Avukatlar İçin KVKK Rehberi 2026

Avukatlar için KVKK rehberi, hukuk bürolarının günlük işleyişini doğrudan ilgilendiren soruları yeniden gündeme taşıyor: Müvekkilin gönderdiği sağlık raporu hangi şartlarla kullanılabilir? Duruşmaya katılacak meslektaşa dosyanın tamamı gönderilmeli midir? Bir dilekçeyi yapay zekâya inceletmek, kişisel verilerin başka bir hizmet sağlayıcıya aktarılması anlamına gelir mi?

Kişisel Verileri Koruma Kurumu, Türkiye Barolar Birliğinin katkılarıyla hazırlanan Avukatların Mesleki Faaliyetlerinde Kişisel Verilerin Korunmasına İlişkin Uygulama Rehberini 22 Eylül 2026 tarihinde kamuoyuna duyurdu. Rehber; avukatların veri koruma hukukundaki konumunu, veri işleme ve aktarım şartlarını, üretken yapay zekâyı ve büro güvenliğini birlikte ele alıyor. Resmî yayımlanma duyurusu.

Temel ayrım şudur: Bir belgenin dava takibi için gerekli olması, o belgenin her kişiye veya her dijital hizmete gönderilebileceği anlamına gelmez. Elde etme, dosyada kullanma, paylaşma ve saklama işlemleri ayrı ayrı değerlendirilmelidir.

Hukuki değerlendirme tarihi: 30 Eylül 2026. Bu yazı, rehberden seçilen konuları kanuni çerçeve ve büro uygulamasına yönelik önerilerle birlikte değerlendirir; rehberin tamamının özeti değildir.

İçindekiler Tablosu

1. Yeni rehber avukatlara yeni bir kanuni yükümlülük mü getiriyor?

Rehberin yayımlanmasını yeni bir kanunun yürürlüğe girmesiyle karıştırmamak gerekir. Yükümlülüklerin dayanağı başta 6698 sayılı Kişisel Verilerin Korunması Kanunu olmak üzere ilgili mevzuattır. Rehber, bu kuralların avukatlık faaliyetine nasıl uygulanacağı konusunda Kurumun yaklaşımını görünür kılar. Bu nedenle bürodaki süreçleri gözden geçirmek için güncel bir başvuru kaynağıdır.

Uygulamada incelemeye, yalnızca müvekkil listesinden başlanması yeterli olmaz. Karşı tarafın kimlik bilgileri, tanığın telefonu, çalışanların özlük dosyaları ve ilk görüşmede alınan bilgiler de bürodaki veri akışının parçalarıdır. Her işlem için “Hangi bilgi, hangi iş için, kim tarafından kullanılıyor?” sorusunun cevaplanması gerekir.

2. Avukat her işlem için açık rıza almak zorunda mı?

Hayır. KVKK m. 5 kapsamında açık rıza, hukuka uygunluk sebeplerinden yalnızca biridir. Sözleşmenin kurulması veya ifası, hukuki yükümlülük ve bir hakkın tesisi, kullanılması ya da korunması için zorunluluk gibi diğer şartlar da somut işlem bakımından uygulanabilir. Öncelikle doğru hukuki dayanak belirlenmeli; her işlem tek bir genel rıza formuna bağlanmamalıdır. Kurumun kişisel veri işleme şartlarına ilişkin açıklaması.

Uygulama örneği: Bir alacağın tahsili için borçlunun gerekli kimlik ve adres bilgilerinin takipte kullanılması ile aynı bilgilerin büroyla ilgisiz bir tanıtım listesine aktarılması farklı amaçlardır. İlk işlemin dayanağı ikinci işlemi kapsamaz. Müvekkilin onayı da karşı tarafın veya tanıkların verileri üzerinde sınırsız tasarruf yetkisi sağlamaz.

3. Sağlık raporları ve ceza mahkûmiyeti bilgileri nasıl kullanılmalı?

Sağlık, genetik ve biyometrik veriler ile ceza mahkûmiyeti ve güvenlik tedbirlerine ilişkin bilgiler özel nitelikli kişisel verilerdendir. Bunlar için KVKK m. 6’daki şartlar ayrıca incelenir. Bir hakkın tesisi, kullanılması veya korunması için zorunluluk, bu verilerin işlenmesinde de hukuki dayanak oluşturabilir. Kurulun belirlediği yeterli önlemler ayrıca alınmalıdır. Özel nitelikli kişisel verilere ilişkin resmî açıklama.

Malpraktis dosyası örneği: Ameliyatın sonuçlarını tartışmak için ilgili ameliyat notu ve takip kayıtlarının incelenmesi gerekebilir. Buna karşılık uyuşmazlıkla bağlantısı bulunmayan bütün sağlık geçmişinin her yazışmaya eklenmesi ayrıca sorgulanmalıdır. Önerimiz, tıbbi belgeleri iddia ve savunma konularına göre ayırmak; hangi belgenin neden gerekli olduğunu dosya içinde açıklayabilmektir.

