Avukatlık Faaliyetlerinde Kişisel Verilerin Korunması: 2026 KVKK Rehberi, Meslek Sırrı ve Yapay Zekâ Kullanımı

Avukatların kişisel veri işlemesi mesleğin doğal bir parçasıdır; ancak savunma görevi, 6698 sayılı Kanun'un uygulanmasını kendiliğinden ortadan kaldırmaz. Kişisel Verileri Koruma Kurumunun Türkiye Barolar Birliğinin katkılarıyla hazırladığı 2026 tarihli Uygulama Rehberi; bağımsız avukat, avukatlık ortaklığı, tevkil olunan avukat ve büro çalışanlarının konumunu açıklarken veri işleme şartları, meslek sırrı, delil temini, aydınlatma, VERBİS, saklama ve imha, veri ihlali ile üretken yapay zekâ araçlarına dosya aktarımını ele alır. Esas mesele, gerekli kişisel veriye hukuka uygun biçimde ulaşılması ve bu verinin yalnız hak arama amacıyla, ölçülü ve güvenli şekilde kullanılmasıdır.

Rehber ne zaman yayımlandı, amacı nedir ve hukuken nasıl değerlendirilmelidir?

Kişisel Verileri Koruma Kurumu (KVKK), Türkiye Barolar Birliğinin (TBB) görüş ve katkılarından yararlanılarak hazırlanan Avukatların Mesleki Faaliyetlerinde Kişisel Verilerin Korunmasına İlişkin Uygulama Rehberini kamuoyuna duyurdu. KVKK Yayınları No. 115 olarak yayımlanan eserin künyesinde Temmuz 2026 tarihi yer alır; tanıtım programı ise 22 Eylül 2026 tarihinde duyurulmuştur. Bu iki tarih, rehberin baskı/yayın künyesi ile kamuoyuna tanıtım sürecinin farklı aşamalarıdır.

Rehber, yalnızca avukatın müvekkil dosyasını nasıl saklayacağını söyleyen bir belge değildir. Savunma hakkı ile kişisel verilerin korunmasını isteme hakkı arasındaki dengeyi tartışmakta; ilgili kişilerin kapsamını, veri sorumlusu ve veri işleyen ayrımını, hukuki işleme şartlarını, yurt içi ve yurt dışı aktarımı, yapay zekâyı, veri güvenliğini ve uygulama örneklerini birlikte incelemektedir.

Rehber, kanun veya yönetmelik değildir. Bağlayıcı yükümlülüklerin kaynağı öncelikle Anayasa, 6698 sayılı Kanun, 1136 sayılı Avukatlık Kanunu, ilgili usul kanunları, ikincil mevzuat ve uygulanabilir Kurul kararlarıdır. Rehberin yorumları ve iyi uygulama önerileri, bu normların mesleki faaliyetlere nasıl yansıtılabileceğini gösteren önemli bir kurumsal kaynaktır. Tek başına yeni bir istisna, yaptırım veya genel izin yaratmaz. Bu ayrım, rehberin herhangi bir önerisinin somut dosyada kullanılması sırasında mutlaka korunmalıdır.

Rehberin tam metni: KVKK resmî PDF yayını. Kurumun resmî duyurusu da kapsamı özetler.

Avukatların yargılama faaliyetleri KVKK'dan tümüyle istisna mıdır?

Hayır. Avukatın bir mahkemeye delil sunması, avukat tarafından gerçekleştirilen her veri işleme faaliyetinin 6698 sayılı Kanun dışında kalacağı anlamına gelmez. 6698 sayılı Kanun m. 28/1-d hükmü; kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesine yönelik tam istisnayı düzenler. Burada hem işlemin mahiyeti hem de işlemi yapan makam önemlidir.

Kişisel Verileri Koruma Kurulunun 14.01.2020 tarihli ve 2020/26 sayılı kararında, avukatın yürüttüğü mesleki faaliyetin yargı makamınca yapılan işlemle özdeşleştirilemeyeceği değerlendirilmiştir. Bu nedenle avukatın yargıya delil temin etmesi, üçüncü kişi hakkında araştırma yapması, dilekçe yazması ve icra dosyası yürütmesi bakımından kanunun genel ilkeleri ve uygulanabilen yükümlülükler ayrıca dikkate alınmalıdır.

Bunun aksi de doğru değildir: KVKK, savunmanın gerekli bir delile ulaşmasını soyut şekilde yasaklayan bir kural olarak yorumlanamaz. Somut uyuşmazlıkta meşru hak arama amacı, kanuni bilgi ve belge isteme yetkileri, delilin gerekliliği, verinin elde ediliş yöntemi ve asgari veri kullanımı birlikte değerlendirilecektir. Savunma hakkı ile veri koruması arasında otomatik bir üstünlük ilişkisi değil, hukukilik ve ölçülülük denetimi vardır.

Hangi kişilerin hangi verileri avukatlık faaliyetlerinde işlenir?

Avukatlık faaliyetinde ilgili kişi yalnızca müvekkil değildir. Potansiyel müvekkiller, hukuki danışma talebinde bulunanlar, karşı taraf, borçlu, tanıklar, çalışanlar, aile bireyleri, şirket temsilcileri, bilirkişiler ve belgelerde adı geçen diğer gerçek kişiler de kişisel veri sahibi olabilir. Bir dosyanın avukata teslim edilmesi, dosyada bulunan bütün üçüncü kişi verilerinin her amaçla işlenmesine sınırsız bir hak vermez.

İş hukuku dosyasında özlük dosyası, bordro, SGK kayıtları, devamsızlık verileri ve işyeri yazışmaları; ceza dosyasında mahkûmiyet ve güvenlik tedbiri kayıtları; aile hukukunda çocuk, sağlık, aile içi iletişim ve mali durum bilgileri; miras dosyasında nüfus ve taşınmaz kayıtları işlenebilir. Hukuki yardımın özelliğine göre sendika üyeliği, sağlık, biyometrik veya genetik bilgiler gibi özel nitelikli kişisel veriler de dosyada bulunabilir.

