Avukat-Müvekkil Gizliliğinde Dijital Riskler

Avukat-müvekkil gizliliğinde dijital riskler, müvekkilin sırrının artık kâğıt dosyada değil; bilgisayarda, telefonda, e-posta kutusunda, bulut depolamada ve mesajlaşma uygulamalarında dolaşıyor olmasından doğar. Avukatın sır saklama yükümlülüğü Avukatlık Kanunu m.36'ya dayanır ve ortam değişse de yükümlülük değişmez. Kişisel veri boyutunda ise KVKK m.12 veri güvenliği için uygun teknik ve idari tedbirleri almayı gerektirir. Pratikte çözüm; erişimi kısıtlamak, kanalları ayırmak, cihazları korumak ve büro içinde yazılı bir düzen kurmaktan geçer.

Dijital Ortamda Sır Saklama Yükümlülüğünün Kapsamı

Avukatın sır saklama yükümlülüğü, Avukatlık Kanunu m.36 kapsamında meslek görevinin doğal bir parçasıdır. Müvekkil, avukatına bir uyuşmazlığın en savunmasız ayrıntılarını anlatır; çünkü bu anlatımın dışarı çıkmayacağına güvenir. Güvenin kendisi savunma hakkının ön koşuludur. Bu nedenle sır yalnızca müvekkilin söylediği sözlerle sınırlı düşünülmemelidir: dilekçe taslakları, ekran görüntüleri, banka dökümleri, sağlık raporları, tebligat içerikleri ve hatta bir davanın var olduğu bilgisi bile büronun korumakla yükümlü olduğu bilgiler arasındadır.

Yükümlülüğün dijital karşılığı çoğu zaman gözden kaçar. Kâğıt dosya dolapta kilitliyken fiziksel erişim kolayca denetlenir; oysa aynı dosyanın taranmış hâli bir telefon galerisinde, bir e-posta ekinde ve bir bulut klasöründe aynı anda durabilir. Her kopya ayrı bir sızıntı noktasıdır. Sorumluluk açısından önemli olan nokta şudur: sırrın hangi teknik yolla ifşa olduğu, avukatın yükümlülüğünü ortadan kaldırmaz. Çalınan bir telefon, yanlış kişiye giden bir e-posta ya da paylaşılmış bir parola, meslek etiği açısından büronun kendi işleyişinin bir sonucu olarak değerlendirilir.

Burada abartıya kaçmaya gerek yoktur. Amaç, büroyu bir güvenlik laboratuvarına çevirmek değil; her bilgi için şu soruyu sormaktır: bu bilgiye kimin, hangi cihazdan, hangi kanalla ulaşabildiğini biliyor muyum? Cevap net değilse risk vardır. Aşağıdaki bölümlerde önce müvekkil verisinin büro içinde nasıl dolaştığına, ardından en sık görülen risklere, KVKK m.12 boyutuna ve uygulanabilir bir düzene bakacağız.

Bir başka önemli ayrıntı da yardımcı personeldir. Sekreter, stajyer ve büroya geçici destek veren herkes dosyalara dokunduğunda sır zincirine dahil olur. Avukatın yükümlülüğü bu kişilere devredilemez; ancak onların neye erişebileceğini belirlemek avukatın elindedir. Dijital çağda sır saklama, kişisel bir erdemden çok kurumsal bir düzen meselesidir.

Müvekkil Verisi Büronun İçinde Nereden Geçiyor?

Güvenliği düşünmeden önce haritayı çıkarmak gerekir. Örneğin Ankara'da icra ağırlıklı çalışan bir avukat düşünelim. Sabah müvekkilinden gelen bir belgeyi telefonuna alır, öğle arasında bunu dizüstü bilgisayarına aktarır, akşam sekreterine e-postayla iletir; sekreter de belgeyi ortak bir klasöre koyar. Gün sonunda aynı belgenin en az dört kopyası dört farklı yerdedir ve hiçbirinin kimin elinde olduğu kayıt altında değildir. Bu avukat dikkatsiz değildir; yalnızca işi hızlı yürütmektedir. Risk tam da bu hızın içinde birikir.

