Büro hangi kişisel verileri işler?
Bir hukuk bürosunun işlediği veri, çoğu işletmeden daha geniş ve daha hassastır. Müvekkilin kimlik ve iletişim bilgisi, dosyanın konusu, sağlık raporu, ceza kaydı, banka hareketi, aile ilişkisi, işçinin bordrosu. Bunlara karşı tarafın, tanıkların, borçluların ve bilirkişilerin verileri eklenir. Bu verilerin bir kısmı 6698 sayılı Kişisel Verilerin Korunması Kanunu'na göre özel nitelikli kişisel veridir.
Bu yazı genel bir uygulama rehberidir, hukuki görüş değildir. KVKK ve ikincil düzenlemeler zaman zaman değişir. Büronuz için bir uyum çalışması yaparken Kişisel Verileri Koruma Kurumu'nun güncel kararlarına ve rehberlerine bakmanız gerekir.
Verinin büroya geldiği yollar da çeşitlidir. Müvekkil belgeyi e-postayla gönderir, WhatsApp'tan fotoğraf atar, büroya kağıt olarak getirir. UYAP'tan evrak iner, UETS'den tebligat gelir. Her yol ayrı bir kopya demektir. KVKK uyumunun ilk adımı, bu kopyaların nerede biriktiğini bilmektir.
Sır saklama ile KVKK birbirinin yerine geçmez
Avukat, Avukatlık Kanunu gereğince kendisine tevdi edilen ya da mesleği dolayısıyla öğrendiği bilgileri açıklamamakla yükümlüdür. Bu yükümlülük KVKK'dan çok daha eskidir ve kapsamı farklıdır. Sır saklama bilgiyi kime açıklayacağınızla ilgilidir. KVKK ise veriyi nasıl topladığınızı, ne kadar sakladığınızı, nasıl koruduğunuzu ve kimlere aktardığınızı da düzenler.
Avukatların Veri Sorumluları Sicili'ne kayıt yükümlülüğünden Kurul kararıyla istisna tutulduğu bilinir. Ancak bu istisna yalnız sicil kaydıyla ilgilidir. Aydınlatma, veri güvenliği, saklama ve imha ile ilgili yükümlülükler büro için geçerliliğini korur. İstisnanın güncel kapsamını Kurum'un sitesinden kontrol edin.
Büroda çalışan herkes bu yükümlülüklerin bir parçasıdır. Stajyer, sekreter ve muhasebe personeli de müvekkil verisine erişir. İşe başlarken gizlilik taahhüdü imzalatmak ve kimin hangi veriye neden eriştiğini belirlemek, hem sır saklamanın hem KVKK'nın gereğidir.
Aydınlatma ve açık rıza
Müvekkile, verisinin hangi amaçla işlendiğini, kimlere aktarılabileceğini ve haklarını anlatan bir aydınlatma metni verilmelidir. Bu metin vekalet sözleşmesiyle birlikte ya da ilk görüşmede verilebilir. Büronun web sitesindeki iletişim formu ve randevu formu için de ayrı bir aydınlatma metni gerekir.
Açık rıza her işlemde gerekmez. Bir hakkın tesisi, kullanılması ya da korunması için veri işlemenin zorunlu olduğu hallerde Kanun başka işleme şartları tanır ve avukatlık faaliyetinin önemli bir kısmı bu kapsamdadır. Rızaya dayanmayan bir işlemi rızaya bağlamak, rıza geri alındığında işi durdurmak gibi bir sorun da doğurabilir. Hangi işlemin hangi şarta dayandığını bir kez yazılı olarak belirlemek iyi bir başlangıçtır.
Kişilerin Kanun'dan doğan hakları da unutulmamalıdır. Verisi işlenen kişi, verisinin işlenip işlenmediğini öğrenmek, düzeltilmesini ya da silinmesini istemek için büroya başvurabilir. Başvuru en geç otuz gün içinde cevaplanmalıdır. Bu başvuruların kime geleceğini ve kimin cevaplayacağını önceden belirlemek, başvuru geldiğinde telaşı önler.
Veri güvenliği: büroda ve programda
KVKK veri sorumlusundan, verinin hukuka aykırı işlenmesini ve erişilmesini önlemek için gerekli teknik ve idari tedbirleri almasını ister. Büro için bunun anlamı somuttur: herkes her dosyayı görmemeli, ayrılan personelin erişimi aynı gün kapanmalı, bilgisayarlar şifreli olmalı, yedekler düzenli alınmalı ve korunmalıdır.
Kullandığınız avukat programı bu tedbirlerin büyük kısmını taşır. Kişi kişi yetki verilip verilemediğine, kimin hangi kaydı açtığının izlenip izlenemediğine, verinin aktarımda ve diskte şifrelenip şifrelenmediğine, her büronun verisinin ayrı tutulup tutulmadığına bakın. Belgeleri büronun kendi bilgisayarında tutmayı tercih eden bürolar için yerel kurulum seçeneği olup olmadığını da sorun.
