Büroda Kişisel Cihaz Kullanım Politikası

Büroda kişisel cihaz kullanım politikası, çalışanların kendi telefon, tablet ve dizüstü bilgisayarlarıyla müvekkil verisine nasıl, hangi koşulda ve hangi sınırlarla erişebileceğini yazılı hâle getiren iç kuraldır. Amacı cihazı yasaklamak değil, avukatlık sırrının ve kişisel verilerin cihaz kaybında, çalışan değişiminde veya dikkatsiz bir paylaşımda dışarı çıkmasını önlemektir. İyi bir politika üç şeyi netleştirir: hangi veri kişisel cihazda durabilir, cihaz hangi asgari güvenlik koşullarını taşımalıdır ve bir sorun çıktığında kim, ne kadar sürede, ne yapar. Yazılı olmayan kural, ilk ciddi olayda kimsenin bilmediği bir kural olur.

Büroda Kişisel Cihaz Politikası Neden Gerekli?

Hukuk bürolarında kişisel cihaz kullanımı çoğu zaman bilinçli bir karar olarak başlamaz; alışkanlık olarak yerleşir. Avukat duruşma çıkışında müvekkile telefonundan dönüş yapar, sekreter evden devam etmek için dosyayı kendi bilgisayarına aktarır, stajyer çektiği evrak fotoğrafını kendi galerisinde bırakır. Her biri tek başına masum görünür. Ancak bütün bunların toplamı, müvekkil bilgisinin büronun denetimi dışındaki cihazlarda dolaştığı bir düzen yaratır.

Örneğin Ankara'da icra ağırlıklı çalışan bir avukat düşünelim. Bürosunda iki avukat, bir sekreter ve bir stajyer var. Sekreter tebligat evrakını telefonuyla fotoğraflayıp avukata iletiyor, avukat aynı fotoğrafı kendi tabletine kaydediyor, stajyer ise dosya özetini kişisel e-posta hesabından kendine gönderiyor. Bir hafta sonra sekreterin telefonu kayboluyor. Büro, telefonda hangi dosyaların bulunduğunu söyleyemiyor; çünkü hiçbir kayıt yok. Politika tam olarak bu belirsizliği ortadan kaldırmak için vardır.

Yasaklamak yerine çerçeve çizmek

Kişisel cihaz kullanımını tümden yasaklamak çoğu büroda gerçekçi değildir. Avukatlar mesaiyi duruşma salonunda, yolda ve evde sürdürür; telefon ve dizüstü bilgisayar bu işin parçasıdır. Tam yasak ilan edilirse kullanım ortadan kalkmaz, yalnızca görünmez hâle gelir. Görünmez kullanım ise denetlenemez. Bu yüzden amaç, izin verilen kullanımı tanımlamak ve o sınırın içinde güvenli tutmaktır.

Politikanın yazılı olmasının değeri

Yazılı politika, hem büro içinde ortak bir dil kurar hem de bir olay sonrasında büronun makul tedbirleri aldığını gösteren belgedir. Sözlü uyarılar zamanla unutulur, kişiden kişiye değişir ve yeni gelen çalışana ulaşmaz. Tek sayfalık bile olsa imzalı bir metin, hiçbir şey olmamasından çok daha güçlüdür. Bu çerçeve, küçük bir bürodan büyük bir ortaklığa kadar her ölçekte aynı mantıkla çalışır. Bir sonraki bölümde politikanın hangi cihaz ve veri türlerini kapsaması gerektiğini ele alalım.

Politikanın Kapsamı: Hangi Cihaz, Hangi Veri?

Politika yazmaya başlarken ilk karar, neyin kapsam dâhilinde olduğudur. "Kişisel cihaz" ifadesi yalnızca telefonu değil; dizüstü bilgisayarı, tableti, akıllı saati, taşınabilir belleği, evdeki yazıcıyı ve hatta ortak kullanılan aile bilgisayarını da içerebilir. Kapsamı dar tutarsanız boşluk kalır, çok geniş tutarsanız kimse uymaz. Pratik yöntem, cihazı türüne göre değil, üzerinden yapılan işe göre sınıflandırmaktır: yalnızca takvim ve arama için kullanılan telefon ile dosya içeriğine erişilen telefon aynı risk düzeyinde değildir.

