E-Posta ile Evrak Paylaşımında Güvenlik Kuralları

Avukatlıkta e-posta ile evrak paylaşmanın güvenli yolu dört adımdan oluşur: ekini şifrele, parolayı e-postadan farklı bir kanaldan ilet, göndermeden önce alıcıyı doğrula ve resmî yazışmada KEP kullanıp kullanmayacağına karar ver. Müvekkil bilgileri hem Kişisel Verilerin Korunması Kanunu'nun veri güvenliği yükümlülüğü (m.12) hem de Avukatlık Kanunu'ndaki sır saklama ödevi (m.36) kapsamındadır. Bu nedenle sıradan bir e-posta ekine konan dilekçe, vekâletname ya da bilirkişi raporu, yanlış kişiye gittiğinde yalnızca bir teknik kaza değil, meslek sırrı ve kişisel veri ihlali konusu olabilir. Aşağıda, büronuzda hemen uygulayabileceğiniz pratik kuralları sırayla bulacaksınız.

Kısa cevap: güvenli e-posta düzeninin çerçevesi

Örneğin Ankara'da icra ağırlıklı çalışan bir avukatı düşünelim. Sabah müvekkilinin kimlik fotokopisini ve ödeme belgelerini e-postayla alıyor, öğleden sonra karşı vekile bir uzlaşma taslağı gönderiyor, akşam da stajyerinden dosya özetini bekliyor. Bu üç trafiğin her biri farklı bir risk taşıyor, ama hepsinin ortak noktası şu: e-posta, varsayılan hâliyle kapalı bir zarf değil, açık bir karttır. Mesaj ve ekler, gönderen ile alıcı arasındaki yolda birden çok sistemden geçer ve bu sistemlerin her birinde bir kopyası kalabilir. Bu yüzden güvenliği e-posta uygulamasından beklemek yerine, evrakın kendisini ve paylaşım alışkanlığını korumak gerekir.

Kural seti dört katmandan kurulur. Birinci katman evrakın korunmasıdır: hassas ekler parola ile şifrelenir. İkinci katman parolanın yönetimidir: parola, ekin gittiği e-postayla aynı mesajda ya da aynı kanalda gönderilmez. Üçüncü katman alıcının doğrulanmasıdır: adres, göndermeden önce gözle ve gerekirse ikinci bir yolla teyit edilir. Dördüncü katman ise hangi yazışmanın hangi araçla yapılacağına karar vermektir: sıradan bilgi alışverişi için şifreli e-posta, resmî ve kanıtı önemli yazışma için KEP gibi daha güçlü bir kanal seçilir. Dört katman birlikte işler; birinin eksik olması diğerlerinin değerini düşürür. Örneğin parolayı aynı e-postaya yazmak şifrelemenin tüm anlamını ortadan kaldırır.

Bu rehberin yaklaşımı abartılı bir teknik kurulum önermez. Amaç, büronun her çalışanının, yani ortak avukattan stajyere kadar herkesin, üç dakikada uygulayabileceği tekrarlanabilir bir rutin oluşturmaktır. Güvenlik kuralı ne kadar basitse o kadar uygulanır; ne kadar karmaşıksa o kadar atlanır. Nitekim büro içi uygulamada en sık görülen sorun bilgi eksikliği değil, yoğun iş temposunda "bu seferlik" diyerek atlanan adımlardır. Bu yüzden izleyen bölümler hem hukuki gerekçeyi hem de pratik adımları kısa ve uygulanabilir tutuyor.

Hukuki dayanak: KVKK m.12 ve Avukatlık Kanunu m.36

E-posta güvenliği çoğu zaman bir "bilgi işlem" konusu gibi görülür, oysa avukat için doğrudan bir hukuki yükümlülük meselesidir. Kişisel Verilerin Korunması Kanunu'nun 12. maddesi, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişimi önlemek için uygun güvenlik düzeyini sağlamaya yönelik her türlü teknik ve idari tedbiri alma görevi yükler. Hukuk bürosu müvekkilinin kimlik, adres, sağlık, mali durum ve dava bilgilerini işlediği için bu anlamda veri sorumlusu konumundadır. Kanun, tedbirin ne olacağını tek tek saymaz; "uygun güvenlik düzeyi" ölçütünü kullanır. Bu da şu anlama gelir: hassas evrakı şifresiz ve kontrolsüz biçimde e-postayla dolaştıran bir büro, savunması en zor noktada, yani "makul tedbir aldım" noktasında zorlanır.