Büro içinde müvekkil verisinin geçtiği başlıca duraklar şunlardır: kişisel telefonlar ve tabletler, büro bilgisayarları, e-posta hesapları, bulut depolama alanları, anlık mesajlaşma uygulamaları, ortak yazıcı ve tarayıcılar, taşınabilir bellekler ve dava takip yazılımları. Bunların her biri farklı bir güvenlik düzeyine sahiptir ve çoğu zaman farklı kişilerin kontrolündedir. Telefonunuzun yedeği, sizin bilmediğiniz bir hesapta duruyor olabilir; yazıcının belleği, taranan belgeleri saklıyor olabilir.

Haritalamanın pratik yolu basittir: bir hafta boyunca bir dosya ile ilgili yapılan tüm işlemleri not edin. Belge nereden geldi, hangi cihazlara kopyalandı, kime gönderildi, nerede saklandı? Bu kısa gözlem çoğu büroda şaşırtıcı sonuçlar verir. Çıkan listede gereksiz kopyaları, kontrolsüz kanalları ve kişisel hesaplara taşan akışları görürsünüz. Düzeltilecek her nokta, sonraki bölümlerde anlatılan tedbirlerden birine karşılık gelir.

Haritayı çıkarırken müvekkilin kendi davranışını da hesaba katın. Müvekkil belgeyi size ortak kullandığı bir e-posta adresinden ya da paylaşılan bir cihazdan gönderiyor olabilir. Sizin kontrolünüzde olmayan bu noktayı tamamen çözemezsiniz; fakat müvekkile hangi kanalın daha güvenli olduğunu nazikçe anlatmak, büronun elindeki en ucuz önlemlerden biridir.

En Sık Karşılaşılan Dijital Riskler

Dijital riskler çoğu zaman filmlerdeki gibi karmaşık saldırılar değildir; büro pratiğinde karşılaşılanların büyük kısmı sıradan alışkanlıklardan doğar. Bunları üç başlıkta toplamak mümkündür. Hepsi için aynı ilke geçerlidir: önleme maliyeti, ihlal sonrası yaşanacak itibar ve sorumluluk kaybından çok daha düşüktür.

Zayıf ve ortak parolalar

Aynı parolanın birden fazla hesapta kullanılması, tek bir hesabın ele geçirilmesiyle tüm hesapların açılmasına yol açabilir. Büroda parolanın sekreter ve stajyerle paylaşılması da yaygındır; bu durumda kimin hangi işlemi yaptığı izlenemez. Her kullanıcının kendi hesabı, her hesabın kendine özgü ve uzun bir parolası olmalıdır. İkinci doğrulama adımı bulunan hesaplarda bu özelliği mutlaka açın; parolanız sızsa bile hesabın açılmasını zorlaştırır.

Yanlış alıcıya gönderim

E-posta programlarının otomatik tamamlama özelliği, benzer isimli iki kişiden yanlış olanı seçtirebilir. Karşı tarafa gitmesi gereken bir yazının yanlış alıcıya ulaşması, küçük bir tıklama hatasıyla gerçek bir sır ihlaline dönüşür. Göndermeden önce alıcı satırını okumak, hassas ekleri parola korumalı göndermek ve çok hassas içerikte kanalı değiştirmek bu riski azaltır.

Cihaz kaybı ve ortak kullanım

Kilitsiz bir telefon ya da şifrelenmemiş bir dizüstü bilgisayar kaybolduğunda, içindeki tüm dosyalar başkasının eline geçebilir. Duruşma dönüşü kafede unutulan çanta, yolculukta çalınan telefon ve onarıma bırakılan cihaz bu başlığa girer. Ekran kilidi, disk şifreleme ve uzaktan silme özelliği bu durumda belirleyicidir. Aile bireyleriyle paylaşılan ortak bilgisayarlarda müvekkil verisi tutulmamalıdır.