Bu sınıflandırmanın pratik sonucu önemlidir: Dosya açılışında yalnız “müvekkil verileri” için bir kayıt tutmak çoğu zaman yeterli değildir. İşlemlerin hangi gerçek kişilere ait verileri içerdiği, nereden elde edildiği, hangi hukuki şartla işlendiği ve kime aktarıldığı kategoriler itibarıyla izlenebilmelidir. Özellikle üçüncü kişilerden alınan verilerin kaynağının sonradan açıklanabilir olması gerekir.

Avukat veri sorumlusu mu, veri işleyen mi? Sıfat sözleşmenin başlığından değil fiilî faaliyetten doğar

6698 sayılı Kanun m. 3'e göre veri sorumlusu, kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen gerçek veya tüzel kişidir. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen ayrı bir gerçek veya tüzel kişidir. Vekâlet ilişkisinin kurulmuş olması, avukatı tek başına veri işleyen hâline getirmez.

Avukatın, hangi delile ihtiyaç duyulacağına, hangi belgenin dava dosyasına sunulacağına, hukuki araştırmanın kapsamına ve muhafaza biçimine mesleki bağımsızlığı içinde karar vermesi, kural olarak veri sorumlusu yönünde güçlü bir göstergedir. Bununla birlikte avukatın ayrıntılı ve özel talimatlar altında, veri işleme amaç ve yöntemlerini belirleme imkânı bulunmaksızın sınırlı işlem yaptığı bir organizasyonda veri işleyen sıfatı da gündeme gelebilir. Her işlem grubu ayrı nitelendirilmelidir.

Kişisel Verileri Koruma Kurulunun 22.03.2023 tarihli, 2023/437 sayılı kararında avukatlık ortaklığı ile şirket arasındaki sözleşmede “veri işleyen” yazılmasına rağmen, ortaklığın ilgili veri işleme faaliyeti hakkında serbestçe karar vermesi nedeniyle veri sorumlusu olduğu kabul edilmiştir. Buna karşılık 09.02.2021 tarihli, 2021/115 sayılı karar belirli banka takip işlemlerinde avukatın müvekkil banka talimatları çerçevesinde veri işleyen olarak değerlendirilebileceğini göstermektedir. Bunlar bütün avukatlık işleri için tek ve değişmez bir sınıflandırma kurmaz.

Birlikte çalışan avukat, avukatlık ortaklığı ve tevkil edilen avukat

Aynı büroyu paylaşan bağımsız avukatların sırf fiziksel mekânı birlikte kullanması, bütün müvekkil dosyalarında ortak veri sorumlusu oldukları anlamına gelmez. Her avukatın kendi müvekkili ve kendi işleme amaçları bulunabilir. Buna karşılık tüzel kişiliği bulunan avukatlık ortaklığı, ortaklık adına yürütülen dosya işlemlerinde veri sorumlusu olabilir; bu durumda her ortağın aynı işlem bakımından ayrıca ve otomatik olarak veri sorumlusu olduğu söylenemez.

Tevkil eden avukatın belirli bir duruşma, haciz veya keşif için yetkilendirdiği başka avukatın, belirlenen işin sınırları içinde talimatla hareket ettiği durumda veri işleyen olarak değerlendirilmesi mümkündür. Rehber bu ihtimali özellikle ele alır; ancak tevkil edilen avukatın bağımsız biçimde başka amaçlar belirlediği veya kendi mesleki yükümlülüklerini yerine getirdiği farklı işlemler için yeniden sınıflandırma yapılmalıdır.

Bağlı çalışan avukatlar, stajyerler ve yardımcı personel

İşveren avukatın veya avukatlık ortaklığının organizasyonu içinde, onun belirlediği amaç ve yöntemlerle çalışan avukat, stajyer, sekreter, kâtip ve idari personel kural olarak ayrı bir “veri işleyen” değildir. İlgili kişiler erişim yetkileri sınırında veri sorumlusu organizasyonu içinde işlem yapar. Rehber, bağlı çalışan avukatın bağımsız olarak üstlendiği örneğin zorunlu müdafilik dosyasında ayrıca veri sorumlusu olabileceği özel durumu da açıklar.

Aşağıdaki tablo genel yaklaşımı gösterir; somut süreç ve hukuki organizasyon belgeleriyle kontrol edilmelidir.

Hukuki veri işleme şartı: Açık rıza her dosyada aranmaz, her veri de serbestçe kullanılamaz

6698 sayılı Kanun m. 5 ve özel nitelikli veriler yönünden m. 6, veri işlemenin hukuki şartlarını belirler. Avukatın hukuki hizmet sunması bağlamında sözleşmenin kurulması veya ifası, kanunda açıkça öngörülen durumlar, hukuki yükümlülüğün yerine getirilmesi ve bir hakkın tesisi, kullanılması veya korunması için zorunluluk sık karşılaşılan dayanaklardır. Her bir veri kategorisi, kişi grubu ve işlem amacı bakımından uygun şart belirlenmelidir.

Açık rıza, bütün diğer şartlardan üstün tutulan genel bir yetkilendirme değildir. Rehber, başka bir işleme şartı zaten mevcut olduğu hâlde avukatlık sözleşmesinin yanında standart bir açık rıza formuna başvurulmasını yanıltıcı bulabilecek uygulamalara dikkat çekmektedir. Avukatlık hizmetini, aslında rıza gerektirmeyen işlemler bakımından zorunlu açık rızaya bağlamak sorun doğurabilir. Buna karşılık, rıza dışındaki hukuki şartların bulunmadığı ayrı bir işlemde geçerli, özgür iradeyle verilmiş ve belirli bir açık rıza gerekebilir.

