Обработка персональных данных адвокатами — естественная часть профессии; однако задача представительства интересов клиента сама по себе не исключает применения Закона № 6698 о защите персональных данных. Практическое руководство 2026 года, подготовленное Управлением по защите персональных данных (Kişisel Verileri Koruma Kurumu) при участии Союза адвокатских палат Турции (Türkiye Barolar Birliği), разъясняет положение самостоятельно практикующих адвокатов, адвокатских объединений (avukatlık ortaklığı), адвокатов, действующих по передоверию (tevkil), и сотрудников бюро и рассматривает условия обработки данных, адвокатскую тайну, получение доказательств, обязанность информирования, Реестр контролёров данных (VERBİS), хранение и уничтожение, нарушения персональных данных, а также передачу материалов дел в инструменты генеративного искусственного интеллекта. Суть вопроса в том, чтобы необходимые персональные данные были получены правомерно и использовались только в целях защиты прав, соразмерно и безопасно.
Когда опубликовано руководство, какова его цель и как его следует оценивать с правовой точки зрения?
Управление по защите персональных данных (KVKK) представило общественности Практическое руководство по защите персональных данных в профессиональной деятельности адвокатов, подготовленное с учётом мнений и предложений Союза адвокатских палат Турции (TBB). В выходных данных издания, опубликованного как «Издания KVKK № 115», указана дата июль 2026 года; программа презентации была объявлена 22 сентября 2026 года. Эти две даты относятся к разным этапам: выходным данным печати/публикации руководства и процессу его представления общественности.
Руководство — не просто документ о том, как адвокату хранить дела клиентов. В нём обсуждается баланс между правом на защиту и правом требовать защиты персональных данных, а также в совокупности рассматриваются круг субъектов персональных данных, разграничение контролёра и обработчика данных, правовые условия обработки, передача внутри страны и за рубеж, искусственный интеллект, безопасность данных и примеры из практики.
Руководство не является ни законом, ни подзаконным актом. Источниками обязательных требований прежде всего являются Конституция, Закон № 6698, Закон об адвокатуре № 1136 (Avukatlık Kanunu), соответствующие процессуальные законы, подзаконное регулирование и применимые решения Совета. Толкования и рекомендации надлежащей практики, содержащиеся в руководстве, — важный институциональный источник, показывающий, как эти нормы могут отражаться в профессиональной деятельности. Само по себе оно не создаёт нового исключения, санкции или общего разрешения. Это разграничение необходимо соблюдать всякий раз, когда какая-либо рекомендация руководства используется в конкретном деле.
Полный текст руководства: официальная PDF-публикация KVKK. Сферу применения кратко излагает и официальное объявление Управления.
Полностью ли освобождена от действия KVKK деятельность адвокатов в судебных процессах?
Нет. То, что адвокат представляет суду доказательства, не означает, что любая осуществляемая им обработка данных выходит за рамки Закона № 6698. Статья 28(1)(d) Закона № 6698 устанавливает полное исключение для обработки персональных данных в связи с расследованием, уголовным преследованием, судебным разбирательством или исполнением органами правосудия или органами исполнения. Здесь значение имеют и характер действия, и орган, который его совершает.
В решении Совета по защите персональных данных (Kişisel Verileri Koruma Kurulu) от 14 января 2020 года № 2020/26 указано, что профессиональная деятельность адвоката не может отождествляться с действием, совершаемым органом правосудия. Поэтому, когда адвокат получает доказательства для суда, проводит изыскания в отношении третьего лица, составляет процессуальные документы или ведёт исполнительное производство, необходимо дополнительно учитывать общие принципы закона и применимые обязанности.
Обратное также неверно: KVKK нельзя толковать как правило, абстрактно запрещающее стороне защиты получить необходимое доказательство. В конкретном споре в совокупности оцениваются законная цель защиты прав, предусмотренные законом полномочия запрашивать сведения и документы, необходимость доказательства, способ получения данных и использование минимального объёма данных. Между правом на защиту и защитой данных нет автоматического отношения приоритета — есть проверка правомерности и соразмерности.
Чьи и какие данные обрабатываются в адвокатской деятельности?
В адвокатской деятельности субъектом персональных данных является не только клиент. Субъектами персональных данных могут быть также потенциальные клиенты, лица, обращающиеся за юридической консультацией, противная сторона, должники, свидетели, работники, члены семьи, представители компаний, судебные эксперты и другие физические лица, упомянутые в документах. Передача дела адвокату не даёт неограниченного права обрабатывать в любых целях все содержащиеся в деле данные третьих лиц.
В деле по трудовому праву могут обрабатываться личные дела работников, расчётные ведомости, записи SGK (учреждение социального обеспечения), данные о прогулах и служебная переписка; в уголовном деле — сведения о судимостях и мерах безопасности; в семейном праве — сведения о детях, здоровье, общении внутри семьи и финансовом положении; в наследственном деле — записи реестра населения и сведения о недвижимости. В зависимости от характера правовой помощи в деле могут также содержаться специальные категории персональных данных, например сведения о членстве в профсоюзе, о здоровье, биометрические или генетические данные.