Veri tarafında da bir sınıflandırma gerekir. Büronun elindeki bilgiyi kabaca üç gruba ayırmak yeterlidir. Birinci grup, müvekkil kimliği, dava konusu, strateji notları ve sağlık ya da mali durum gibi hassas bilgileri içeren dosya içeriğidir. İkinci grup, esas numarası, duruşma saati ve süre son günü gibi iş takibi için gereken operasyonel bilgidir. Üçüncü grup ise büronun genel yazışmaları ve idari kayıtlarıdır. Her grubun kişisel cihazda bulunup bulunamayacağı ayrı ayrı yazılmalıdır.

Kişisel cihazda durabilecekler

Operasyonel bilgi çoğu zaman kısıtlı biçimde kişisel cihazda bulunabilir; örneğin takvim bildirimi, görev hatırlatması veya duruşma saati. Bu bilgiler müvekkilin kimliğini ve dava içeriğini açık etmeden de iş görür. Politika, bildirimlerde taraf adı ve dava konusunun gösterilmemesini isteyebilir.

Kişisel cihaza hiç inmemesi gerekenler

Dosya içeriği, tam metin dilekçe, müvekkil yazışması ve kimlik belgesi görüntüleri en yüksek hassasiyet grubundadır. Bunların kişisel cihazın yerel belleğine, galerisine veya kişisel bulut hesabına kaydedilmesi politikanın en açık yasağı olmalıdır. Erişim gerekiyorsa büronun denetlediği ortam üzerinden, cihaza kalıcı kopya bırakmadan yapılmalıdır.

Hukuki Dayanak: Avukatlık Sırrı ve KVKK

Kişisel cihaz politikasının dayanağı bir büro tercihi değil, hukuki yükümlülüktür. Birinci dayanak Avukatlık Kanunu m.36'dır: avukat, görevi sebebiyle öğrendiği hususları açıklamamakla yükümlüdür. Bu sır saklama ödevi yalnızca avukatın kendisini değil, bürosunda onun adına çalışan herkesin davranışını da şekillendirir; çünkü sırrın sekreterin telefonundan veya stajyerin kişisel hesabından sızması, avukatın sorumluluğunu doğurabilecek bir durumdur. Yükümlülüğün gerçek anlamı şudur: sırrı yalnızca bilmemek değil, korunabilecek biçimde tutmak.

İkinci dayanak, kişisel verilerin korunması mevzuatıdır. Müvekkil bilgisi, kanun kapsamında kişisel veridir. KVKK m.4, kişisel verilerin işlenmesinde genel ilkeleri düzenler: hukuka ve dürüstlük kurallarına uygunluk, doğru ve gerektiğinde güncel olma, belirli ve meşru amaçlar için işlenme, amaçla bağlantılı, sınırlı ve ölçülü olma ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme. Kişisel cihazlarda gereğinden fazla kopya tutmak, ölçülülük ve süre ilkeleriyle çelişir.

KVKK m.10, veri sorumlusunun aydınlatma yükümlülüğünü düzenler. Müvekkil bilgisinin hangi amaçla ve hangi araçlarla işlendiği konusunda bilgilendirme yapılırken, verinin büro çalışanlarının cihazlarında da işlenebildiği gerçeği bu çerçevede dürüstçe yansıtılmalıdır. KVKK m.12 ise veri güvenliğine ilişkin yükümlülükleri içerir: veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri almak zorundadır.

Teknik ve idari tedbir ne demek?

Teknik tedbir; şifreleme, ekran kilidi, güncelleme ve uzaktan silme gibi cihaz düzeyindeki önlemlerdir. İdari tedbir ise yazılı politika, eğitim, taahhüt ve denetim gibi örgütsel önlemlerdir. Kişisel cihaz politikası, idari tedbirin merkezindeki belgedir ve teknik tedbirlerin hangilerinin zorunlu olduğunu da belirler. Yalnızca teknik önlem alıp kimseye anlatmamak ya da yalnızca yazılı metin hazırlayıp cihazı denetlememek, yükümlülüğün yarısını karşılar.