Somut bir dava için müvekkilin kimlik ve iletişim verilerini işlemekle, müvekkilin fotoğrafını büronun reklamında yayımlamak veya uyuşmazlık dosyasını eğitim amaçlı bir veri setine aktarmak aynı işlem değildir. İkinci grupta ayrıca amaç, veri işleme hukuki şartı, gizlilik ve meslek kuralları değerlendirilmelidir. Müvekkilin dosya açmış olması, her türlü yeni kullanım için önceden izin verdiği anlamına gelmez.

Özel nitelikli kişisel verilerde ek güvence

Sendika üyeliği, sağlık, ceza mahkûmiyeti ve güvenlik tedbirleri, biyometrik ve genetik veriler gibi bilgiler bakımından m. 6'daki güncel şartlar ve Kurulun yeterli önlemlere ilişkin kararları birlikte uygulanmalıdır. Hukukî temsil sırasında bir hakkın tesisi, kullanılması veya korunması için zorunluluk, somut olayda özel nitelikli veriler için de hukuki işleme şartı oluşturabilir. Ancak veri işleme şartının varlığı, gereksiz veri toplanmasını ya da yetkisiz erişimi hukuka uygun hâle getirmez.

Kurulun 16.09.2021 tarihli, 2021/925 sayılı kararında, sendikal nedenle fesih iddiasına dayanan bir işe iade davasında başka işçiye ilişkin sendika üyeliği bilgisinin dava konusu ve ispat ihtiyacıyla bağlantısı değerlendirilmiştir. Sonuç, sendikal verilerin bütün davalarda sınırsızca açıklanabileceği değil, ilgili ve gerekli delilin hukuki işlem bağlamında kullanılabileceğidir.

Avukatlık meslek sırrı ve veri koruma yükümlülüğü birbirini tamamlar

Avukatlık Kanunu m. 36, avukatların kendilerine tevdi edilen veya meslek dolayısıyla öğrendikleri hususları açıklamasına ilişkin mesleki sır saklama yükümlülüğünü düzenler. Bu yükümlülük avukat ile müvekkil arasındaki güvenin temel unsurudur. Kişisel veri mevzuatı ise sadece sır niteliğindeki bilgileri değil, tanımlanabilir gerçek kişiye ait verilerin hukuka uygun elde edilmesini, kullanılmasını, aktarılmasını, saklanmasını ve imhasını kapsar.

Bir verinin kamuya açık sicilde bulunması veya başka bir kaynaktan öğrenilmiş olması, her amaçla sınırsız kullanımına imkân vermez. Benzer şekilde müvekkilin bir belgenin mahkemeye sunulmasını istemesi, belgedeki alakasız sağlık, aile veya finans bilgilerini gereksiz şekilde çoğaltma yetkisi vermez. Meslek sırrı veri güvenliğinin etik ve mesleki temelini oluştururken KVKK, işlemenin amaç ve araçlarını ayrıca hukukilik denetimine tabi tutar.

Ofis içi bilgi paylaşımı da bu ölçüde sınırlandırılmalıdır. Bir ceza soruşturmasının ayrıntılarına yalnız ilgili ekibin erişmesi; personel bordroları, ödeme bilgileri ve müvekkil iletişiminin yalnız yetkili rollerde görülmesi; çalışma odalarında, toplantılarda veya ekran paylaşımında gereksiz belge ifşasından kaçınılması bu yükümlülüğün pratik sonuçlarıdır.

Delil ve bilgi toplama: Avukatlık Kanunu m. 2 sınırsız veri erişimi vermez

Avukatlık Kanunu m. 2, sayılan kamu kurumları ve özel kurumların, kanunlardaki özel hükümler saklı kalmak üzere avukata görevini yerine getirmesinde yardımcı olma ve gerekli bilgi-belgeleri incelemesine sunma yükümlülüklerini düzenler. Belgelerden örnek alınması ise vekâletname ibrazı gibi kanuni koşullara bağlı olabilir. İlgili kurumun veri koruma gerekçesiyle her talebi reddetmesi doğru olmadığı gibi, avukatın da somut dosyayla ilgisi olmayan bütün veri setini istemesi hukuka uygun kabul edilemez.

Bilgi ve belge isteminde talebin bağlı olduğu dosya, görev ve gereklilik açıkça açıklanmalıdır. Dava açılacaksa iddia ve ispat yükünün hangi bilgiyi gerektirdiği; icrada tahsil ve haciz işlemi yürütülüyorsa ilgili mevzuatın hangi sorgulamayı mümkün kıldığı; sağlık dosyası söz konusuysa özel düzenlemelerin ne gerektirdiği incelenmelidir. Rehber, Danıştay 1. Dairesinin 10.04.2002 tarihli, 2002/26 E., 2002/52 K. sayılı kararını bilgi istemindeki “gereklilik” ölçütü bağlamında anmaktadır. Bu karara ilişkin tam karar metni ayrıca temin edilmeden geniş sonuçlar veya uzun alıntılar bu yazıya aktarılmamıştır.

UYAP, TAKPAS, resmî sicil ve üçüncü kişi verileri

UYAP ve TAKPAS üzerinden sorgulama, yalnız sistemin teknik olarak erişilebilir olmasına değil, ilgili mevzuatın tanıdığı işlem ve yetki sınırlarına tabidir. Bir icra dosyasında borçlunun malvarlığına ilişkin bir sorgunun yapılabilmesi, sorgu sonucunun başka dosyaya, pazarlama havuzuna veya kişisel arşive kopyalanmasını kendiliğinden haklı kılmaz. Aynı şekilde nüfus, sağlık veya banka kayıtlarının temininde ilgili kurumun özel mevzuatı ve hukuki talep yetkisi denetlenmelidir.

Kurulun 18.10.2019 tarihli, 2019/308 sayılı ilke kararında, hukuka aykırı elde edilmiş veriler üzerinden vatandaşların kimlik ve iletişim bilgilerinin sorgulanabildiği programların kullanımı açık risk alanı olarak belirlenmiştir. Bu tür servislerin kullanılması idari yaptırımın yanında ceza soruşturmasına konu olabilecek sonuçlar doğurabilir. “Kolay ulaşılabilir” veya “ücretli hizmet” olması, böyle bir programı meşru veri kaynağı yapmaz.

