Avukatlar ve Hukuk Büroları KVKK Kapsamında mı? VERBİS İstisnası, Müvekkil Dosyası ve Kurul Kararlarıyla Avukatın Veri Sorumluluğu

Kısa cevap: avukatlar KVKK kapsamındadır ve çoğu durumda veri sorumlusu sayılırlar. Karışıklığın kaynağı VERBİS. Kurul'un 2 Nisan 2018 tarihli ve 2018/32 sayılı kararıyla avukatlar Veri Sorumluları Siciline kayıt yükümlülüğünden istisna tutuldu, bu doğru. Ama o istisna yalnızca Kanun'un 16. maddesindeki sicile kayıt yükümlülüğünü kaldırıyor. Aydınlatma yükümlülüğü, veri güvenliği tedbirleri, ilgili kişi başvurularına cevap verme, veri ihlalinde 72 saat içinde Kurula bildirim, saklama ve imha planı, hepsi yerinde duruyor. Kurul bugüne kadar avukatlara ve avukatlık ortaklıklarına idari para cezası verdi. Cezaların çıktığı yer de neredeyse hep aynı: Kanun'un 12. maddesi.

İstisna kararının kapsamını doğru okumak gerekiyor. 15 Mayıs 2018 tarihli ve 30422 sayılı Resmî Gazete'de yayımlanan 2018/32 sayılı kararın ekindeki listede altı kalem var: herhangi bir veri kayıt sisteminin parçası olmak kaydıyla yalnızca otomatik olmayan yollarla kişisel veri işleyenler, noterler, faaliyet alanlarıyla sınırlı kalmak ve kendi çalışan, üye ve bağışçılarına yönelik olmak şartıyla dernekler, vakıflar ve sendikalar, siyasi partiler, 1136 sayılı Avukatlık Kanunu uyarınca faaliyet gösteren avukatlar, serbest muhasebeci mali müşavirler ile yeminli mali müşavirler. Karar metni avukatlar diyor; avukatlık ortaklıkları da Avukatlık Kanunu'na göre kurulduğu için uygulamada aynı kapsamda değerlendiriliyor. Dikkat edilecek yer şurası. Hukuki hizmeti avukatlık ortaklığı yerine bir danışmanlık şirketi üzerinden veriyorsanız ya da büronuz yazılım, eğitim, tahsilat gibi ayrı bir ticari faaliyet de yürütüyorsa, o faaliyet bakımından istisnaya güvenmeyin.

En sık duyduğum itiraz şu: ben müvekkilimin talimatıyla çalışıyorum, o hâlde veri işleyenim, sorumluluk müvekkilde. Kurul bu yaklaşımı benimsemiyor. 28 Mayıs 2020 tarihli ve 2020/429 sayılı kararda, bir bankanın alacağı için icra takibi yürüten avukat açıkça veri sorumlusu olarak nitelendi. 22 Mart 2023 tarihli ve 2023/437 sayılı kararda ise bir avukatlık ortaklığının kişisel verilerin işlenme amaç ve vasıtalarını kendisinin belirlediği, dolayısıyla veri sorumlusu kabul edilmesi gerektiği belirtildi. Sonuç mesleğin yapısıyla da uyumlu. Avukat, müvekkilinden talimat alıp uygulayan bir taşeron değil; hangi delilin toplanacağına, hangi sorgunun yapılacağına, dosyanın nerede ve ne kadar saklanacağına kendisi karar veren bağımsız bir meslek mensubu. Pratik karşılığı net: kendi aydınlatma metniniz, kendi saklama sürelerinizi gösteren politikanız ve gerektiğinde kendi ihlal bildiriminiz olacak.

İkinci yaygın yanılgı 28. madde üzerinde. Kanun'un 28. maddesinin birinci fıkrasının (d) bendi, kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak işlenmesini Kanun'un tümüyle dışında bırakıyor. Ama bendi sonuna kadar okumak gerekiyor: istisna, bu verilerin yargı makamları veya infaz mercileri tarafından işlenmesi hâlinde geçerli. Avukat yargı makamı değil. Bir dava dosyasında çalışıyor olmak sizi Kanun'un kapsamı dışına çıkarmıyor. İkinci fıkranın (c) bendi ise kamu kurumu niteliğindeki meslek kuruluşlarının disiplin soruşturmasından söz ediyor ve bu, baronun kendi soruşturmasını ilgilendiriyor, sizin müvekkil dosyanızı değil. Avukatın gerçek dayanağı başka yerde duruyor: 5. maddenin ikinci fıkrasının (e) bendindeki, bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması şartı.