Politikada Bulunması Gereken Temel Maddeler

Etkili bir politika uzun olmak zorunda değildir; ama her maddesi uygulanabilir olmalıdır. Aşağıdaki tablo, çoğu büroda yer alması gereken başlıkları ve her birinin neyi çözdüğünü özetler. Her büro kendi iş akışına göre ayrıntıyı değiştirebilir, ancak bu başlıkların hiçbiri atlanmamalıdır.

Tablodaki her satır, politikanın ayrı bir paragrafına dönüşebilir. Erişim koşulu maddesi, büronun hangi veriyi kişisel cihazdan görüntülemeye izin verdiğini ve hangi veriyi hiçbir koşulda indirtmediğini söyler. Cihaz kilidi maddesi, çok teknik olmadan okunabilmelidir: "Telefonunuz ve bilgisayarınız şifreyle veya biyometrik yöntemle kilitli olmalı, kısa süre kullanılmadığında otomatik kilitlenmeli, işletim sistemi güncel tutulmalıdır" gibi.

Paylaşım kanalı maddesi çoğu bürodaki en büyük boşluğu kapatır. Anlık mesajlaşma uygulamaları hızlıdır; bu yüzden dosya ve evrak, farkında olmadan bu uygulamalarla gezer. Politika, hangi kanalın dosya içeriği için uygun olduğunu, hangisinin yalnızca "bu dosyayı kontrol edin" türü yönlendirme için kullanılabileceğini açıkça ayırmalıdır. Kanal ayrımı yapılmazsa, çalışan en kolay yolu seçer.

Taahhüt ve imza

Politikanın sonunda, çalışanın metni okuduğunu ve uyacağını beyan ettiği kısa bir taahhüt bulunmalıdır. Bu imza cezalandırma aracı değil, farkındalık ve kayıt aracıdır. Yeni başlayan her çalışan, ilk gün sistemlere erişim almadan önce metni okuyup imzalamalıdır.

Kişisel cihaz taahhüt notu (örnek): "Müvekkil dosyalarına ve yazışmalarına kişisel cihazımdan yalnızca büronun onayladığı yöntemle erişeceğimi, dosya içeriğini cihazımın yerel belleğine veya kişisel yedeğime kaydetmeyeceğimi, cihazımın kaybı veya şüpheli bir durumda büro yönetimine gecikmeden bildirim yapacağımı ve görev sona erdiğinde büroya ait her türlü veriyi cihazımdan kaldıracağımı kabul ederim."

Politikayı Adım Adım Hazırlama ve Uygulama

Politika yazmak bir oturumda biter; uygulamak ise büronun alışkanlığını değiştirmek demektir. Bu yüzden hazırlık sürecini küçük ve sıralı adımlara bölmek, hem iş yükünü azaltır hem de çalışanın sürece katılmasını sağlar. Aşağıdaki akış, beş-on kişilik bir büro için gerçekçi bir yol haritasıdır.

1. Envanter çıkarın. Kim hangi kişisel cihazla büro verisine erişiyor, hangi uygulamaları kullanıyor, hangi dosyalar nerede duruyor; bunu önce sormadan, yargılamadan listeleyin.
2. Veriyi sınıflandırın. Dosya içeriği, operasyonel takip bilgisi ve idari yazışma gruplarını belirleyin; her grubun kişisel cihazda olup olamayacağına karar verin.
3. Asgari güvenlik şartlarını yazın. Ekran kilidi, güncel sistem, onaylı olmayan uygulamalardan kaçınma ve ortak kullanılan cihazlarda büro verisine erişmeme gibi ölçülebilir şartları belirleyin.
4. Onaylı kanalları tanımlayın. Dosya paylaşımı, iç yazışma ve müvekkil iletişimi için hangi araçların kullanılacağını netleştirin; başka kanalı yasaklamak yerine alternatifi sunun.
5. Olay prosedürünü belirleyin. Kayıp veya çalıntı cihazda kime, nasıl ve ne kadar çabuk haber verileceğini, büronun ilk hangi adımları atacağını yazın.
6. Eğitin ve imzalatın. Politikayı toplantıda anlatın, soruları yanıtlayın, taahhüdü imzalatın; yeni gelenler için aynı süreci işletin.
7. Dönemsel gözden geçirin. Politikayı belirli aralıklarla ve teknolojik ya da büro içi bir değişiklikte güncelleyin.