Dilekçe, mahkeme dosyası ve icra takibine veri sunarken ölçülülük

Bir delil veya belgeyi yargı makamına sunmak, kişisel verinin aktarılması ve çoğu durumda ayrıca işlenmesi niteliğindedir. Savunmanın gerektirdiği bir belgenin ibrazı hukuken mümkün olsa bile açıklanan alanların dava konusuyla ilgisi, belgenin elde ediliş biçimi ve gereksiz veri içeren eklerin azaltılması değerlendirilmelidir. Yargılama makamının erişim yetkisi ile karşı taraf veya kamuya açık erişim riski aynı değildir.

Boşanma davasında çocukların sağlık kayıtlarının; iş davasında diğer çalışanların sendikal bilgilerinin; ticari uyuşmazlıkta karşı şirket yetkililerinin şahsi telefonlarının; ceza dosyasında üçüncü kişilere ait özel yazışmaların işlenmesi gerekebilir. Ancak somut iddiayı ispata katkı sunmayan bölümlerin yayılması veya dosya dışı ortama kontrolsüz aktarılması meşru hak arama amacıyla açıklanamaz. Gerektiğinde mahkemeden belgeyi celp etmesi, gizlilik veya erişim sınırlandırması istemesi, yalnız ilgili sayfaları ibraz etmesi gibi yollar dosyanın özelliklerine göre değerlendirilir.

Karşı tarafın kişisel verisi açık rıza alınmadan hiçbir zaman işlenemez önermesi de avukat karşı tarafın istediği bütün verileri toplayabilir önermesi de yanlıştır. Sağlıklı yöntem, işlemi gerekçelendiren hak veya kanun hükmünü, verinin gerekliliğini ve veri kaynağını dosya bazında gösterebilmektir.

Aydınlatma yükümlülüğü ilk müvekkil temasından başlayarak tasarlanmalıdır

6698 sayılı Kanun m. 10 ve Aydınlatma Tebliği gereğince ilgili kişiye, veri sorumlusunun kimliği, işleme amaçları, aktarım alıcıları ve amaçları, elde etme yöntemi, hukuki sebep ve ilgili kişi hakları hakkında bilgi verilmesi gerekir. Aydınlatma, açık rıza ile aynı işlem değildir. Kurulun 18.02.2026 tarihli, 2026/347 sayılı ilke kararı da aydınlatma ve açık rıza metinlerinin ayrı düzenlenmesi, aydınlatma için “rıza” istenmemesi ve somut veri işleme faaliyetine uygun, açık ve sade bilgi verilmesi gerektiğini vurgular. Bazı istisnalar mevzuatta düzenlenmişse olay ve işlem bazında ayrıca değerlendirilmelidir; avukatın bütün işlerine genel istisna olduğu varsayılamaz.

İlk telefon, web formu veya e-posta başvurusu sırasında, henüz hukuki hizmetin üstlenilmediği aşamada toplanan veri sınırlı tutulmalıdır. Temel iletişim ve randevu bilgisi yeterliyken otomatik olarak kimlik belgesi, sağlık raporu, ceza evrakı veya karşı tarafın tüm özel yazışmalarının gönderilmesini istemek veri minimizasyonu bakımından sorun yaratabilir. Dosyanın ön değerlendirmesi ve iş kabulü sonrasında hangi belgelerin hangi güvenli yöntemle isteneceği ayrıca belirlenebilir.

Veri müvekkilden değil üçüncü kaynaktan elde edilmişse Aydınlatma Tebliği m. 6'nın zamanlama hükümleri önem taşır: ilgili kişiyle iletişim için kullanılacak veride ilk iletişim, aktarım yapılacaksa en geç ilk aktarım gibi farklı durumlar düzenlenmiştir. Bu zamanlama kuralları; istisna, sır saklama yükümlülüğü, somut uyuşmazlık ve hak arama sürecinin özellikleriyle birlikte incelenmelidir.

Büro için uygulanabilir model, aşamalı aydınlatmadır: ilk başvuruda kısa ve açık bilgilendirme; hizmet kabulünden önce hukuki inceleme ve iletişim süreçlerine özgü metin; özel amaçlı veya ek tedarikçiye aktarımlarda gerekli ek bilgilendirme. Rehberin verdiği örnekler, kişisel verilerin ilk temasta gereğinden fazla toplanmamasını özellikle vurgular.

VERBİS muafiyeti avukatları KVKK yükümlülüklerinden muaf tutmaz

Kurulun 02.04.2018 tarihli ve 2018/32 sayılı kararı, Avukatlık Kanunu kapsamında faaliyet gösteren avukatları Veri Sorumluları Siciline (VERBİS) kayıt yükümlülüğünden istisna tutmuştur. Bu istisna, aydınlatma, genel ilkelere uygun işleme, veri güvenliği, ilgili kişi başvuruları, saklama ve imha, ihlal bildirimi gibi yükümlülükleri kaldırmaz.

VERBİS kaydının zorunlu olmaması ayrıca büro içinde veri envanterine ihtiyaç bulunmadığı anlamına gelmez. Resmî bir sicile kayıt yapılmasa da dosya kategorilerini, hangi personelin eriştiğini, ilgili kişi gruplarını, kullanılan hizmet sağlayıcıları, saklama gerekçelerini ve aktarım noktalarını gösteren bir iç kayıt oluşturulması güçlü bir uyum aracıdır. Tüzel kişiliği bulunan avukatlık ortaklıklarının sicil istisnasının sınırı, ilgili karar ve organizasyonun hukuki niteliği bakımından ayrıca değerlendirilmelidir; “bütün şirketler otomatik muaftır” denilemez.