Veri ihlali hâlinde bildirim yükümlülüğü

Aynı madde, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun bunu en kısa sürede ilgilisine ve Kişisel Verileri Koruma Kurulu'na bildirmesini öngörür. Yanlış alıcıya giden bir e-posta, ekinde kişisel veri varsa, tam da bu sınıfa girebilir. Dolayısıyla "yanlış adrese gitti, silmesini rica ettik" cümlesi tek başına yeterli bir kapanış değildir; olayın kaydı tutulmalı, kapsamı değerlendirilmeli ve bildirim gerekip gerekmediği büro içinde net biçimde karara bağlanmalıdır.

Meslek sırrı ve sır saklama ödevi

Avukatlık Kanunu'nun 36. maddesi ise avukatın, görevi sebebiyle öğrendiği hususlarda sır saklama yükümlülüğünü düzenler. Bu yükümlülük, kişisel veri mevzuatından bağımsız ve daha eski bir meslek ödevidir; veri güvenliği mevzuatı olmasaydı bile geçerlidir. Burada kritik nokta şudur: sır saklama ödevi yalnızca bilgiyi bilerek açıklamamayı değil, bilginin kendi hatanız yüzünden üçüncü kişilerin eline geçmesini önlemek için özen göstermeyi de kapsayacak biçimde anlaşılmalıdır. Telefonu başkasına açık bırakmak, ortak bir e-posta hesabını kontrolsüz kullanmak ya da şifresiz ekle hassas belge göndermek bu özen ödevi açısından değerlendirilebilecek davranışlardır.

İki düzenlemeyi birlikte okuduğunuzda şu pratik sonuç çıkar: e-posta güvenliği hem müvekkile karşı sorumluluğunuzun hem de veri sorumlusu sıfatınızın gereğidir. Somut olayda hangi sorumluluğun doğduğu, verinin niteliğine, ihlalin boyutuna ve alınan tedbirlere göre değişir; bu nedenle tedbirlerinizi yazılı bir büro prosedürüne bağlamak ve uygulandığını gösterebilmek en sağlam korumadır.

Şifreli ek nasıl hazırlanır

Şifreli ek, e-posta güvenliğinin en ucuz ve en etkili önlemidir. Mantığı basittir: evrakı e-postaya koymadan önce bir parola ile kilitlenmiş bir dosyaya dönüştürür, parolayı ise alıcıya ayrıca iletirsiniz. Böylece e-posta yolda bir yerde okunsa, yanlış adrese düşse ya da alıcının posta kutusu başkasının eline geçse bile ek, parola olmadan açılamaz. Günlük kullanımda iki yaygın yol vardır: ofis belgelerinin kendi parola koruma özelliği ve dosyaları parola ile korumalı bir arşiv hâline getiren sıkıştırma araçları. Her ikisi de büroların kullandığı standart yazılımlarda bulunur; ayrıca ek bir kurulum ya da pahalı bir sistem gerektirmez.

Parola koruması konusunda dikkat edilecek en önemli ayrıntı, kullandığınız yöntemin güncel ve güçlü şifreleme sunmasıdır. Eski sürümlerdeki zayıf koruma yöntemleri, kısa ve tahmin edilebilir parolalarla birleştiğinde güvenlik hissi verir ama gerçek koruma sağlamaz. Bu nedenle büro içinde tek bir yöntem seçip güncel yazılım sürümlerinde kullanmak ve bunu yazılı prosedüre geçirmek iyi bir başlangıçtır. Belgeyi PDF olarak gönderecekseniz, açma parolası tanımlayabildiğiniz bir PDF çıktısı almak da kabul edilebilir bir yoldur.

Parolanın niteliği de en az yöntem kadar önemlidir. Doğum tarihi, dosya numarası, müvekkilin adı ya da "123456" benzeri öngörülebilir kombinasyonlar şifrelemeyi anlamsız kılar. Uzun, rastgele ve her gönderim için farklı bir parola tercih edin; uzunluk, karmaşıklıktan daha değerlidir. Aynı parolayı tüm müvekkillere kullanmak, parola bir kez sızdığında tüm arşivinizi riske atar. Parola yönetim aracı kullanıyorsanız her gönderim için üretip saklayabilirsiniz; kullanmıyorsanız en azından büro içinde belirlenmiş bir üretme yöntemi uygulayın.