Практическое следствие этой классификации важно: при открытии дела зачастую недостаточно вести учёт только «данных клиента». Должна быть возможность отслеживать по категориям, данные каких физических лиц содержат действия, откуда они получены, на каком правовом условии обрабатываются и кому передаются. В особенности должна сохраняться возможность впоследствии объяснить источник данных, полученных от третьих лиц.
Адвокат — контролёр или обработчик данных? Статус вытекает не из названия договора, а из фактической деятельности
Согласно статье 3 Закона № 6698 контролёр данных — это физическое или юридическое лицо, определяющее цели и средства обработки персональных данных. Обработчик данных — это отдельное физическое или юридическое лицо, которое обрабатывает данные от имени контролёра на основании предоставленных им полномочий. Само по себе возникновение отношений по представительству не делает адвоката обработчиком данных.
То, что адвокат в рамках своей профессиональной независимости решает, какие доказательства потребуются, какой документ будет представлен в материалы дела, каков объём правового исследования и каков способ хранения, как правило, является весомым признаком статуса контролёра данных. Вместе с тем в организации, где адвокат выполняет ограниченные действия по подробным и специальным указаниям, не имея возможности определять цели и способы обработки данных, может возникнуть и вопрос о статусе обработчика данных. Каждую группу действий следует квалифицировать отдельно.
В решении Совета по защите персональных данных от 22 марта 2023 года № 2023/437 признано, что, хотя в договоре между адвокатским объединением и компанией объединение было названо «обработчиком данных», оно является контролёром данных, поскольку самостоятельно принимало решения о соответствующей обработке данных. В то же время решение от 9 февраля 2021 года № 2021/115 показывает, что при отдельных действиях по взысканию задолженности в интересах банка адвокат может рассматриваться как обработчик данных, действующий в рамках указаний банка-клиента. Эти решения не устанавливают единой и неизменной классификации для всей адвокатской работы.
Совместно работающие адвокаты, адвокатское объединение и адвокат, действующий по передоверию
Одно лишь совместное использование помещения самостоятельно практикующими адвокатами, работающими в одном бюро, не означает, что они являются совместными контролёрами данных по всем делам клиентов. У каждого адвоката могут быть свои клиенты и свои цели обработки. Напротив, адвокатское объединение, обладающее правосубъектностью, может быть контролёром данных в отношении действий по делам, ведущимся от имени объединения; в этом случае нельзя утверждать, что каждый участник дополнительно и автоматически является контролёром данных в отношении того же действия.
Если другой адвокат, уполномоченный передоверяющим адвокатом на конкретное судебное заседание, арест имущества или осмотр на месте, действует по указаниям в пределах определённого поручения, его можно рассматривать как обработчика данных. Руководство отдельно рассматривает такую возможность; однако для иных действий, при которых адвокат, действующий по передоверию, самостоятельно определяет другие цели или исполняет собственные профессиональные обязанности, необходимо провести повторную квалификацию.
Адвокаты, работающие по найму, стажёры и вспомогательный персонал
Адвокаты, стажёры, секретари, делопроизводители и административный персонал, работающие в организации адвоката-работодателя или адвокатского объединения по установленным им целям и методам, как правило, не являются отдельным «обработчиком данных». Эти лица действуют внутри организации контролёра данных в пределах своих прав доступа. Руководство разъясняет и особый случай, когда адвокат, работающий по найму, может дополнительно быть контролёром данных по делу, которое он принял самостоятельно, например по делу обязательной защиты по назначению.
Приведённая ниже таблица отражает общий подход; его следует проверять с учётом конкретного процесса и правовых организационных документов.
| Участник / ситуация | Первоначальная оценка | Элемент, подлежащий обязательной проверке |
|---|---|---|
| Адвокат, самостоятельно работающий от своего имени | Как правило, контролёр данных | Кто определяет цели и средства обработки данных? |
| Несколько самостоятельно работающих адвокатов в одном бюро | Возможен раздельный статус контролёра по каждому действию | Принадлежность дела, совместные решения и совместный доступ |
| Адвокатское объединение, обладающее правосубъектностью | Может быть контролёром данных в действиях, ведущихся от имени объединения | Доверенность/заказчик, решения и полномочия в отношении данных |
| Адвокат, которому передоверено конкретное поручение | Может быть обработчиком данных в действиях, связанных указаниями | Объём указаний, независимые профессиональные решения |
| Адвокат по найму / стажёр / секретарь | Как правило, уполномоченное лицо внутри организации | Поручение, минимальный доступ, исключение для самостоятельного дела |
Правовое условие обработки данных: явное согласие требуется не по каждому делу, но и не любые данные можно использовать свободно
Статья 5 Закона № 6698, а в отношении специальных категорий данных — статья 6 устанавливают правовые условия обработки данных. В контексте оказания адвокатом юридических услуг часто встречаются такие основания, как заключение или исполнение договора, случаи, прямо предусмотренные законом, исполнение правовой обязанности и необходимость для установления, осуществления или защиты права. Надлежащее условие должно определяться для каждой категории данных, группы лиц и цели обработки.
Явное согласие — не общее разрешение, стоящее выше всех остальных условий. Руководство обращает внимание на практику, которую оно может счесть вводящей в заблуждение, когда наряду с договором на оказание адвокатских услуг используется стандартная форма явного согласия, хотя другое условие обработки уже имеется. Обусловливание адвокатских услуг обязательным явным согласием в отношении действий, которые фактически не требуют согласия, может создавать проблемы. Напротив, для отдельного действия, для которого нет иных правовых условий, кроме согласия, может потребоваться действительное, свободно выраженное и конкретное явное согласие.