Saklama ve imha: Dosya kapandı diye her şey silinmez, süresiz saklama da otomatik değildir

6698 sayılı Kanun m. 7, işlenmesini gerektiren sebepler ortadan kalktığında kişisel verilerin silinmesi, yok edilmesi veya anonimleştirilmesini düzenler. Avukatlık Kanunu m. 39 ise avukatın kendisine tevdi edilen evrakı vekâletin sona ermesinden itibaren üç yıl saklamakla yükümlü olduğunu; geri alınması yazılı bildirildiği durumlarda yükümlülüğün bildirimden itibaren üç ayın sonunda sona erdiğini belirtir. Bunlar bir dosyada işlenen bütün veri kategorileri için tek ve değişmez toplam arşiv süresi sayılmamalıdır.

Müvekkil alacağı, mesleki sorumluluk, vergi, muhasebe, elektronik belge ve olası uyuşmazlıklar bakımından farklı düzenlemeler devreye girebilir. İlgili kişinin imha talebi, dosyanın tamamının derhâl silinmesini zorunlu kılmadığı gibi; olası dava ihtimali de bütün belgelerin süresiz saklanmasını haklı kılmaz. Saklama matrisi, dosya türü ve veri kategorisi bazında hukuki dayanak, başlangıç olayı, süre, erişim ve imha yöntemi belirlemelidir.

İlgili kişinin silme talebi hukuka uygun nedenle tamamen veya kısmen reddedilecekse, reddin gerekçesi ve verinin hangi hukuki sebeple, hangi çerçevede tutulduğu açık biçimde açıklanmalıdır. Belge üzerindeki uyuşmazlık delilinin özgün biçiminin muhafazası ile artık gerekli olmayan iletişim kopyalarının silinmesi birbirinden ayrılabilir.

İlgili kişi başvuruları, cevap süresi ve meslek sırrının sınırı

Müvekkil, karşı taraf veya ilgili başka bir gerçek kişi 6698 sayılı Kanun m. 11 kapsamındaki haklarını kullanmak için usulüne uygun şekilde veri sorumlusuna başvurabilir. Veri sorumlusu talepleri en kısa sürede ve en geç 30 gün içinde sonuçlandırmalıdır. Şikâyet süreci ayrıca kanundaki usul ve süre hükümlerine tabidir.

Başvuru değerlendirmesinde kimlik teyidi, başvurucunun kendi verisine ilişkin talep hakkı, talebin kapsamı, kanuni istisnalar, meslek sırrı ve başka kişilerin hakları birlikte değerlendirilmelidir. Örneğin borçlu, hakkında yürütülen takipte hangi kişisel verilerinin hangi kaynaktan alındığını sorabilir; verinin müvekkil, resmî sicil veya icra dosyasından alındığının kayıtla gösterilebilmesi önemlidir. Ancak bir başvuru, müvekkilin stratejisinin, üçüncü kişilerin sırlarının veya korunması gereken başka verilerin sınırsız açıklanmasına dönüşmemelidir.

Bu nedenle her hukuk bürosunda ilgili kişi taleplerini alan, doğrulayan, dosya sorumlusuna yönlendiren, yasal süreyi takip eden ve cevabı kayıt altına alan işlem akışı bulunması yerindedir. İnternet sitesindeki ve baro levhasındaki iletişim adreslerinin güncel tutulması, başvuruların etkin sonuçlandırılması bakımından önemlidir.

Yurt dışına veri aktarımı: Yabancı bulut ve e-posta kullanımı ayrıca incelenmelidir

6698 sayılı Kanun m. 9'un 2024 yılında değişen sistemi, uygun yurt dışı aktarım mekanizmalarının ayrı ayrı incelenmesini gerektirir. Kanunda veya uygulanabilir uluslararası anlaşmada özel hüküm bulunmayan hâllerde, ilgili veri işleme şartıyla birlikte yeterlilik kararı; bunun bulunmadığı durumda uygun güvenceler; bunların da sağlanamadığı hâllerde ancak sınırlı arızî aktarım halleri gündeme gelebilir. Günlük ve sistematik bulut kullanımı sırf kullanıcı rızası alındığı ileri sürülerek otomatik “arızî” kabul edilemez.

Yabancı dosya depolama hizmeti, yurt dışında çalışan e-posta altyapısı, video konferans sağlayıcısı, otomatik transkripsiyon sistemi, yabancı müşteri ilişkileri yönetim platformu veya üçüncü taraf destek hizmeti üzerinden veri işlenmesi, veri akışına göre sınır ötesi aktarım niteliği taşıyabilir. Hizmet sağlayıcısının adı veya pazarlama açıklaması tek başına yeterli değildir; verinin nerede işlendiği, alt hizmet sağlayıcılar, erişim yetkileri, saklama politikası ve sözleşmesel güvenceler birlikte incelenmelidir.

Türkçe, İngilizce, Almanca ve Rusça çalışan bir hukuk bürosunda çeviri ve yabancı uzmanlarla belge paylaşımı da bu çerçevede ele alınmalıdır. Sadece metnin yabancı dilde olması yurt dışına aktarım anlamına gelmez; belirleyici olan teknik ve organizasyonel veri akışıdır. Aynı şekilde, yurt içindeki bir sağlayıcıya aktarım da 6698 sayılı Kanun m. 8 çerçevesinde hukuki koşul ve ölçülülük değerlendirmesini gerektirir.

Yapay zekâya dava dosyası yüklemek yalnız araştırma işlemi değildir

Rehberin güncel uygulama bakımından en önemli bölümlerinden biri, üretken yapay zekâ araçlarına kişisel veri içeren belgelerin yüklenmesini ayrı bir veri işleme ve muhtemel aktarım faaliyeti olarak incelemesidir. ChatGPT, Claude, Gemini veya başka bir sisteme dava dosyası, WhatsApp yazışması, kimlik belgesi, bilirkişi raporu, sağlık kaydı ya da duruşma tutanağı aktarılması, hizmet sağlayıcının altyapısına göre yurt içi veya yurt dışı veri aktarımı doğurabilir.