Bu üç başlığın ortak noktası insan davranışıdır. Teknik önlemler yardımcı olur, ancak büroda herkesin aynı basit kuralları bilmesi ve uygulaması daha önemlidir. Bir sonraki bölümde, günlük iletişimde en çok kullanılan ve en az denetlenen kanalı ele alalım.

Anlık Mesajlaşma Uygulamaları ve Ortak Kanallar

Anlık mesajlaşma uygulamaları, müvekkille hızlı iletişim kurmanın en rahat yoludur ve bu rahatlık tam olarak riskin kaynağıdır. Müvekkil gece yarısı bir belge fotoğrafı gönderir, avukat telefondan hızlıca cevap yazar, konuşma geçmişi telefonda kalır. Bir süre sonra aynı telefonda ailenizin, arkadaşlarınızın ve yüzlerce müvekkilin konuşmaları iç içe geçer. Telefon bir kez yanlış ellere geçtiğinde, bu geçmişin tamamı açılabilir.

Sorun uygulamaların kendisinden çok kullanım biçimindedir. Kişisel hesapla yürütülen müvekkil yazışmaları, hesap yedeklerinin hangi bulutta tutulduğundan bağımsız olarak büronun kontrolü dışındadır. Bir grup içinde yanlış kişinin bulunması, bir mesajın yanlış sohbete iletilmesi veya otomatik indirilen belgelerin telefon galerisine düşmesi sık görülen sızıntı yollarıdır. Ayrıca sohbetlerde verilen sözlü talimatlar kayıt altına alınmadığı için sonradan ispat sorunu da yaratır.

Mesajlaşma uygulamalarını tamamen yasaklamak gerçekçi değildir; müvekkiller bu kanalı bekler. Gerçekçi olan, kullanımın sınırlarını belirlemektir. Hızlı bilgilendirme ve randevu teyidi gibi düşük hassasiyetli konular mesajla yürütülebilir. Dosya içeriği, kimlik ve mali belgeler ise büronun denetlediği kanallara yönlendirilmelidir. Müvekkile bunu baştan, vekâlet aşamasında anlatmak sonradan yaşanacak sürtüşmeyi önler.

Telefon tarafında alınabilecek basit önlemler de vardır: ekran kilidi, otomatik medya indirmenin kapatılması, belirli aralıklarla eski sohbetlerin temizlenmesi ve yedeklerin hangi hesaba gittiğinin bilinmesi. Büroya ait telefonlarla kişisel telefonlar ayrı tutulabiliyorsa risk önemli ölçüde düşer. Bu düzen, ortak çalışan büroda kimin hangi sohbete erişebildiğini de görünür kılar.

Ortak kanalların bir diğer yüzü, büro içi gruplardır. Bir dosyayla ilgili grup sohbetine yalnızca o dosyada çalışanların eklenmesi gerekir. Dosya kapandıktan sonra gruptan çıkarmak ve geçmişi temizlemek, hem sır saklama hem de veri minimizasyonu açısından yerinde bir adımdır.

KVKK m.12: Veri Güvenliği Yükümlülüğü

Sır saklama yükümlülüğü meslek hukukundan gelirken, kişisel verilerin korunması ayrı bir yasal çerçevede yer alır. Müvekkilin kimlik bilgileri, iletişim bilgileri, sağlık verileri ve dava içeriği kişisel veridir; bu verileri işleyen büro da veri sorumlusu konumundadır. KVKK m.12, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini ve hukuka aykırı erişilmesini önlemek, verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri alma görevi yükler.

Buradaki kilit ifade "uygun güvenlik düzeyi"dir. Kanun herkese aynı teknik listeyi dayatmaz; verinin niteliğine, büronun büyüklüğüne ve işlenen verinin hassasiyetine göre orantılı tedbir bekler. Tek avukatlı bir büroyla onlarca çalışanı olan bir büronun önlemleri aynı olmak zorunda değildir; ancak ikisi de önlem aldığını gösterebilmelidir. Önlemin varlığı kadar, yazılı ve izlenebilir olması da önemlidir.