Обработка идентификационных и контактных данных клиента для конкретного дела — не то же самое действие, что публикация фотографии клиента в рекламе бюро или перенос материалов спора в набор данных для обучения. Во второй группе дополнительно оцениваются цель, правовое условие обработки данных, конфиденциальность и профессиональные правила. То, что клиент открыл дело, не означает, что он заранее дал разрешение на любое новое использование.
Дополнительная защита специальных категорий персональных данных
В отношении таких сведений, как членство в профсоюзе, здоровье, судимости и меры безопасности, биометрические и генетические данные, необходимо применять в совокупности действующие условия статьи 6 и решения Совета о достаточных мерах. При правовом представительстве необходимость для установления, осуществления или защиты права в конкретном случае может являться правовым условием обработки и для специальных категорий данных. Однако наличие условия обработки данных не делает правомерными сбор излишних данных или несанкционированный доступ.
В решении Совета от 16 сентября 2021 года № 2021/925 по иску о восстановлении на работе, основанному на доводе об увольнении по профсоюзным мотивам, оценивалась связь сведений о членстве в профсоюзе другого работника с предметом спора и потребностью в доказывании. Вывод состоит не в том, что сведения о профсоюзном членстве можно раскрывать без ограничений во всех делах, а в том, что относимое и необходимое доказательство может использоваться в контексте правового действия.
Адвокатская тайна и обязанность по защите данных дополняют друг друга
Статья 36 Закона об адвокатуре регулирует профессиональную обязанность адвокатов хранить тайну в отношении раскрытия сведений, доверенных им или ставших им известными в связи с профессией. Эта обязанность — основной элемент доверия между адвокатом и клиентом. Законодательство о персональных данных охватывает не только сведения, составляющие тайну, но и правомерное получение, использование, передачу, хранение и уничтожение данных, относящихся к идентифицируемому физическому лицу.
То, что данные содержатся в общедоступном реестре или стали известны из другого источника, не допускает их неограниченного использования в любых целях. Точно так же желание клиента представить документ в суд не даёт права без необходимости копировать содержащиеся в нём не относящиеся к делу сведения о здоровье, семье или финансах. Если адвокатская тайна образует этическую и профессиональную основу безопасности данных, то KVKK дополнительно подвергает цели и средства обработки проверке правомерности.
В той же мере следует ограничивать и обмен информацией внутри бюро. Практическими следствиями этой обязанности являются доступ к подробностям уголовного расследования только у соответствующей группы; доступ к расчётным ведомостям персонала, платёжным сведениям и переписке с клиентами только у уполномоченных ролей; недопущение излишнего раскрытия документов в рабочих помещениях, на совещаниях или при демонстрации экрана.
Сбор доказательств и сведений: статья 2 Закона об адвокатуре не даёт неограниченного доступа к данным
Статья 2 Закона об адвокатуре устанавливает обязанности перечисленных государственных и частных учреждений, без ущерба для специальных положений законов, содействовать адвокату в выполнении его задач и предоставлять ему для ознакомления необходимые сведения и документы. Получение копий документов может, однако, зависеть от предусмотренных законом условий, например от предъявления доверенности. Как неправильно, чтобы соответствующее учреждение отклоняло любой запрос со ссылкой на защиту данных, так и нельзя признать правомерным, чтобы адвокат запрашивал весь массив данных, не связанный с конкретным делом.
В запросе сведений и документов следует ясно указать дело, к которому относится запрос, поручение и необходимость. Если предстоит подать иск, следует изучить, какие сведения требуются для требования и бремени доказывания; если в исполнительном производстве ведутся взыскание и арест имущества — какой запрос допускает соответствующее законодательство; если речь идёт о медицинской документации — чего требуют специальные нормы. Руководство упоминает решение Первой палаты Государственного совета (Danıştay 1. Dairesi) от 10 апреля 2002 года, E. 2002/26, K. 2002/52 в связи с критерием «необходимости» при запросе сведений. Поскольку полный текст этого решения отдельно не получен, широкие выводы или пространные цитаты из него в настоящую статью не включены.
UYAP, TAKPAS, официальные реестры и данные третьих лиц
Запросы через UYAP и TAKPAS подчиняются не только технической доступности системы, но и пределам действий и полномочий, признаваемых соответствующим законодательством. То, что в исполнительном производстве можно сделать запрос об имуществе должника, само по себе не оправдывает копирования результата запроса в другое дело, маркетинговую базу или личный архив. Точно так же при получении записей реестра населения, медицинских или банковских записей необходимо проверять специальное законодательство соответствующего учреждения и полномочие на правовой запрос.
В принципиальном решении Совета от 18 октября 2019 года № 2019/308 использование программ, позволяющих запрашивать идентификационные и контактные данные граждан на основе неправомерно полученных данных, определено как явная зона риска. Использование таких сервисов наряду с административной санкцией может повлечь последствия, способные стать предметом уголовного расследования. То, что программа «легкодоступна» или является «платной услугой», не делает её законным источником данных.