Bu nedenle yapay zekâ aracı seçilmeden önce hizmet koşulları, veri işleme ve saklama yeri, alt hizmet sağlayıcılar, kayıt/erişim yetkileri, eğitim veya başka amaçlarla kullanım tercihleri, kurumun hukuki aktarım şartları ve gerektiğinde imha/erişim taleplerinin işleyişi somut ürün ve sözleşme üzerinden incelenmelidir. Bir araçta güvenlik özelliğinin bulunması, veri aktarımının hukuka uygun olduğu anlamına gelmez; aynı şekilde ürünün yapay zekâ olması tek başına bütün kullanımını yasaklamaz.

Hukuk büroları için uygulanabilir yapay zekâ kontrolü

• İşin amacı ve yapay zekâ kullanımının gerçekten gerekli olup olmadığı dosya bazında belirlenmelidir.
• Mümkünse kimliği belirlenebilir kılan veriler, doğrudan ve dolaylı tanımlayıcılar dâhil ayıklanmalı; yalnız isim silmenin her durumda anonimleştirme sağlamadığı unutulmamalıdır.
• Kullanılan uygulamanın hangi tür veriyi işlediği, kimlerin erişebildiği ve hangi ülkelerde işlem yapıldığı belgelenmelidir.
• Üretken aracın ürettiği hukuki yorum, norm, karar, alıntı ve dosya özeti bağımsız hukukçu denetiminden geçirilmelidir.
• Personel için hangi sınıf verilerin hangi hizmette kullanılabileceği, hangi durumlarda yazılı izin veya uzman kontrolü gerektiği ve yasaklı kullanımlar ayrı bir kurumsal politika ile belirlenmelidir.
• İhlal şüphesinde erişimi kesme, işlemi durdurma, kayıt tutma ve bildirim değerlendirmesine geçme yöntemi önceden tanımlanmalıdır.

Bu kontroller uygulama önerileridir; Kurumun 2026 rehberinden otomatik doğan ayrı bir zorunlu belge listesi olarak sunulmamalıdır. Her kullanımda kanundaki hukuki işleme ve aktarım şartları ayrıca aranır.

Veri güvenliği ve avukatlık bürosunda erişim yetkilerinin yönetimi

6698 sayılı Kanun m. 12, hukuka aykırı işlemeyi ve yetkisiz erişimi önleyecek, verilerin muhafazasını sağlayacak uygun teknik ve idari tedbirlerin alınmasını gerektirir. Hukuk bürolarında tek ve soyut bir “gizlilik taahhüdü” yeterli kontrol sistemi oluşturmaz. Dosya bazlı yetkilendirme, personel rolüne göre erişim, güçlü kimlik doğrulama, güncel yazılım, güvenli yedekleme, fiziksel arşiv kilitleri, kişisel cihaz politikası ve güvenli belge aktarım kanalları uygulanacak önlemler arasında değerlendirilebilir.

Özel nitelikli kişisel veri içeren dosyalar bakımından Kurulun 31.01.2018 tarihli 2018/10 sayılı yeterli önlemler kararı gözetilmelidir. Teknik servis, tercüman, bağımsız bilirkişi, e-imza yardımcısı veya dış destek sağlayıcısına erişim verilecekse yetki ve süre sınırı belirlenmeli; gereksiz toplu dosya paylaşımından kaçınılmalıdır. Eğitim yalnız avukatlara değil, sekreterya, finans, bilgi işlem ve geçici personel gibi fiilen veri işleyen herkese uygun kapsamda verilmelidir.

Veri güvenliği ihlali, yalnız siber saldırı değildir. Yanlış alıcıya gönderilen e-posta, müvekkil dosyasının kaybolması, paylaşılan bağlantının herkesçe açılabilmesi, yetkisiz personele tanınan klasör izni veya kötü niyetli veri sorgu programı kullanılması farklı riskler doğurabilir. Her olay için teknik tespit, kişi/veri grubu ve hukuki bildirim gerekliliği ayrı değerlendirilir.

Veri ihlali durumunda ne yapılır? 72 saat nasıl hesaplanır?

6698 sayılı Kanun m. 12/5 uyarınca kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi durumunda ilgili kişiye ve Kurula bildirim gündeme gelir. Kurulun 24.01.2019 tarihli, 2019/10 sayılı kararı kapsamında, Kurula bildirim için “en kısa süre” ifadesi kural olarak olayın öğrenilmesinden itibaren en geç 72 saat olarak yorumlanmaktadır; ilgili kişilere ise durumun belirlenmesini takiben makul en kısa sürede bildirim yapılması öngörülür. Olayın yalnızca şüphe düzeyinde mi olduğu, yetkisiz erişimin gerçekleşip gerçekleşmediği ve hangi kişilerin etkilendiği süratle araştırılmalıdır.

Bir veri ihlali fark edildiğinde ilk işlem, belgeleri silmek veya kayıtları gizlemek değildir. Etkilenen sistemin erişimi sınırlandırılır, gerekli deliller korunur, kapsam ve veri kategorileri belirlenir; düzeltici tedbirler ve bildirim gerekliliği kayıtlı biçimde değerlendirilir. Rehber, fiziksel dava dosyasının kaybolması durumunu örnek olarak kullanır: Kayıp dosyada sağlık, mali veya kimlik verileri bulunabilir ve üçüncü kişilerin erişim ihtimali dikkate alınmalıdır.

Kurula bildirim ve ilgili kişilere bilgi verilmesi, meslek sırrına ilişkin saklama yükümlülüğüyle ve olayın özellikleriyle birlikte planlanmalıdır. Yasal bildirimi gereksiz genişlikte kamuya açıklamak da, bildirim yükümlülüğünü “müvekkil sırrı” gerekçesiyle peşinen reddetmek de güvenli bir yaklaşım değildir.