Teknik tedbirler arasında parola ve erişim yönetimi, cihaz şifreleme, yedekleme, güncel yazılım kullanımı ve yetkisiz erişimin engellenmesi sayılabilir. İdari tedbirler ise çalışanlara verilen talimatları, gizlilik taahhütlerini, erişim yetkilerinin tanımlanmasını ve eğitimi kapsar. Bir büro için en gerçekçi başlangıç, bu iki kümeyi tek sayfalık bir yazılı düzende toplamaktır.

Bir de ihlal durumu vardır. Kişisel verilerin başkaları tarafından hukuka aykırı yollarla elde edilmesi hâlinde, veri sorumlusunun bunu en kısa sürede ilgili kişiye ve denetim mercine bildirmesi gerekir. Hangi süre içinde, hangi biçimde bildirileceği konusunda güncel mevzuata ve yönlendirmelere bakmak gerekir; bu yazıda süre ya da tutar belirtmiyoruz. Önemli olan, böyle bir durumda kimin ne yapacağının önceden belirlenmiş olmasıdır. Panik anında karar vermek yerine, elinizde hazır bir olay planı bulunmalıdır.

Büro İçi Yetki ve Erişim Düzeni

Güvenliğin en ucuz ve etkili yöntemlerinden biri, herkesin yalnızca işi için gereken bilgiye ulaşmasıdır. Büro çalışanlarının hepsine her dosyaya erişim vermek, kolay görünür ama tek bir hesabın ele geçirilmesinin etkisini büyütür. Stajyerin yalnızca atandığı dosyaları görmesi, sekreterin yazışma ve takvim işlemlerine erişmesi, ortakların ise büronun tamamını görebilmesi makul bir ayrımdır.

Yetkilendirme yalnızca teknik bir ayar değildir; kimin ne yapabildiğinin büroda açıkça bilinmesi demektir. Bir çalışan büronun dışına çıktığında hesabının hemen kapatılması, cihazlarının geri alınması ve parolaların yenilenmesi de aynı düzenin parçasıdır. Ayrılan çalışanın hesabının aylarca açık kalması, büroların en sık yaptığı ve en az fark ettiği hatalardan biridir.

Tablodaki dağılım bir örnektir; her büronun yapısı farklıdır. Önemli olan ilkedir: yetki, unvana göre değil işe göre verilir ve düzenli olarak gözden geçirilir. Altı ayda bir "kim neye erişiyor?" sorusunu sormak, birikmiş gereksiz yetkileri temizler.

Aşağıdaki kısa liste, bir büronun yetki düzenini kontrol ederken bakabileceği temel noktaları özetler.

• ✓ Her çalışanın kendine ait hesabı var, parola paylaşımı yok.
• ✓ Dosya erişimi rol ve görevlendirmeye göre ayrılmış.
• ✓ Ayrılan çalışanın hesabı ve cihaz erişimi aynı gün kapatılıyor.
• ✓ İkinci doğrulama adımı destekleyen tüm hesaplarda açık.
• ✓ Çalışanlar yazılı gizlilik taahhüdü imzalamış.

Adım Adım Büroda Dijital Gizlilik Düzeni Kurmak

Bu noktaya kadar riskleri ve yükümlülükleri konuştuk; şimdi uygulamaya geçelim. Düzen kurmak için büyük bütçeye gerek yoktur; önemli olan sıralamadır. Önce görünür olanı, yani nelerin nerede durduğunu belirler; sonra en büyük açıkları kapatır; en son alışkanlıkları kalıcı hâle getirirsiniz. Aşağıdaki adımlar küçük ve orta ölçekli bir büro için tasarlanmıştır.