Соразмерность при представлении данных в процессуальных документах, судебных делах и исполнительном производстве
Представление доказательства или документа органу правосудия является передачей персональных данных и в большинстве случаев — их дополнительной обработкой. Даже если представление документа, необходимого стороне защиты, юридически возможно, следует оценивать относимость раскрываемых сведений к предмету спора, способ получения документа и сокращение приложений, содержащих излишние данные. Полномочие органа правосудия на доступ — не то же самое, что риск доступа противной стороны или общественности.
Может потребоваться обработка медицинских записей детей в деле о разводе; сведений о профсоюзном членстве других работников в трудовом споре; личных телефонных номеров должностных лиц компании противной стороны в коммерческом споре; частной переписки третьих лиц в уголовном деле. Однако распространение частей, не способствующих доказыванию конкретного требования, или их неконтролируемая передача в среду за пределами дела не могут объясняться законной целью защиты прав. При необходимости с учётом особенностей дела оцениваются такие пути, как ходатайство перед судом об истребовании документа, о конфиденциальности или ограничении доступа, представление только относящихся к делу страниц.
Ошибочны и утверждение о том, что персональные данные противной стороны никогда не могут обрабатываться без получения явного согласия, и утверждение о том, что адвокат может собирать любые данные противной стороны, какие пожелает. Правильный метод — уметь показать по каждому делу право или норму закона, обосновывающие действие, необходимость данных и источник данных.
Обязанность информирования следует выстраивать начиная с первого контакта с клиентом
Согласно статье 10 Закона № 6698 и Сообщению об обязанности информирования (Aydınlatma Tebliği) субъекту персональных данных должны быть предоставлены сведения о личности контролёра данных, целях обработки, получателях и целях передачи, способе сбора, правовом основании и правах субъекта персональных данных. Информирование — не то же самое действие, что явное согласие. Принципиальное решение Совета от 18 февраля 2026 года № 2026/347 также подчёркивает, что уведомления об обработке данных и тексты явного согласия должны оформляться раздельно, что для информирования нельзя запрашивать «согласие» и что следует давать ясные и простые сведения, соответствующие конкретной обработке данных. Если в законодательстве предусмотрены отдельные исключения, их следует оценивать отдельно применительно к каждому случаю и действию; нельзя предполагать наличие общего исключения для всей работы адвоката.
При первом телефонном звонке, обращении через веб-форму или по электронной почте, на этапе, когда юридическая услуга ещё не принята, объём собираемых данных следует ограничивать. Если достаточно основных контактных данных и сведений для записи на приём, автоматическое требование прислать документ, удостоверяющий личность, медицинское заключение, материалы уголовного дела или всю частную переписку противной стороны может создать проблемы с точки зрения минимизации данных. Какие документы и каким безопасным способом будут запрошены, можно определить отдельно после предварительной оценки дела и принятия дела.
Если данные получены не от клиента, а из стороннего источника, значение приобретают положения статьи 6 Сообщения об обязанности информирования о сроках: урегулированы различные ситуации, например первое обращение — для данных, используемых для связи с субъектом персональных данных, и не позднее первой передачи — если передача предстоит. Эти правила о сроках следует рассматривать в совокупности с исключениями, обязанностью хранить тайну, конкретным спором и особенностями процесса защиты прав.
Применимая для бюро модель — поэтапное информирование: краткое и ясное уведомление при первом обращении; текст, специально посвящённый процессам правового анализа и коммуникации, до принятия услуги; необходимое дополнительное информирование при передаче для особых целей или дополнительным поставщикам. Приведённые в руководстве примеры особо подчёркивают, что при первом контакте персональные данные не следует собирать сверх необходимого.
Освобождение от регистрации в Реестре контролёров данных не освобождает адвокатов от обязанностей по KVKK
Решение Совета от 2 апреля 2018 года № 2018/32 освободило адвокатов, осуществляющих деятельность в рамках Закона об адвокатуре, от обязанности регистрации в Реестре контролёров данных. Это исключение не отменяет такие обязанности, как информирование, обработка в соответствии с общими принципами, безопасность данных, рассмотрение обращений субъектов персональных данных, хранение и уничтожение, уведомление о нарушениях.
То, что регистрация в Реестре не обязательна, не означает и отсутствия потребности во внутреннем перечне данных в бюро. Даже без регистрации в официальном реестре создание внутреннего учёта, показывающего категории дел, сотрудников, имеющих доступ, группы субъектов персональных данных, используемых поставщиков услуг, основания хранения и точки передачи, является сильным инструментом соблюдения требований. Пределы освобождения от регистрации для адвокатских объединений, обладающих правосубъектностью, следует оценивать отдельно с учётом соответствующего решения и правовой природы организации; нельзя утверждать, что «все компании автоматически освобождены».
Хранение и уничтожение: закрытие дела не означает удаления всего, но и бессрочное хранение не наступает автоматически
Статья 7 Закона № 6698 регулирует удаление, уничтожение или обезличивание персональных данных, когда отпадают основания, требующие их обработки. Статья 39 Закона об адвокатуре, в свою очередь, предусматривает, что адвокат обязан хранить доверенные ему документы в течение трёх лет с момента прекращения поручения, а если о возврате документов уведомлено письменно, обязанность прекращается по истечении трёх месяцев с момента уведомления. Эти сроки не следует считать единым и неизменным общим сроком архивного хранения для всех категорий данных, обрабатываемых по делу.