Özel nitelikli verilerin yargılamada kullanılması konusunda ayrıca avukatlık faaliyetinde özel nitelikli veri kullanımına ilişkin karar incelememize bakılabilir. Eski tarihli kararlar, sonraki kanun değişiklikleriyle birlikte okunmalıdır.

4. Tevkil edilen avukata dosya gönderirken sorumluluk kimde?

Rehber, belirli bir iş için verilen talimatla sınırlı tevkil ilişkisinde, tevkil eden avukatı veri sorumlusu; tevkil olunanı veri işleyen olarak değerlendiriyor. Bununla birlikte somut koşulları esas alıyor. Verileri bağımsız bir amaçla kullanan meslektaş, o işlem yönünden veri sorumlusu konumuna geçebilir. Rehber, s. 54–57.

Büro uygulaması önerisi: Duruşma görevlendirmesinde işin kapsamını ve gerekli belgeleri birlikte belirleyin. Tek dosya için yetkilendirilen meslektaşa bütün müvekkil arşivini açmak yerine o göreve ait belgeleri iletin. Paylaşım bağlantısının kimlerce açılabildiğini, ne zaman kapanacağını ve görevin ardından belgelerin nasıl ele alınacağını önceden kararlaştırın.

5. Müvekkil dosyası yapay zekâya yüklenebilir mi?

Rehber, kişisel veri içeren belgelerin üretken yapay zekâya yüklenmesinde sağlayıcının altyapısının, saklama koşullarının ve alt hizmet sağlayıcılarının incelenmesini istiyor. Yurt dışı bağlantısı varsa KVKK m. 9; yurt içindeki hizmet sağlayıcıya aktarımda ise m. 8 gündeme gelebilir. Dolayısıyla dosyayı inceletme amacı, aktarım değerlendirmesini ortadan kaldırmaz. Rehber, s. 120–122.

Önerdiğimiz çalışma sırası: Önce ihtiyaç duyulan çıktıyı belirleyin. Genel bir dilekçe yapısı veya araştırma sorusu için gerçek kişinin adını, adresini ve raporunu sisteme vermek çoğu kez gerekli değildir. Somut belge incelemesinde ise yükleme öncesinde hukuki dayanağı, hizmet koşullarını ve veri akışını değerlendirin. Büro çalışanlarının hangi araçlara hangi tür belgeleri yükleyebileceğini yazılı bir işleyişe bağlayın.

Bir hizmetin ücretli olması veya verilerin eğitimde kullanılmadığının belirtilmesi, tek başına bütün KVKK şartlarının karşılandığını göstermez. Bu özellikler değerlendirmede dikkate alınabilir; aktarımın hukuki dayanağına ilişkin incelemenin yerini tutmaz.

6. İsimleri silmek anonimleştirme için yeterli mi?

Tek başına yeterli olmayabilir. Anonimleştirmede ölçüt, verinin başka bilgilerle eşleştirildiğinde dahi kişiye bağlanamamasıdır. Sadece adın kaldırıldığı bir belgede dosya numarası, açık adres, barkod veya özgün olay bilgisi kişiyi belirlenebilir kılabilir. Kurumun anonimleştirme açıklaması.

Örneğin nadir bir ameliyatın tarihi, hastanenin adı ve hastanın mesleği birlikte bırakılmışsa, isim bulunmasa da kimlik anlaşılabilir. Önerimiz, dışarı aktarılacak çalışma kopyasında metin yanında ekleri, dosya adını ve belge özelliklerini de kontrol etmektir. Belgenin üzerine görsel bir kutu yerleştirmekle alttaki metnin gerçekten kaldırıldığını varsaymayın. Orijinal delil dosyasını koruyup çalışma kopyasını ayrıca hazırlayın.

7. Bulut depolama ve yurt dışına aktarım nasıl değerlendirilmeli?

KVKK m. 9’daki sistem; yeterlilik kararı, uygun güvenceler ve şartları varsa arızi aktarım istisnaları üzerinden ilerler. İşleme şartlarının bulunması da gerekir. Düzenli kullanılan bir yabancı bulut hizmetini sırf müvekkilden onay alınması nedeniyle arızi aktarım saymak doğru değildir. Yurt dışına aktarım hakkında resmî açıklama.

Standart sözleşme, uygun güvence yöntemlerinden biridir; sağlayıcının sıradan üyelik sözleşmesiyle aynı şey değildir. Kullanılacak mekanizma, tarafların konumu ve gerçek veri akışıyla uyumlu olmalıdır. Yabancı sağlayıcıyla çalışırken yalnızca şirketin merkezini sormak yerine depolama, destek erişimi ve sonraki aktarım noktalarını birlikte incelemek gerekir.