Envanter adımı çoğu zaman şaşırtıcı sonuç verir. Büro yönetimi beklenenden çok daha fazla cihaz ve kanal olduğunu görür; bu bilgi, politikanın gerçekçi yazılmasını sağlar. Envanteri bir suçlama değil, bir fotoğraf olarak sunmak, çalışanların dürüst cevap vermesi için gereklidir. Çalışan cezalandırılacağını düşünürse, kullandığı kanalı saklar.

Asgari güvenlik şartlarını yazarken ölçülebilirlik esas alınmalıdır. "Cihazınızı güvende tutun" ifadesi kimseye yol göstermez; "ekran kilidi etkin, otomatik kilitlenme kısa sürede devreye giriyor, işletim sistemi güncel" ifadesi ise bir kontrol listesine dönüşebilir. Aşağıdaki liste, her çalışanın ilk gün ve sonrasında düzenli olarak kendine sorabileceği temel soruları özetler.

• ✓ Cihazım şifre veya biyometrik yöntemle kilitli ve kısa sürede otomatik kilitleniyor.
• ✓ İşletim sistemim ve uygulamalarım güncel.
• ✓ Dosya içeriği galerimde, indirilenler klasöründe veya kişisel yedeğimde durmuyor.
• ✓ Büro verisine açık ve güvenli olmayan ortak ağlardan erişmiyorum.
• ✓ Cihazım kaybolursa kime ve nasıl haber vereceğimi biliyorum.

Büro İçi Roller: Ortak, Avukat, Sekreter ve Stajyer

Aynı politika, büroda farklı rollerdeki insanlar için aynı ölçüde uygun olmaz. Ortak avukat tüm dosyalara erişebilir ve sorumluluğu en yüksek kişidir; stajyer ise yalnızca görevlendirildiği dosyalarla ilgilenmelidir. Politikanın ilk yarısı herkes için ortak kuralları belirlerken, ikinci yarısı rol bazlı erişim sınırlarını tanımlamalıdır. Kişisel cihazdan erişimin rol farkı gözetmeksizin açılması, en az yetkili kişinin cihazını bile bütün dosyaların kapısı yapar.

Ortak ve kıdemli avukatlar çoğu zaman en az kurala uyan gruptur; çünkü kendilerini kuralı koyan taraf olarak görürler. Oysa politikanın inandırıcılığı, en üstten uygulanmasına bağlıdır. Ortak, kendi telefonunda ekran kilidini kapatmış ya da müvekkil yazışmalarını kişisel yedekte tutuyorsa, çalışanlardan aynı kurala uymasını beklemek gerçekçi olmaz. Politika, hiyerarşiye bakmaksızın herkesi bağlamalıdır.

Sekreter ve idari personel

Sekreterler çoğu zaman evrakın ilk karşılandığı noktadır: tebligat, dilekçe ve müvekkil belgeleri önce onlara ulaşır. Bu yüzden evrak fotoğraflama, tarama ve iletme alışkanlıkları politikada özellikle ele alınmalıdır. Bir evrakı cihazın kamerasıyla çekmek yerine, büronun belirlediği tarama ve kayıt yolunu kullanmak, kişisel galeride kalıntı bırakmaz.

Stajyerler ve yeni başlayanlar

Stajyerler meslekte yeni oldukları için sırrın ağırlığını her zaman sezemez. Onlara politikanın "ne yapmalı" kadar "neden" kısmını da anlatmak gerekir. Stajyerin görevlendirildiği dosyayla sınırlı erişim alması, staj bittiğinde erişimin kapatılması ve kişisel cihazında büro verisi kalmaması, politikanın en somut güvenceleridir.

Rol farkını yönetmenin en pratik yolu, erişimi rolle bağlamaktır. Büro verisine erişim bir sistem üzerinden yürütülüyorsa, ortak, avukat, sekreter ve stajyer yetkileri ayrı tanımlanabilir; bu sayede kişisel cihaz, yalnızca ilgili kişinin görmesi gereken veriyi gösterir. Bir sonraki bölümde, bütün tedbirlere rağmen bir şeyler ters gittiğinde izlenecek yolu ele alalım.