В отношении требований клиента, профессиональной ответственности, налогов, бухгалтерского учёта, электронных документов и возможных споров могут применяться иные нормы. Как требование субъекта персональных данных об уничтожении не обязывает немедленно удалить всё дело, так и возможность будущего спора не оправдывает бессрочного хранения всех документов. Матрица хранения должна определять по типу дела и категории данных правовое основание, событие, с которого начинается срок, сам срок, доступ и способ уничтожения.
Если требование субъекта персональных данных об удалении по законной причине будет отклонено полностью или частично, необходимо ясно объяснить основания отказа, а также на каком правовом основании и в каких рамках хранятся данные. Сохранение подлинного вида доказательства в споре о документе можно отделить от удаления копий переписки, которые больше не нужны.
Обращения субъектов персональных данных, срок ответа и пределы адвокатской тайны
Клиент, противная сторона или иное заинтересованное физическое лицо могут в установленном порядке обратиться к контролёру данных для осуществления своих прав по статье 11 Закона № 6698. Контролёр данных должен рассмотреть обращения в кратчайший срок, но не позднее 30 дней. Процедура подачи жалобы дополнительно подчиняется положениям закона о порядке и сроках.
При рассмотрении обращения в совокупности оцениваются подтверждение личности, право заявителя на запрос в отношении собственных данных, объём запроса, предусмотренные законом исключения, адвокатская тайна и права других лиц. Например, должник может спросить, какие его персональные данные и из какого источника получены в ведущемся против него исполнительном производстве; важно иметь возможность показать по учётным записям, что данные получены от клиента, из официального реестра или из материалов исполнительного производства. Однако обращение не должно превращаться в неограниченное раскрытие стратегии клиента, тайн третьих лиц или иных данных, подлежащих защите.
Поэтому в каждом юридическом бюро целесообразно иметь порядок работы, при котором обращения субъектов персональных данных принимаются, проверяются, направляются адвокату, ответственному за дело, установленный законом срок отслеживается, а ответ фиксируется. Актуальность контактных адресов на сайте и в реестре адвокатской палаты важна для эффективного рассмотрения обращений.
Передача данных за рубеж: использование иностранных облачных сервисов и электронной почты требует отдельного анализа
Изменённая в 2024 году система статьи 9 Закона № 6698 требует по отдельности изучать надлежащие механизмы трансграничной передачи. В случаях, когда в законе или применимом международном соглашении нет специального положения, в совокупности с соответствующим условием обработки данных может применяться решение об адекватности; при его отсутствии — надлежащие меры защиты; если и они не могут быть обеспечены — лишь ограниченные случаи эпизодической передачи. Ежедневное и систематическое использование облака нельзя автоматически считать «эпизодическим» лишь на том основании, что, как утверждается, получено согласие пользователя.
Обработка данных через иностранный сервис хранения файлов, работающую за рубежом инфраструктуру электронной почты, поставщика видеоконференций, систему автоматической расшифровки, иностранную платформу управления взаимоотношениями с клиентами или службу поддержки третьей стороны может в зависимости от потока данных представлять собой трансграничную передачу. Названия или маркетингового описания поставщика услуг самого по себе недостаточно; в совокупности следует изучить, где обрабатываются данные, субподрядчиков, права доступа, политику хранения и договорные меры защиты.
В юридическом бюро, работающем на турецком, английском, немецком и русском языках, перевод и обмен документами с иностранными специалистами также следует рассматривать в этих рамках. Сам по себе иностранный язык текста не означает передачи за рубеж; решающее значение имеет технический и организационный поток данных. Точно так же и передача поставщику внутри страны требует оценки правовых условий и соразмерности в рамках статьи 8 Закона № 6698.
Загрузка материалов дела в искусственный интеллект — не просто исследовательское действие
Один из важнейших для современной практики разделов руководства — анализ загрузки документов, содержащих персональные данные, в инструменты генеративного искусственного интеллекта как отдельной обработки данных и возможной передачи. Передача материалов дела, переписки в WhatsApp, документа, удостоверяющего личность, заключения эксперта, медицинской записи или протокола судебного заседания в ChatGPT, Claude, Gemini или иную систему может в зависимости от инфраструктуры поставщика услуг повлечь передачу данных внутри страны или за рубеж.
Поэтому до выбора инструмента искусственного интеллекта следует на основе конкретного продукта и договора изучить условия обслуживания, место обработки и хранения данных, субподрядчиков, права на ведение журналов и доступ, настройки использования для обучения или иных целей, правовые условия передачи для учреждения и, при необходимости, порядок рассмотрения требований об уничтожении и доступе. Наличие у инструмента функции безопасности не означает правомерности передачи данных; равным образом то, что продукт относится к искусственному интеллекту, само по себе не запрещает любое его использование.
Применимая проверка использования искусственного интеллекта для юридических бюро
- Цель работы и то, действительно ли необходимо использование искусственного интеллекта, следует определять применительно к каждому делу.
- По возможности следует удалять данные, позволяющие идентифицировать лицо, включая прямые и косвенные идентификаторы; не следует забывать, что одно лишь удаление имён не во всех случаях обеспечивает обезличивание.
- Следует документировать, какие виды данных обрабатывает используемое приложение, кто имеет к ним доступ и в каких странах осуществляется обработка.