1. Veri haritasını çıkarın. Müvekkil bilgisinin hangi cihaz, hesap ve kanalda durduğunu bir listeye yazın.
2. Hesapları ayırın. Her çalışana kendi hesabını verin, ortak parolaları kaldırın ve ikinci doğrulama adımını açın.
3. Cihazları koruyun. Ekran kilidi, disk şifreleme ve uzaktan silme özelliğini tüm büro ve kişisel cihazlarda etkinleştirin.
4. Kanalları belirleyin. Hangi bilginin hangi kanaldan paylaşılabileceğini yazın; hassas belgeleri büronun denetlediği kanala yönlendirin.
5. Yetkileri tanımlayın. Rol bazlı erişim düzeni kurun, ayrılan çalışanlar için kapatma prosedürü hazırlayın.
6. Olay planını hazırlayın. Cihaz kaybı veya yanlış gönderim durumunda kimin ne yapacağını önceden belirleyin.
7. Düzenli gözden geçirin. Altı ayda bir listeyi, yetkileri ve yedekleri kontrol edin.

Bu yedi adımı bir hafta sonunda bitirmek zorunda değilsiniz. İlk iki adım bile riskin önemli kısmını azaltır. Düzenin kâğıt üzerinde kalmaması için bir kişiyi sorumlu atamak da fayda sağlar; büyük büroda bu görev bir ortağa, küçük büroda bizzat avukata aittir.

Çalışanlara verilecek kısa bir yazılı not, düzenin işlemesinde çoğu zaman teknik önlemden daha etkilidir. Aşağıdaki örnek, büro içinde dağıtılabilecek kısa bir kontrol notunun biçimini gösterir.

Büro Gizlilik Notu (örnek):
1. Müvekkil belgeleri yalnızca büronun belirlediği kanallarla paylaşılır.
2. Kişisel hesap ve cihazlarda müvekkil dosyası tutulmaz.
3. Parola hiçbir koşulda başkasıyla paylaşılmaz.
4. Cihaz kaybı derhal sorumlu avukata bildirilir.
5. Bu not, görev sona erse de gizlilik sorumluluğunu ortadan kaldırmaz.

Tebligat ve Süre Takibinde Gizlilik: MÜHLET

Süre ve tebligat takibi, müvekkil verisinin en yoğun dolaştığı alanlardan biridir. Tebligat içerikleri taraf adlarını, dosya numaralarını ve dava konusunu taşır; bunları e-posta zincirleri, ortak tablolar ya da kişisel notlarla takip etmek hem sır hem de süre açısından risk yaratır. Bu işi tek bir yapıda toplamak, kopyaları azaltır ve erişimi denetlenebilir kılar.

MÜHLET, UETS'e düşen e-tebligatları tarayıcı eklentisiyle, avukatın kendi bilgisayarında kendi oturumuyla otomatik alır. Şifreniz MÜHLET'e verilmez ve sunucular UETS'e bağlanmaz; erişim yalnızca sizin tarayıcınızda gerçekleşir. Bu yaklaşım, gizlilik açısından kritik bir ilkeyi korur: kimlik bilginiz üçüncü bir tarafın elinde durmaz. UETS tarafındaki işleyişi UETS entegrasyonu sayfasında görebilirsiniz.

Yapay zekâ tebligatı analiz eder; mahkemeyi, esas numarasını, tarafları ve tebligat türünü çıkarır. Her çıktı bağımsız bir usul kuralı motoruyla doğrulanır ve güven düşükse avukat onayı istenir. Detaylar tebligat analizi sayfasında yer alır. Süreler Türk adli takvimine göre, adli tatil, resmî tatil ve hafta sonu düzeltmeleriyle hesaplanır; süre takibi ise son güne kadar e-posta, SMS ve uygulama ya da tarayıcı bildirimiyle kademeli hatırlatma yapar. Hatırlatma ayarları bildirim sistemi sayfasında anlatılır.

Büro tarafında rol bazlı yetki (ortak, avukat, sekreter, stajyer) sayesinde herkes yalnızca kendi rolüne uygun alanı görür. Veriler Türkiye'de barındırılır ve sistem KVKK uyumlu çalışır. Ücretlendirme tebligat kredisi esasına dayanır; ilk kullanımda ücretsiz deneme kredisi verilir, ayrıntılar fiyatlar sayfasındadır. Sürelerinizi ayrıca kontrol etmek isterseniz ücretsiz hukuki süre hesaplama aracını kullanabilirsiniz.