Cihaz Kaybı, Çalışan Ayrılışı ve Olay Anı

En iyi politika bile bir cihazın kaybolmasını tamamen önleyemez. Bu yüzden politikanın en değerli bölümlerinden biri, olay anında ne yapılacağını önceden söyleyen bölümdür. Panik anında karar vermek, hem yavaş hem hatalıdır; önceden yazılmış kısa bir prosedür ise çalışanı doğru ilk harekete yönlendirir. Prosedürün temel mantığı basittir: fark edildiği anda bildir, erişimi kes, neyin etkilendiğini belirle, kayda geçir.

Kayıp ya da çalıntı bir cihazda ilk adım, büro yönetimine gecikmeden haber vermektir. Çalışan "belki bulurum" diye saatlerce beklerse, hassas veriye erişim penceresi açık kalır. Büronun yapması gerekenler arasında cihazın uzaktan kilitlenmesi veya silinmesi, cihazdaki oturumların kapatılması, şifrelerin yenilenmesi ve cihazda hangi verilere erişilebildiğinin belirlenmesi yer alır. Bu aşamada, çalışanı suçlamak yerine hızlı bildirimi ödüllendiren bir kültür, olayların erken öğrenilmesini sağlar.

Çalışan ayrıldığında

Kişisel cihazlarda en sık unutulan an, çalışanın büroyla ilişiğinin kesilmesidir. Ayrılan çalışanın kişisel telefonunda hâlâ büro verisi, açık oturum veya kayıtlı yazışma kalabilir. Politika, ayrılış sürecinde erişimlerin kapatılacağını, büroya ait verinin cihazdan kaldırılacağını ve bunun birlikte teyit edileceğini yazmalıdır. Bu işlem, çalışanın ayrıldığı gün yapılmalı; ertelenen her gün, gereksiz risk demektir.

Olayı kayda geçirmek

Her olay, küçük de olsa kayda geçirilmelidir: ne zaman fark edildi, hangi cihaz, hangi veri, hangi önlem alındı. Bu kayıt hem büronun KVKK m.12 kapsamındaki tedbir yükümlülüğünü yerine getirdiğini gösterir hem de tekrar eden kalıpları görmeyi sağlar. Aynı tür olay tekrar ediyorsa, sorun çalışanda değil politikanın kendisindedir; o zaman maddeyi gözden geçirmek gerekir.

Süre ve Tebligat Takibi Kişisel Cihaza Neden Bağlıdır?

Kişisel cihaz politikasının en sık gözden kaçan boyutu, süre takibidir. Avukat için telefon, çoğu zaman süre hatırlatıcısının da kaynağıdır. Duruşma saati ve son gün uyarısı kişisel cihazda durur; bu iyi bir şeydir, çünkü avukat nerede olursa olsun uyarıyı alır. Ancak aynı cihaz, müvekkil adı, dava konusu ve tebligat içeriğini ekranda gösteriyorsa, kilit ekranında okunabilen bir bildirim bile sır riskine dönüşür. Politika, süre uyarılarının işlevini korurken ayrıntı gösterimini sınırlamayı hedeflemelidir.

E-tebligat konusunda ayrı bir hassasiyet vardır. Elektronik tebligat, muhatabın elektronik adresine ulaştığı tarihi izleyen beşinci günün sonunda tebliğ edilmiş sayılır (Tebligat K. m.7/a); avukat okumasa da süre işler. Bu nedenle tebligatın yalnızca tek bir kişisel cihazın veya tek bir kişinin takibine bırakılması, cihaz kaybı ya da tatil gibi durumlarda süre kaçırma riski taşır. İyi bir politika, tebligatın hangi sistemde izleneceğini, bunu kimin yedekleyeceğini ve bir kişi ulaşılamaz olduğunda sürecin nasıl devam edeceğini de belirler.

