve diğer mevzuat hükümleri gereği bazı belgelerin belirli sürelerle saklanması zorunludur. Bu yasal saklama süreleri ile KVKK'nın imha yükümlülüğü arasında denge kurulmalıdır. Saklama süresi dolan veriler, periyodik imha süreçleri kapsamında güvenli bir şekilde yok edilmelidir.

İlgili Kişi Hakları ve Başvuru Yönetimi

KVKK'nın 11. maddesi, ilgili kişilere kapsamlı haklar tanır: Kişisel verilerinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme ve şartları oluştuğunda silinmesini talep etme. Avukatlık büroları, bu başvuruları 30 gün içinde yanıtlamakla yükümlüdür.

Hukuk Asistanı ile KVKK Uyumu

Hukuk Asistanı, KVKK uyumlu bir altyapı üzerinde çalışır ve avukatlık bürolarının müvekkil verilerini güvenli bir şekilde yönetmesini sağlar. Tüm veriler şifrelenmiş ortamda saklanır, erişim yetkilendirmeleri granüler düzeyde yapılandırılabilir ve veri işleme faaliyetleri log kayıtlarıyla izlenebilir.

Platformun güvenlik altyapısı, veri ihlali tespiti ve bildirim süreçlerini kolaylaştıran mekanizmalar içerir. Müvekkil verilerinin saklama sürelerini takip eden otomatik hatırlatmalar sayesinde, imha yükümlülükleri de zamanında yerine getirilebilir. Hukuk Asistanı, avukatların mesleki faaliyetlerini yürütürken KVKK uyumluluğundan ödün vermeden çalışmalarını mümkün kılar.