Uyum konuşulurken avukatların en çok tedirgin olduğu başlık, vekâletname olmadan dosya incelemek ve UYAP üzerinden sorgu yapmak. Kurul bunu 20 Mayıs 2021 tarihli ve 2021/511, 2021/512 ve 2021/513 sayılı kararlarında ele aldı. İhbarlar, alacaklı vekillerinin icra tevzi bürolarına başvurup borçluların taraf olduğu dosyalara vekâletname olmaksızın eriştiği yönündeydi. Kurul hukuka aykırılık bulmadı. Gerekçe, Avukatlık Kanunu'nun 46. maddesindeki avukat veya stajyerin vekâletname olmaksızın dava ve takip dosyalarını inceleyebileceği hükmü ile İcra ve İflas Kanunu'nun Ulusal Yargı Ağı Bilişim Sistemi üzerinden sorgulamaya ve borçlunun üçüncü kişilerdeki alacaklarının haczine ilişkin hükümleriydi; işleme, kanunlarda açıkça öngörülmesi şartına dayandırıldı. UYAP sorgusu tek başına ihlal değil yani. Sınır da aynı gerekçeden çıkıyor. Koruma, yürüttüğünüz takip veya dava için yapılan sorguya ait; merak ettiğiniz bir ismi ya da olası bir müvekkili taramak bu kapsamda değil. 46. madde ayrıca dosyadan örnek veya fotokopi alınmasını vekâletname ibrazına bağlıyor.

Ceza kesilen olaylara bakınca ortak nokta hemen görünüyor: borçlunun kendisi dışındaki insanlara ulaşmak. 14 Ocak 2020 tarihli ve 2020/26 sayılı kararda avukat, borçluya gönderdiği ödemeye davet mesajının benzerini borçlunun kardeşinin numarasına da gönderdi; Kurul 12. maddeye aykırılık tespit edip 50.000 TL idari para cezası uyguladı. 2020/429 sayılı kararda mesajlar borçlunun ağabeyine ve iş arkadaşlarına gitmişti, ceza 125.000 TL oldu. 11 Mart 2021 tarihli ve 2021/228 sayılı kararda bir hukuk bürosu, borçlu şirketin ortağı sandığı kişiye icra dosyasına ilişkin mesaj gönderdi; oysa o kişi hissesini devredip ayrılmıştı, ayrılış 2015'te Ticaret Sicili Gazetesi'nde yayımlanmıştı ve mesajlar 2019'da gitmişti. Kurul burada 5. madde ile 12. maddenin birinci fıkrasının (a) bendi bakımından hukuka aykırılık gördü. Buna karşılık 2023/437 sayılı kararda, avukatlık ortaklığının doğrudan borçlunun kendisine yaklaşık ayda bir ve mesai saatleri içinde gönderdiği beş mesaj hukuka uygun bulundu, şikayet reddedildi. Fark muhatapta ve ölçüde.

Karşı tarafın ve tanığın verisi ayrı bir başlık. 2 Kasım 2021 tarihli ve 2021/1111 sayılı kararda avukat, işçilik alacağı davasında karşı tarafın tanığının ceza mahkûmiyeti bilgisini adliye kanalıyla elde edip beyan dilekçesine yazdı. Kurul adli sicil kaydını özel nitelikli kişisel veri saydı, 6. madde ile 12. maddenin birinci fıkrasının (a) bendine aykırılık tespit etti ve 75.000 TL ceza uyguladı. Şimdi ters yöndeki karara bakın. 17 Ağustos 2023 tarihli ve 2023/1414 sayılı kararda avukat, müvekkilleri adına bir DNA test raporunu mahkemeye sundu; Kurul, Hukuk Muhakemeleri Kanunu'nun 219. maddesindeki belgeleri ibraz zorunluluğunu ve raporun ihtilafla ilgisini dikkate aldı, verinin hukuka aykırı elde edildiğini gösteren bir delil de sunulmadığı için şikayeti reddetti. İki karar birlikte okununca ölçü ortaya çıkıyor. Belgenin dosyayla gerçek bir ilgisi ve elde ediliş biçiminin hukuki bir dayanağı varsa mahkemeye sunmak sorun değil; tanığın güvenilirliğini gölgelemek için toplanmış bir kayıt ise sorun.

Bu noktada 2024'te yürürlüğe giren bir değişikliği bilmek işinize yarar. 7499 sayılı Kanun'la 6698 sayılı Kanun'un 6. maddesi yeniden yazıldı ve yeni metin 1 Haziran 2024'te yürürlüğe girdi. Eskiden sağlık ve cinsel hayat dışındaki özel nitelikli veriler, açık rıza olmadan yalnızca kanunlarda öngörülen hâllerde işlenebiliyordu. Bugün 6. maddenin üçüncü fıkrasının (d) bendi, bir hakkın tesisi, kullanılması veya korunması için zorunlu olmayı da işleme şartları arasında sayıyor. Yani 2021/1111'e konu olan türden bir olay bugün tartışılsa avukatın elinde o tarihte bulunmayan bir dayanak olurdu. Ama iki kayıt yerinde duruyor. Birincisi, bent zorunluluk diyor, işe yarar olmayı değil; ceza mahkûmiyeti bilgisinin iddianızı ispat için gerçekten zorunlu olduğunu gösterebilmeniz gerekir. İkincisi, aynı maddenin dördüncü fıkrası özel nitelikli veri işlerken Kurul tarafından belirlenen yeterli önlemlerin alınmasını ayrıca şart koşuyor. Bir sağlık raporunu dosyaya eklerken ihtilafla ilgisi olmayan bölümleri karartmak çoğu dosyada hem işi görür hem sizi korur.