- Правовые толкования, нормы, решения, цитаты и резюме дел, созданные генеративным инструментом, следует подвергать независимой проверке юристом.
- Для сотрудников в отдельной внутренней политике следует установить, какие классы данных в каком сервисе могут использоваться, в каких случаях требуется письменное разрешение или проверка специалистом, а также запрещённые виды использования.
- Порядок прекращения доступа, остановки действия, ведения учёта и перехода к оценке необходимости уведомления при подозрении на нарушение следует определить заранее.
Эти меры проверки являются практическими рекомендациями; их не следует представлять как отдельный перечень обязательных документов, автоматически вытекающий из руководства Управления 2026 года. При каждом использовании дополнительно требуется соблюдение предусмотренных законом правовых условий обработки и передачи.
Безопасность данных и управление правами доступа в адвокатском бюро
Статья 12 Закона № 6698 требует принятия надлежащих технических и административных мер для предотвращения неправомерной обработки и несанкционированного доступа и обеспечения сохранности данных. В юридических бюро единственное абстрактное «обязательство о конфиденциальности» не образует достаточной системы контроля. К применяемым мерам можно отнести разграничение прав по делам, доступ в зависимости от роли сотрудника, строгую аутентификацию, актуальное программное обеспечение, безопасное резервное копирование, замки физического архива, политику использования личных устройств и безопасные каналы передачи документов.
Для дел, содержащих специальные категории персональных данных, необходимо учитывать решение Совета о достаточных мерах от 31 января 2018 года № 2018/10. Если доступ предоставляется технической службе, переводчику, независимому эксперту, помощнику по электронной подписи или внешнему поставщику поддержки, следует установить пределы полномочий и срок; следует избегать излишнего массового обмена материалами дел. Обучение следует проводить в надлежащем объёме не только для адвокатов, но и для всех, кто фактически обрабатывает данные, например для секретариата, финансовой службы, ИТ-службы и временного персонала.
Нарушение безопасности данных — это не только кибератака. Электронное письмо, отправленное не тому адресату, утрата дела клиента, общая ссылка, которую может открыть любой, доступ к папке, предоставленный неуполномоченному сотруднику, или использование вредоносной программы запроса данных могут порождать различные риски. По каждому инциденту отдельно оцениваются техническое установление обстоятельств, группы лиц и данных и необходимость правового уведомления.
Что делать при нарушении персональных данных? Как исчисляются 72 часа?
Согласно статье 12(5) Закона № 6698, если персональные данные получены другими лицами незаконным путём, возникает вопрос об уведомлении субъекта персональных данных и Совета. В рамках решения Совета от 24 января 2019 года № 2019/10 выражение «в кратчайший срок» для уведомления Совета, как правило, толкуется как не позднее 72 часов с момента, когда стало известно об инциденте; субъектов персональных данных предусмотрено уведомлять в разумный кратчайший срок после установления обстоятельств. Следует оперативно выяснить, находится ли инцидент лишь на уровне подозрения, имел ли место несанкционированный доступ и какие лица затронуты.
При обнаружении нарушения персональных данных первым шагом является не удаление документов или сокрытие записей. Доступ к затронутой системе ограничивается, необходимые доказательства сохраняются, определяются объём и категории данных; корректирующие меры и необходимость уведомления оцениваются с фиксацией. В качестве примера руководство использует утрату бумажного дела: в утраченном деле могут содержаться медицинские, финансовые или идентификационные данные, и необходимо учитывать возможность доступа к ним третьих лиц.
Уведомление Совета и информирование субъектов персональных данных следует планировать с учётом обязанности хранить адвокатскую тайну и особенностей инцидента. Небезопасен как подход, при котором предусмотренное законом уведомление раскрывается общественности шире необходимого, так и подход, при котором обязанность уведомления заранее отвергается со ссылкой на «тайну клиента».
Ответственность адвоката: административная санкция, возмещение ущерба, дисциплинарный и уголовно-правовой аспекты
Незаконная обработка персональных данных или нарушение обязанностей по обеспечению безопасности данных может повлечь административные санкции в рамках статьи 18 Закона № 6698. Руководство также подчёркивает, что денежные пределы, относящиеся к нарушениям безопасности данных, обновляются в соответствии с ежегодными коэффициентами переоценки. Вместе с тем последствия использования неверных данных, раскрытия данных, полученных из неправомерного источника, или разглашения тайны клиента могут не ограничиваться одним лишь административным штрафом.
Применительно к договору на оказание адвокатских услуг нарушение дополнительной обязанности по защите при наличии соответствующих условий может породить вопрос о договорной ответственности и возмещении ущерба. Дисциплинарная ответственность, вытекающая из Закона об адвокатуре и профессиональных правил, а также преступления, связанные с персональными данными, по TCK также оцениваются отдельно с учётом обстоятельств конкретного дела. Не каждый инцидент безопасности означает автоматическое уголовное осуждение или автоматическое возмещение ущерба; деяние, вина, противоправность, ущерб, причинная связь и соответствующие процессуальные условия изучаются отдельно.
Поэтому юридическому бюро необходимо развивать меры по безопасности данных не только для подготовки к проверкам KVKK, но и для институционального исполнения обязанностей осмотрительности и хранения тайны, которых требует адвокатская функция.