Bir veri ihlali fark edildiğinde Kurul'a bildirim için öngörülen süre kısadır. Kurul kararına göre bildirim, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç yetmiş iki saat içinde yapılmalıdır. Bu sürenin içinde kalabilmek için ihlal halinde kimin ne yapacağını önceden yazın.
E-posta ve mesajlaşma uygulamaları da güvenlik zincirinin parçasıdır. Müvekkil belgesinin kişisel e-posta hesaplarına ya da kişisel telefonlara dağılması, büronun kontrolünü zayıflatır. Belgenin dosyasına kaydedilmesi ve oradan paylaşılması daha güvenli bir düzendir.
Ne kadar saklanır, nasıl imha edilir?
Kişisel veri, işlendiği amaç için gereken süre kadar saklanır. Hukuk bürosunda bu süre çoğu zaman dosyanın kapanmasıyla bitmez. Zamanaşımı süreleri, olası tazminat talepleri ve vergi mevzuatının saklama yükümlülükleri dikkate alınır. Vergi Usul Kanunu defter ve belgelerin, ilgili oldukları yılı izleyen takvim yılından başlayarak beş yıl saklanmasını ister.
Saklama süresi dolan veri silinir, yok edilir ya da anonim hale getirilir. Kişisel verilerin silinmesine ilişkin yönetmelik, bu işin bir saklama ve imha politikasıyla düzenli aralıklarla yapılmasını öngörür. Büronuz için basit bir tablo yeterlidir: hangi veri türü, kaç yıl, süre dolunca ne yapılacak, kim yapacak.
Periyodik imha için yönetmelik altı ayı aşmayan aralıklar öngörür. Pratikte bu, yılda iki kez saklama süresi dolan kayıtlara bakılması demektir. Silinen kaydın ne zaman ve kim tarafından silindiğini bir tutanakla kayda geçirmek, ileride doğacak bir soruya cevap verir.
Kısa bir uyum planı
Küçük bir büro için KVKK uyumu büyük bir proje olmak zorunda değildir. Birinci adım, büronun hangi veriyi hangi amaçla işlediğini tek sayfada yazmaktır. İkinci adım, müvekkil ve web sitesi için aydınlatma metinlerini hazırlamaktır. Üçüncü adım, kimin hangi kayda erişeceğini belirlemek ve programdaki yetkileri buna göre vermektir.
Dördüncü adım saklama ve imha tablosudur. Beşinci adım ise ihlal halinde ne yapılacağını yazan kısa bir nottur. Bu beş adım bir haftada tamamlanabilir. Sonrasında yılda bir kez gözden geçirmek, yeni bir personel geldiğinde ona anlatmak ve yeni bir program seçildiğinde bu listeyle sınamak yeterlidir.
Bu planı bir kez yazdıktan sonra çalışma düzeninin parçası yapın. Yeni gelen personele ilk gün anlatılan, yeni bir programa geçerken sınanan ve yılda bir gözden geçirilen bir plan, dosyada unutulan bir belgeden çok daha fazla koruma sağlar.
Bulut, yurt dışı ve yapay zeka
Bulut tabanlı bir program kullanmak KVKK'ya aykırı değildir, ama verinin nerede durduğunu bilmek gerekir. Sunucuları yurt dışında olan bir hizmete veri aktarmak, Kanun'un yurt dışına aktarım hükümlerine tabidir. Bu hükümler 2024 yılında değişti ve standart sözleşme gibi uygun güvenceler için yeni bir düzen getirildi. Programı seçerken verinin hangi ülkede saklandığını ve hangi alt hizmet sağlayıcıların kullanıldığını sorun.
Aynı soru yapay zeka araçları için de geçerlidir. Müvekkil belgesini genel bir sohbet aracına yapıştırmak, veriyi büronun kontrolü dışına çıkarabilir. Yapay zekayı büro verisiyle kullanmanın daha güvenli yollarını avukatlar için yapay zeka yazımızda anlatıyoruz.
UltraLaw'da veri yeri büronun seçimidir: yerel kurulumda kayıtlar ve belgeler büronuzdaki bilgisayarda, bulut kurulumunda şifreli depoda durur. Her büronun verisi ayrı tutulur, bağlantılar aktarımda ve veriler diskte şifrelenir, yetkiler kişi kişi verilir. Ayrıntılar güvenlik sayfamızda yer alır.
Bu işin UltraLaw'daki karşılığını OfisX ve MasrafX sayfalarında görebilirsiniz. Konuyla bağlantılı yazılar: Avukatlar için yapay zeka: hukuk bürosunda güvenli ve işe yarar kullanım, UYAP entegrasyonlu program ne demek? Avukat programı UYAP ile nasıl çalışır? ve Avukat programı nasıl seçilir? Hukuk bürosu yazılımında bakılacak on ölçüt.
- KVKK
- Hukuk bürosu
- Veri saklama
- Sır saklama
- Veri güvenliği
Büronuzda da aynı düzeni kurun.