Bu yapının amacı gizliliği tek başına garanti etmek değildir; hiçbir araç bunu yapamaz. Amaç, tebligat ve süre verisini dağınık kanallardan toplayıp yetkilendirilmiş tek bir akışa almaktır. Böylece kontrol edebildiğiniz kopya sayısı azalır ve hesap verebilirliğiniz artar.

Sık Yapılan Hatalar

Büroların dijital gizlilikte yaptığı hataların çoğu tekrar eder. İlki, güvenliğin yalnızca bilgisayar sorumlusunun işi sanılmasıdır. Oysa en kritik kararlar avukatın günlük alışkanlıklarında saklıdır: hangi belgenin nereye gönderileceği, hangi telefonda hangi yazışmanın tutulacağı. Teknik kişi araçları kurabilir, ama davranışı ancak büronun kendisi belirler.

İkinci hata, düzenin bir kez kurulup unutulmasıdır. Çalışanlar değişir, cihazlar yenilenir, yeni uygulamalar kullanıma girer. Altı ay önce doğru olan yetki tablosu bugün yanlış olabilir. Düzenli gözden geçirme olmadan en iyi tasarlanmış düzen bile zamanla bozulur. Üçüncü hata, ayrılan çalışanın erişimlerinin kapatılmasının unutulmasıdır; hesabı açık kalan eski stajyer, büronun fark etmediği bir risk olarak orada beklemeye devam eder.

Dördüncü hata, müvekkille kanal konuşulmamasıdır. Vekâlet aşamasında "belgeleri şu yolla gönderin, şu bilgiyi mesajla yazmayın" demek kısa sürer ve sonradan çok iş kurtarır. Beşincisi, yedeklerin unutulmasıdır: yedek hem koruma hem de risktir. Yedek alınmıyorsa veri kaybı, şifrelenmeden alınıyorsa sızıntı riski doğar. Yedeğin nerede ve kimin hesabında durduğunu bilmek zorundasınız.

Son olarak, olay planının olmaması da sık görülen bir eksiktir. Cihaz kaybolduğunda ya da yanlış alıcıya e-posta gittiğinde ilk saatlerdeki davranış sonucu belirler. Kimin kimi arayacağı, hangi hesabın hemen kapatılacağı ve müvekkile nasıl bilgi verileceği önceden yazılmışsa, olay yönetilebilir kalır. Plan yoksa her karar belirsizlik içinde alınır ve gecikme zararı büyütür.

Altıncı hata, müvekkil verisinin gereğinden uzun süre saklanmasıdır. Kapanmış bir dosyanın taranmış belgeleri yıllarca telefonda, e-posta kutusunda ve ortak klasörlerde kalabilir. Saklanması gereken belgeler ilgili mevzuata göre arşivlenmeli, geri kalan kopyalar düzenli aralıklarla temizlenmelidir. Her fazla kopya, sızma ihtimalini artıran ve denetlenmesi gereken bir noktadır; saklama süresini belirlerken büronun kendi arşiv düzenini ve ilgili mevzuatı birlikte dikkate almak gerekir. Yedi yıl önceki bir dosyanın bugün hâlâ açık bir cihazda durması, hiçbir işe yaramayan ama ciddi risk taşıyan bir yüktür.

Bu hataların hiçbiri büyük yatırım gerektirmez; hepsi dikkat ve düzenle önlenebilir. Dijital gizlilik, tek seferlik bir proje değil, büronun sürekli işleyen bir alışkanlığıdır. Küçük ama düzenli adımlar, büyük ve nadir önlemlerden çoğu zaman daha etkilidir.

Sık Sorulan Sorular

Bu yazı genel bilgilendirme amaçlıdır; somut olayınız için hukuki değerlendirme gerekir.