MÜHLET bu noktada, kişisel cihaz politikasıyla uyumlu çalışacak biçimde tasarlanmıştır. UETS'e düşen e-tebligatları tarayıcı eklentisiyle, avukatın kendi bilgisayarında kendi oturumuyla otomatik alır; şifre MÜHLET'e verilmez ve sunucular UETS'e bağlanmaz. Yapay zekâ tebligatı analiz eder, mahkeme, esas numarası, taraflar ve tebligat türünü çıkarır; her çıktı bağımsız bir usul kuralı motoruyla doğrulanır ve güven düşükse avukattan onay ister. Süreler Türk adli takvimine göre, adli tatil, resmî tatil ve hafta sonu düzeltmeleriyle hesaplanır. Son güne kadar kademeli olarak e-posta, SMS ve uygulama ya da tarayıcı bildirimiyle hatırlatma yapılır. Büro için ortak, avukat, sekreter ve stajyer şeklinde rol bazlı yetki bulunur; böylece her çalışan yalnızca kendi görev alanındaki bilgiyi görür. KVKK uyumlu çalışır, veriler Türkiye'de barındırılır; sistem tebligat kredisiyle işler ve ilk kullanımda ücretsiz deneme kredisi verilir. Ayrıntılar için bildirim sistemi, UETS entegrasyonu ve süre takibi sayfalarına bakabilirsiniz.

Bir aracın kişisel cihaz politikanıza uyup uymadığını değerlendirirken şu soruları sorun: Şifre ya da oturum bilgisi üçüncü tarafa veriliyor mu? Rol bazlı yetki var mı? Bildirimler ayrıntı göstermeden iş görüyor mu? Süre hesabı denetlenebilir mi? Sürelerinizi hızlıca kontrol etmek için ücretsiz hukuki süre hesaplama aracını da kullanabilirsiniz.

Sık Yapılan Hatalar

Büroların kişisel cihaz politikasında yaptığı hataların çoğu bilgisizlikten değil, uygulanabilirlikten kaynaklanır. Metin yazılır, dosyaya konur ve unutulur. Birinci hata, politikayı bir kez yazıp bir daha güncellememektir. Büro büyür, yeni araçlar kullanılır, çalışanlar değişir; metin bunlara ayak uydurmazsa gerçeği yansıtmaz. İkinci hata, çalışana alternatif sunmadan yasak koymaktır. "Mesajlaşma uygulamasıyla dosya göndermeyin" diyen ama güvenli bir paylaşım yolu tarif etmeyen politika, ilk acil durumda çiğnenir.

Üçüncü hata, yalnızca teknik tedbire güvenmektir. Cihaz kilidi ve şifreleme önemlidir; ancak çalışan, açık ekranlı telefonunu kafede masada bırakıyorsa ya da evrak fotoğrafını ailesiyle paylaşıyorsa teknik önlem işe yaramaz. Teknik ve idari tedbirler birlikte yürümelidir; KVKK m.12'nin iki türü birlikte anması bu yüzdendir. Dördüncü hata, olay bildirimini cezalandırmaktır. Kayıp cihazı bildiren çalışan azarlanırsa, bir sonraki kayıp bildirilmez.

Beşinci hata, ayrılan çalışanın cihazını unutmaktır. Stajı biten ya da işten ayrılan kişinin telefonunda oturumlar açık kalabilir; bu, çoğu bürolarda ilk bakışta görünmeyen bir açıktır. Altıncı hata ise politikayı yalnızca çalışanlara uygulamak, ortaklar ve kıdemli avukatlar için istisna tanımaktır. Kural herkes için geçerli olmadığında, kimse için geçerli olmaz. Son olarak, politikayı yalnızca hukuki bir koruma belgesi olarak görmek de yanlıştır; amacı, işleyen ve çalışanın benimsediği bir güvenlik düzenidir.

Bu hataların hepsinin çözümü aynı yerden geçer: sade, uygulanabilir, herkes için geçerli ve düzenli güncellenen bir metin. Kısa bir toplantıyla başlayıp yıllık bir gözden geçirmeyle sürdürülen politika, büroyu en çok koruyan politikadır. Ücretlendirme ve plan ayrıntıları için fiyatlar sayfasına, ücretsiz hesaplama araçları için araçlar sayfasına göz atabilirsiniz.

Sık Sorulan Sorular

Bu yazı genel bilgilendirme amaçlıdır; somut olayınız için hukuki değerlendirme gerekir.