Sır saklama yükümlülüğü ile KVKK'yı birbirinin yerine koymak da sık rastlanan bir hata. Avukatlık Kanunu'nun 36. maddesi, avukatın görevi dolayısıyla öğrendiği hususları açığa vurmasını yasaklıyor ve bu konularda tanıklık edebilmesini iş sahibinin muvafakatine bağlıyor. İki düzenleme çakışmıyor, üst üste biniyor. Sır saklama müvekkile karşı bir borç, KVKK ise verisi işlenen herkese karşı bir yükümlülük. Aradaki farkı gösteren tek cümle şu: müvekkilinizin rızası, karşı tarafın ya da tanığın verisi bakımından size hiçbir yetki vermez. Müvekkil dosyayı teslim ederken karşı tarafa ait bir sağlık raporunu da vermiş olabilir; o belgeyi kullanmanız gerektiğinde dayanağınızı müvekkilin rızasında değil, Kanun'un 5. ve 6. maddelerinde aramanız gerekir.

Büro içinde asıl iş birkaç sıradan başlıkta. Aydınlatma metnini tek bir metin sanmayın; müvekkil, karşı taraf ve borçlu, iş başvurusu yapan aday, büro çalışanı ve ziyaretçi farklı gruplar ve farklı amaçlarla veri işleniyor. Katip, sekreter ve stajyerin hangi dosyaya erişebileceğini yazılı olarak belirleyin, UYAP ve e-tebligat şifrelerini paylaşmayın, çalışanlardan gizlilik taahhüdü alın. Saklama süresi tarafında Avukatlık Kanunu'nun 39. maddesi bir çıpa veriyor: avukat, kendisine tevdi olunan evrakı vekâletin sona ermesinden itibaren üç yıl süreyle saklamakla yükümlü, evrakın geri alınması müvekkile yazıyla bildirilmişse yükümlülük bildirim tarihinden itibaren üç ay sonra sona eriyor. Bunun üzerine ilgili zamanaşımı sürelerini ve kendi mesleki sorumluluk riskinizi koyup yazılı bir saklama ve imha planı çıkarın. Yirmi yıl önce kapanmış dosyaları depoda tutmanın hukuki bir gerekçesi yoksa, Kanun'un 4. maddesindeki ilgili amaç için gerekli olan süre kadar muhafaza edilme ilkesiyle başınız derde girer.

Teknik taraf küçük bürolarda genelde en zayıf halka. Dilekçe eklerini kişisel WhatsApp hesabından göndermek, dosyaları kişisel e-posta kutusunda biriktirmek, büro ağında herkese açık bir paylaşım klasörü tutmak, dizüstünü diski şifrelenmemiş hâlde adliyeye taşımak. Kurul'un avukatlara verdiği cezaların dayandığı 12. madde tam olarak bunları soruyor. Somut bir örnek: dilekçe ekini sekmede kalan yanlış adrese gönderdiniz ve ekte üç müvekkilin kimlik ve sağlık bilgisi vardı. Bu bir kişisel veri ihlalidir. Kurul'un 24 Ocak 2019 tarihli ve 2019/10 sayılı kararı gereği ihlali öğrendiğiniz andan itibaren en geç 72 saat içinde Kurula bildirim yapmanız, etkilenen kişilere de makul olan en kısa sürede haber vermeniz gerekir. VERBİS'e kayıtlı olmamanız bu yükümlülüğü değiştirmiyor. Dosyalarınızı tuttuğunuz bulut hizmetinin sunucuları yurt dışındaysa yurt dışına aktarım rejimini de ayrıca değerlendirmeniz gerekiyor.

Rakamlar ortada. 2026 yılında aydınlatma yükümlülüğünün yerine getirilmemesi 85.437 TL ile 1.709.200 TL, veri güvenliğine ilişkin yükümlülüklerin ihlali 256.357 TL ile 17.092.242 TL, Kurul kararlarını yerine getirmemek 427.263 TL ile 17.092.242 TL arasında idari para cezası gerektiriyor. Üzerine Türk Ceza Kanunu'nun 136. maddesindeki kişisel verileri hukuka aykırı olarak bir başkasına verme, yayma veya ele geçirme suçunu ve baro disiplin soruşturması ihtimalini de ekleyin. Kendinizi ölçmek için beş soru yeter: müvekkil dışındaki gruplar için ayrı bir aydınlatma metniniz var mı; borçluya giden mesajların yalnızca borçlunun kendisine ulaştığından emin misiniz; dosyaya eklediğiniz özel nitelikli belgeler için 6. maddede bir dayanak gösterebiliyor musunuz; büro çalışanlarının dosya erişimi yazılı olarak sınırlandırılmış mı; vekâleti biten dosyaların ne zaman imha edileceği belli mi. KVKK Danışman'ın ücretsiz ön değerlendirmesinde hukuk bürosunun mevcut durumunu bu başlıklarla karşılaştırıp önce nereye bakmanız gerektiğini çıkarıyoruz.

Randevu Al