Avukatın sorumluluğu: İdari yaptırım, tazminat, disiplin ve ceza boyutları

Kanuna aykırı kişisel veri işlenmesi veya veri güvenliğine yönelik yükümlülüklerin ihlali, 6698 sayılı Kanun m. 18 çerçevesinde idari yaptırımlara yol açabilir. Rehber, veri güvenliği ihlallerine ilişkin parasal sınırların yıllık yeniden değerleme oranlarına göre güncellendiğini de vurgular. Bununla birlikte, yanlış verinin kullanılmasının, hukuka aykırı kaynaktan elde edilmiş verinin ifşasının veya müvekkil sırrının açıklanmasının sonuçları yalnız idari para cezasıyla sınırlı olmayabilir.

Avukatlık sözleşmesi bakımından koruyucu yan yükümlülüğün ihlali, koşulları oluştuğunda sözleşmesel sorumluluk ve tazminat tartışması doğurabilir. Avukatlık Kanunu ve meslek kurallarından kaynaklanan disiplin sorumluluğu ile TCK kapsamında kişisel verilere ilişkin suçlar da somut olayın özelliklerine göre ayrı değerlendirilir. Her güvenlik olayı otomatik ceza mahkûmiyeti veya otomatik tazminat anlamına gelmez; fiil, kusur, hukuka aykırılık, zarar, illiyet ve ilgili usul koşulları ayrıca incelenir.

Bu nedenle bir hukuk bürosunun veri güvenliği tedbirlerini yalnız KVKK denetimine hazırlanmak için değil, avukatlık görevinin gereği olan özen ve sır saklama yükümlülüğünün kurumsal ifası için de geliştirmesi gerekir.

Hukuk büroları için uygulama kontrol tablosu: 12 iş akışında sorumluluk

Aşağıdaki tablo, rehberdeki açıklamalar ve 6698 sayılı Kanun esas alınarak hazırlanmış editoryal uygulama önerisidir. Mevzuatın aynen saydığı veya her büroya zorunlu kıldığı on iki maddelik resmî bir kontrol listesi değildir.

Uygulamada önemli olan kontrol listesinin uzunluğu değil, her dosya türü için gerçekten işleyebilir olmasıdır. Özellikle müvekkil adayları, ceza/sağlık bilgileri, dijital arşiv, personel ayrılışı, tevkil, uzaktan erişim ve yapay zekâ hizmetleri birbirinden farklı riskler doğurur. Bu nedenle tek metinli bir genel politika yerine süreç sahipliği, sorumlu kişi, eğitim, kayıt ve gözden geçirme unsurlarıyla desteklenen bir sistem yararlıdır.

İlgili yazılar: Özel hayata saygı ve kişisel verilerin korunması: başvuru yolları; Kişisel verileri hukuka aykırı ele geçirme, verme veya yayma suçu (TCK 136); Avukat–müvekkil ilişkisinde güvenin sınırları ve meslek etiği.

Sonuç

2026 tarihli KVKK Uygulama Rehberinin avukatlık mesleğine verdiği temel mesaj, kişisel veri koruması ile savunma hakkının birbirini dışlayan iki faaliyet olmadığıdır. Avukatın gerekli bilgiye erişebilmesi, hakkın tesisi ve korunması için veriyi işleyebilmesi ve mesleki bağımsızlığını kullanabilmesi esastır; bunun karşılığında elde edilen verinin hukuki dayanağı, gerekliliği, kaynağı, kimlerle paylaşıldığı, muhafazası ve imhası açıklanabilir olmalıdır.

Veri sorumlusu–veri işleyen rolünün yanlış belirlenmesi, genel açık rıza formlarının her işlemde kullanılması, VERBİS istisnasının kapsam dışılık sanılması, üçüncü kişilere ait verinin ölçüsüz paylaşılması ve dava belgelerinin bulut veya yapay zekâ sistemlerine kontrolsüz aktarılması hukuk bürolarının başlıca dikkat alanlarıdır. Kurumsal yaklaşım, somut dosyanın ihtiyaçlarına uygun veri işleme ve güvenlik kararlarının kayıt altına alınmasıdır.

Sıkça Sorulan Sorular

Avukatlar KVKK'ya tabi midir?

Evet. Avukatlık mesleğinin yargı sistemiyle bağlantısı, avukat tarafından yapılan bütün işlemleri 6698 sayılı Kanun dışına çıkarmaz. Yargı makamlarına özgü m. 28 istisnasının şartları avukatın her mesleki işlemine kendiliğinden uygulanmaz.

Avukat veri sorumlusu mudur, veri işleyen midir?

Bağımsız avukat çoğu mesleki işleme bakımından veri sorumlusudur. Ayrıntılı müvekkil talimatıyla amaç ve yöntemleri belirlemeden yapılan sınırlandırılmış işlemde veri işleyen rolü mümkün olabilir. Sıfat sözleşmedeki etiketle değil fiilî işleyişle belirlenir.

Aynı büroda çalışan bütün avukatlar ortak veri sorumlusu olur mu?

Hayır. Tüzel kişiliği olmayan ortak büroda farklı avukatların ayrı müvekkil ve işlem kararları bulunabilir. Tüzel kişiliğe sahip avukatlık ortaklığının rolü ayrıca değerlendirilir.

Avukatın açık rıza alması zorunlu mudur?

Her işlemde değil. Kanundaki sözleşme, hukuki yükümlülük veya bir hakkın korunması gibi uygun bir işleme şartı mevcutsa ayrıca açık rıza aranması gerekli olmayabilir. Aydınlatma yükümlülüğü farklıdır.

Müvekkilin karşı tarafına ait veriler rıza olmadan işlenebilir mi?

Uygun kanuni işleme şartı varsa ve veri hak arama bakımından gerekli, amaçla bağlantılı ve ölçülüyse mümkün olabilir. Bütün üçüncü kişi verilerinin koşulsuz işlenebileceği sonucu çıkarılamaz.