Контрольная таблица для юридических бюро: ответственность в 12 рабочих процессах
Приведённая ниже таблица — редакционная практическая рекомендация, подготовленная на основе разъяснений руководства и Закона № 6698. Это не официальный контрольный перечень из двенадцати пунктов, дословно перечисленный в законодательстве или обязательный для каждого бюро.
| Рабочий процесс | Учёт / контроль | Приоритетный контрольный вопрос |
|---|---|---|
| Первый контакт с потенциальным клиентом | Поэтапное информирование, минимум контактных данных | Не запрашивались ли при первом контакте излишние чувствительные документы? |
| Принятие дела / открытие дела | Категория данных, субъект данных, правовое условие | Выделены ли третьи лица и специальные категории данных? |
| Доверенность и передоверие | Роль, указания, объём доступа | Определён ли статус адвоката, которому передоверены полномочия, в обработке данных? |
| Поручения сотрудникам | Права по ролям, обучение, конфиденциальность | Имеет ли доступ к делу только назначенное лицо? |
| Официальный запрос сведений и документов | Обоснование необходимости, правовой источник | Связан ли запрос с конкретным спором? |
| Подача процессуальных документов и приложений | Необходимость/соразмерность, оценка доступа | Не распространены ли без необходимости не относящиеся к делу данные? |
| Связь и SMS / электронная почта | Точность адреса, учёт источника | Не попали ли сведения о долге или деле к третьему лицу? |
| Перевод, облако и внешние услуги | Поставщик, поток данных, условие передачи | Изучен ли риск обработки данных за рубежом? |
| Использование искусственного интеллекта | Условия продукта, минимизация данных, одобрение | Не загружено ли без контроля дело, позволяющее идентифицировать лиц? |
| Хранение и закрытые дела | Матрица сроков и правовых оснований | Есть ли риск бессрочного хранения или преждевременного удаления? |
| Обращение субъекта персональных данных | Подтверждение личности, источник, контроль 30 дней | Соответствует ли ответ заявителю и обязанности хранить тайну? |
| Нарушение данных и чрезвычайная ситуация | Учёт инцидента, устранение, оценка в течение 72 часов | Своевременны ли исполнение обязанности и сохранение доказательств? |
На практике важна не длина контрольного перечня, а то, может ли он действительно работать для каждого типа дел. Особенно разные риски порождают потенциальные клиенты, уголовные и медицинские сведения, цифровой архив, увольнение сотрудников, передоверие, удалённый доступ и сервисы искусственного интеллекта. Поэтому вместо единой общей политики в одном тексте полезна система, опирающаяся на закрепление ответственности за процессы, ответственное лицо, обучение, учёт и пересмотр.
Связанные материалы: Уважение частной жизни и защита персональных данных: способы обращения; Преступление незаконного получения, передачи или распространения персональных данных (TCK 136); Пределы доверия в отношениях адвоката и клиента и профессиональная этика.
Заключение
Главная мысль практического руководства KVKK 2026 года для адвокатской профессии состоит в том, что защита персональных данных и право на защиту — не два взаимоисключающих вида деятельности. Существенно, чтобы адвокат мог получать необходимые сведения, обрабатывать данные для установления и защиты права и пользоваться своей профессиональной независимостью; взамен правовое основание, необходимость и источник полученных данных, круг лиц, с которыми они разделены, их хранение и уничтожение должны быть объяснимы.
Неверное определение роли контролёра или обработчика данных, использование общих форм явного согласия для каждого действия, восприятие освобождения от регистрации как выхода за рамки закона, несоразмерный обмен данными третьих лиц и неконтролируемая передача документов по делу в облачные системы или системы искусственного интеллекта — основные зоны внимания для юридических бюро. Институциональный подход состоит в фиксации решений об обработке данных и безопасности, соответствующих потребностям конкретного дела.
Часто задаваемые вопросы
Подпадают ли адвокаты под действие KVKK?
Да. Связь адвокатской профессии с судебной системой не выводит все действия адвоката за рамки Закона № 6698. Условия исключения по статье 28, относящегося к органам правосудия, не применяются автоматически к каждому профессиональному действию адвоката.
Является ли адвокат контролёром или обработчиком данных?
Самостоятельно практикующий адвокат в отношении большинства профессиональных действий является контролёром данных. При ограниченном действии, совершаемом по подробным указаниям клиента без определения целей и способов, роль обработчика данных может быть возможна. Статус определяется не меткой в договоре, а фактическим порядком работы.
Становятся ли все адвокаты, работающие в одном бюро, совместными контролёрами данных?
Нет. В общем бюро без правосубъектности у разных адвокатов могут быть отдельные клиенты и отдельные решения о действиях. Роль адвокатского объединения, обладающего правосубъектностью, оценивается отдельно.
Обязан ли адвокат получать явное согласие?
Не при каждом действии. Если имеется надлежащее предусмотренное законом условие обработки, например договор, правовая обязанность или защита права, дополнительное явное согласие может не потребоваться. Обязанность информирования — иное.
Можно ли обрабатывать данные противной стороны клиента без согласия?
Это может быть возможно, если имеется надлежащее предусмотренное законом условие обработки, а данные необходимы для защиты прав, связаны с целью и соразмерны. Из этого нельзя сделать вывод, что любые данные третьих лиц можно обрабатывать безусловно.