Büro bakımından pratik başlangıç, e-posta, dosya yedekleme, çevrim içi toplantı ve yapay zekâ hizmetlerini tek listede toplamaktır. Böylece aynı dosyanın hangi hizmetlerde çoğaldığı görülebilir ve her hizmet için ayrı değerlendirme yapılabilir.

8. Aydınlatma metni ve VERBİS istisnası birbirinden farklıdır

Aydınlatma; veriyi kimin, hangi amaçla, hangi hukuki sebeple topladığını ve kimlerle paylaşabileceğini ilgili kişiye açıklama yükümlülüğüdür. Başvuru hakları da bildirilmelidir. Kanuni istisnalar saklı kalmak üzere, açık rıza dışındaki bir işleme şartına dayanılması aydınlatmayı kendiliğinden kaldırmaz. Aydınlatma yükümlülüğü.

Büro internet sitesindeki genel metinle yüz yüze görüşmede izlenen süreç arasında tutarlılık kurulmalıdır. Kullanılmayan hizmetleri metne eklemek veya fiilen yapılan paylaşımları açıklamamak, bilgilendirmenin amacını zayıflatır.

Rehber, Avukatlık Kanunu çerçevesinde çalışan avukatlar için 2018/32 sayılı kararla getirilen Sicile kayıt istisnasını hatırlatıyor. Bu, KVKK’nın tamamından muafiyet değildir. Rehber, s. 132.

9. Hukuk bürosu için uygulanabilir kontrol listesi

KVKK m. 12; hukuka aykırı işlemeyi ve erişimi önleyecek, verilerin korunmasını sağlayacak teknik ve idari tedbirleri gerektirir. Başka bir kişiden veri işleme hizmeti alınması, veri güvenliği sorumluluğunu bütünüyle ortadan kaldırmaz. Veri güvenliğine ilişkin yükümlülükler. Bu çerçevede aşağıdaki uygulamaları öneriyoruz:

Veri akışını çıkarın: İlk görüşmeden dosyanın kapanışına kadar bilgilerin hangi cihazlarda ve hizmetlerde tutulduğunu belirleyin.
Erişimi göreve göre düzenleyin: Ortak parola yerine kişiye ait hesaplar kullanın; ayrılan personelin erişimini kapatın.
Belge göndermeden alıcıyı doğrulayın: Yanlış e-posta adresi, eski grup üyeliği ve herkese açık bağlantılar için kontrol adımı oluşturun.
Hassas belgeleri ayırın: Tıbbi raporları ve diğer özel nitelikli verileri yalnızca ihtiyaç duyan kişilerin erişimine açın.
Yapay zekâ kullanımını tanımlayın: Onaylanan araçları, yüklenebilecek veri türlerini ve kontrol sorumlusunu belirleyin.
Arşivi dönemsel inceleyin: Saklamanın kanuni ve somut hukuki gerekçesini belirleyin; tüm işleme sebepleri sona eren veriler için uygun imha işlemini uygulayın.
İhlale hazırlıklı olun: Kayıp cihaz veya yanlış gönderimde kimin müdahale edeceğini ve bildirim gerekliliğini kimin değerlendireceğini önceden belirleyin.

Dosyanın kapanması her verinin derhal silinmesini gerektirmeyebilir; buna karşılık “ileride lazım olur” düşüncesi de tek başına süresiz arşiv gerekçesi değildir. Saklama ve imha takvimi belirlenirken belge türü, devam eden yükümlülükler ve hakkın korunması ihtiyacı birlikte değerlendirilmelidir.

10. Sık sorulan sorular

Müvekkil belgeyi kendisi gönderdiyse istediğim hizmette kullanabilir miyim?

Hayır. Belgenin büroya gönderilme amacı ile dış hizmette işlenme amacı ve aktarım şartları ayrı incelenir. Belgede bulunan üçüncü kişilerin verileri de hesaba katılmalıdır.

Yapay zekâdan alınan cevap doğrudan dilekçeye eklenebilir mi?

Veri güvenliği incelemesine ek olarak metnin hukuki doğruluğu ve atıfların gerçekliği kontrol edilmelidir. Bu konuyu yapay zekâyla hazırlanan dilekçelerde sahte içtihat kullanımı yazımızda ayrıca değerlendiriyoruz.

Uyum çalışmasına nereden başlanmalı?

En yararlı ilk adım, büronun kullandığı hizmetleri ve belge paylaşım yollarını çıkarmaktır. Ardından her işleme için dayanak, erişim yetkisi ve saklama ihtiyacı belirlenebilir. Örnekler içeren yazılı bir büro işleyişi, çalışanların günlük kararlarını kolaylaştırır.

Kaynaklar ve ilgili okumalar

Diğer incelemeler için Geçmez Akademi KVKK Merkezini ziyaret edebilirsiniz.

Bu yazı genel hukuki bilgilendirme amacı taşır. Somut veri işleme faaliyetinin hukuka uygunluğu, dosyanın ve kullanılan hizmetin koşullarına göre değerlendirilir.