Dava dilekçesinde sağlık veya sendika bilgisi kullanılabilir mi?

Somut iddia, ispat yükü ve m. 6'daki uygun işleme şartıyla bağlantılı olması hâlinde mümkün olabilir. Özel nitelikli veriler için ek güvenlik tedbirleri ve ölçülülük aranır.

Avukatlık büroları VERBİS'e kayıt yaptırmak zorunda mı?

Kurulun 2018/32 sayılı kararı Avukatlık Kanunu kapsamında faaliyet gösteren avukatlara sicil istisnası tanır. Ancak bu, KVKK'nın diğer yükümlülüklerinden muafiyet anlamına gelmez; organizasyonun hukuki niteliği ayrıca incelenir.

Dava dosyası ne kadar süre saklanır?

Avukatlık Kanunu m. 39, tevdi edilen evrak için vekâletin sona ermesinden itibaren kural olarak üç yıllık saklama yükümlülüğü düzenler; yazılı geri alma bildirimi bakımından ayrıca üç aylık hüküm vardır. Başka hukuki sebepler ve veri türleri için somut değerlendirme yapılmalıdır.

Müvekkil tüm verilerin hemen silinmesini isteyebilir mi?

Talepte bulunabilir; ancak talep mutlaka derhâl ve tüm kapsamda kabul edilecek demek değildir. Devam eden dava, yasal saklama ve ispat ihtiyacı varsa dayanaklar incelenerek gerekçeli cevap verilir.

İlgili kişinin KVKK başvurusu kaç günde cevaplanır?

6698 sayılı Kanun m. 13'e göre başvuru mümkün olan en kısa sürede ve en geç 30 gün içinde sonuçlandırılır. Kimlik doğrulama ve diğer kişilerin sırları dikkate alınır.

Avukat ChatGPT veya başka yapay zekâya dava dosyası yükleyebilir mi?

Ürüne ve dosyaya göre veri işleme ve aktarım koşulları incelenmeden “her zaman evet” veya “her zaman hayır” denilemez. Tanımlanabilir dosyanın buluta aktarımı yurt içi veya yurt dışı veri aktarımı sayılabilir ve ayrıca hukuki dayanak gerektirir.

Dosyanın yabancı sunucuda saklanması her durumda yasak mıdır?

Hayır. Ancak 6698 sayılı Kanun m. 9'un uygun aktarım şartları, güvenceleri ve veri işleme dayanağı somut teknik akışa göre değerlendirilmelidir. Sırf sunucunun güvenli olduğu iddiası yeterli değildir.

Fiziksel dava dosyası kaybolursa Kurula bildirim gerekir mi?

Dosyanın yetkisiz üçüncü kişilerce elde edildiği veya buna ilişkin somut riskin bulunduğu durumlar araştırılmalıdır. Kanuni ihlal bildirimi şartları oluştuğunda Kurula gecikmeksizin, kural olarak öğrenmeden itibaren 72 saat içinde bildirim gündeme gelir.

Hukuka aykırı telefon veya kimlik sorgu yazılımı kullanılabilir mi?

Hayır. Kurulun 2019/308 sayılı ilke kararı, hukuka aykırı elde edilmiş verilerden sorgulama yapan uygulamalara karşı idari ve adli sonuçları açıkça belirtmektedir. Delil ihtiyacı yasal olmayan veri kaynağını meşrulaştırmaz.

Veri ihlalinin sonuçları yalnız KVKK para cezası mıdır?

Hayır. Şartlarına göre KVKK idari yaptırımı yanında sözleşmesel tazminat, avukatlık disiplin sorumluluğu ve ceza hukuku sonuçları ayrıca gündeme gelebilir. Her durumda somut fiil ve hukuki unsurlar incelenir.

Kaynakça

1. Kişisel Verileri Koruma Kurumu, Avukatların Mesleki Faaliyetlerinde Kişisel Verilerin Korunmasına İlişkin Uygulama Rehberi, KVKK Yayınları No. 115, Temmuz 2026, Ankara. Tam resmî metin.
2. Kişisel Verileri Koruma Kurumu, Uygulama Rehberi Yayımlandı Resmî duyuru.
3. 6698 sayılı Kişisel Verilerin Korunması Kanunu, m. 3–13, 16, 18, 28. Mevzuat Bilgi Sistemi.
4. 1136 sayılı Avukatlık Kanunu, özellikle m. 2, 34, 36, 39, 44, 45, 56 ve 171. Mevzuat Bilgi Sistemi.
5. KVKK, 14.01.2020 tarihli, 2020/26 sayılı Kurul kararı. Resmî karar özeti.
6. KVKK, 02.04.2018 tarihli, 2018/32 sayılı Kurul kararı (VERBİS istisnası). Resmî karar.
7. KVKK, 22.03.2023 tarihli, 2023/437 sayılı Kurul kararı (avukatlık ortaklığının rolü). Resmî karar.
8. KVKK, 09.02.2021 tarihli, 2021/115 sayılı Kurul kararı (bankaya bağlı işlem). Resmî karar özeti.
9. KVKK, 16.09.2021 tarihli, 2021/925 sayılı Kurul kararı (sendika üyeliği verisi). Resmî karar özeti.
10. KVKK, 18.10.2019 tarihli, 2019/308 sayılı ilke kararı (hukuka aykırı veri sorgu programları). Resmî karar.
11. KVKK, 31.01.2018 tarihli, 2018/10 sayılı Kurul kararı (özel nitelikli veri güvenliği). Resmî karar.
12. KVKK, 24.01.2019 tarihli, 2019/10 sayılı Kurul kararı ve ihlal bildirimi duyurusu. Resmî bilgi.
13. KVKK, 18.02.2026 tarihli, 2026/347 sayılı ilke kararı (aydınlatma ve açık rızanın ayrılması). Resmî duyuru.