Можно ли использовать в исковом заявлении сведения о здоровье или членстве в профсоюзе?
Это может быть возможно при наличии связи с конкретным требованием, бременем доказывания и надлежащим условием обработки по статье 6. Для специальных категорий данных требуются дополнительные меры безопасности и соразмерность.
Обязаны ли адвокатские бюро регистрироваться в Реестре контролёров данных?
Решение Совета № 2018/32 предоставляет адвокатам, осуществляющим деятельность в рамках Закона об адвокатуре, освобождение от регистрации в реестре. Однако это не означает освобождения от иных обязанностей по KVKK; правовая природа организации изучается отдельно.
Сколько хранится дело?
Статья 39 Закона об адвокатуре устанавливает для доверенных документов, как правило, обязанность хранения в течение трёх лет с момента прекращения поручения; в отношении письменного уведомления о возврате также действует отдельное положение о трёх месяцах. Для иных правовых оснований и видов данных необходима конкретная оценка.
Может ли клиент потребовать немедленно удалить все данные?
Он может обратиться с таким требованием; однако это не означает, что требование обязательно будет удовлетворено немедленно и в полном объёме. При наличии продолжающегося дела, предусмотренного законом хранения или потребности в доказывании после изучения оснований даётся мотивированный ответ.
В течение скольких дней даётся ответ на обращение субъекта персональных данных по KVKK?
Согласно статье 13 Закона № 6698 обращение рассматривается в кратчайший возможный срок, но не позднее 30 дней. Учитываются подтверждение личности и тайны других лиц.
Может ли адвокат загрузить материалы дела в ChatGPT или другой искусственный интеллект?
Без изучения условий обработки и передачи данных применительно к продукту и делу нельзя сказать ни «всегда да», ни «всегда нет». Передача в облако дела, позволяющего идентифицировать лиц, может считаться передачей данных внутри страны или за рубеж и дополнительно требует правового основания.
Запрещено ли во всех случаях хранение дела на иностранном сервере?
Нет. Однако надлежащие условия передачи, меры защиты по статье 9 Закона № 6698 и основание обработки данных следует оценивать с учётом конкретного технического потока. Одного утверждения о безопасности сервера недостаточно.
Требуется ли уведомлять Совет при утрате бумажного дела?
Следует выяснить, получено ли дело неуполномоченными третьими лицами или существует ли конкретный риск этого. При наличии условий для предусмотренного законом уведомления о нарушении возникает вопрос об уведомлении Совета без промедления, как правило в течение 72 часов с момента, когда об этом стало известно.
Можно ли использовать незаконные программы для запроса телефонных или идентификационных данных?
Нет. Принципиальное решение Совета № 2019/308 прямо указывает на административные и судебные последствия в отношении приложений, выполняющих запросы по неправомерно полученным данным. Потребность в доказательствах не узаконивает незаконный источник данных.
Ограничиваются ли последствия нарушения данных штрафом по KVKK?
Нет. В зависимости от условий наряду с административной санкцией по KVKK дополнительно могут возникнуть договорное возмещение ущерба, дисциплинарная ответственность адвоката и уголовно-правовые последствия. В каждом случае изучаются конкретное деяние и правовые элементы.
Источники и правовые основания
- Управление по защите персональных данных (Kişisel Verileri Koruma Kurumu), Практическое руководство по защите персональных данных в профессиональной деятельности адвокатов (Avukatların Mesleki Faaliyetlerinde Kişisel Verilerin Korunmasına İlişkin Uygulama Rehberi), Издания KVKK № 115, июль 2026 года, Анкара. Полный официальный текст.
- Управление по защите персональных данных, Практическое руководство опубликовано (Uygulama Rehberi Yayımlandı) Официальное объявление.
- Закон № 6698 о защите персональных данных (Kişisel Verilerin Korunması Kanunu), статьи 3–13, 16, 18, 28. Информационная система законодательства (Mevzuat Bilgi Sistemi).
- Закон об адвокатуре № 1136 (Avukatlık Kanunu), в частности статьи 2, 34, 36, 39, 44, 45, 56 и 171. Информационная система законодательства.
- KVKK, решение Совета от 14 января 2020 года № 2020/26. Официальное резюме решения.
- KVKK, решение Совета от 2 апреля 2018 года № 2018/32 (освобождение от регистрации в реестре). Официальное решение.
- KVKK, решение Совета от 22 марта 2023 года № 2023/437 (роль адвокатского объединения). Официальное решение.
- KVKK, решение Совета от 9 февраля 2021 года № 2021/115 (действия, связанные с банком). Официальное резюме решения.
- KVKK, решение Совета от 16 сентября 2021 года № 2021/925 (данные о членстве в профсоюзе). Официальное резюме решения.
- KVKK, принципиальное решение от 18 октября 2019 года № 2019/308 (незаконные программы запроса данных). Официальное решение.
- KVKK, решение Совета от 31 января 2018 года № 2018/10 (безопасность специальных категорий данных). Официальное решение.
- KVKK, решение Совета от 24 января 2019 года № 2019/10 и объявление об уведомлении о нарушениях. Официальная информация.
- KVKK, принципиальное решение от 18 февраля 2026 года № 2026/347 (разделение информирования и явного согласия). Официальное объявление.