1. Evrakı sınıflandırın. Kimlik, sağlık, mali bilgi ya da dava stratejisi içeren her belge hassas sayılır ve şifreli gönderilir.
2. Ekleri tek pakette toplayın. Birden çok belgeyi tek bir korumalı dosyada birleştirmek hem parola sayısını hem hata ihtimalini azaltır.
3. Güçlü bir parola belirleyin. Uzun, rastgele ve yalnızca bu gönderime özgü bir parola kullanın.
4. Dosyayı gerçekten kilitlediğinizi doğrulayın. Kilitli dosyayı kendi bilgisayarınızda açmayı deneyin ve parola istediğini görün.
5. Dosya adına dikkat edin. Ek adında müvekkil adı, kimlik bilgisi veya dava konusu geçmesin; ad, parola korumasının dışında kalır.
6. Parolayı ayrı kanaldan iletin. Ek giderken parola asla aynı e-postada olmasın; bunu izleyen bölümde ayrıntılı ele alıyoruz.

Parolayı ayrı kanaldan iletmek

Şifrelemenin değeri, parolanın ek ile aynı yoldan gitmemesine bağlıdır. Parolayı aynı e-postanın gövdesine yazdığınızda, e-postayı ele geçiren kişi hem kilidi hem anahtarı aynı anda elde eder; bu durum, kapıya anahtarı yapıştırıp kapıyı kilitlemeye benzer. Parolayı e-postadan farklı bir kanaldan iletmek, ele geçirme riskini ikiye böler: saldırganın iki ayrı kanalı birden izleyebilmesi gerekir. Pratikte en yaygın ayrı kanallar telefon görüşmesi, kısa mesaj ve anlık mesajlaşma uygulamalarıdır. Burada her kanalın güvenlik düzeyi farklıdır ve karar, belgenin hassasiyetine göre verilmelidir.

Hangi kanal ne zaman?

Telefonla sesli olarak iletmek, kayıt bırakmadığı ve alıcıyı da dolaylı olarak doğruladığı için en sağlam yoldur; özellikle alıcının sesini ve numarasını tanıyorsanız hem parolayı hem kimliği aynı anda teyit etmiş olursunuz. Kısa mesaj pratiktir ama telefonun kilit ekranında görünebilir ve cihaz paylaşımlı ise riskli olabilir. Anlık mesajlaşma uygulamaları kolaydır; yine de bu uygulamalarda hesabın başka cihazlarda açık olup olmadığını bilmeden hassas parola yazmak sakıncalıdır. Hiçbir durumda parolayı aynı yazışma dizisine, "az önceki dosyanın parolası şudur" diyerek eklemeyin.

Parola iletiminde zamanlama da önemlidir. Parolayı ek gönderildikten hemen sonra değil, alıcı eki aldığını teyit ettikten sonra iletmek daha güvenlidir; çünkü yanlış alıcıya gitmiş bir e-postayı fark ederseniz parolayı hiç göndermeyerek zararı sınırlayabilirsiniz. Bu küçük gecikme, şifrelemeyi bir geri alma imkânına da dönüştürür. Ayrıca parolayı yalnızca bir kez iletin ve alıcıdan, kendi yazışmasında saklamamasını rica edin.

Alıcı doğrulama ve yanlış alıcı riski

E-posta güvenliğinin en az teknik ama en sık ihlal edilen yönü yanlış alıcıdır. Otomatik tamamlama, benzer adlı iki kişiyi aynı satırda önerir; "Yanıtla" ile "Tümüne yanıtla" arasındaki fark yoğun anda gözden kaçar; karşı tarafın e-posta adresi bir harf farkıyla yazılır ya da müvekkilin eski adresi kayıtlı kalmıştır. Bu hataların hiçbiri teknik bir açığa dayanmaz, hepsi dikkat ve alışkanlık meselesidir. Dolayısıyla çözümün büyük kısmı da teknik değil, süreçseldir: gönder düğmesine basmadan önce alıcıyı doğrulayan bir mikro rutin oluşturmak.

Alıcı doğrulamanın ilk basamağı, adresin ilk kullanımda ikinci bir yolla teyit edilmesidir. Müvekkilin kendisinden gelen ilk e-postayı kaydedin, başka birinin ilettiği adresi ise bir telefon görüşmesi veya yüz yüze alınmış not ile onaylayın. İkinci basamak, gönderim anındaki kontroldür: alıcı alanındaki her adresi tek tek okuyun, görünen ad yerine gerçek adres bölümüne bakın ve kurum dışı alan adlarını özellikle gözden geçirin. Üçüncü basamak, büyük ve hassas gönderimlerde önce boş ya da önemsiz bir "deneme" mesajı göndererek adresin canlı ve doğru kişiye ait olduğunu teyit etmektir; bu yöntem, şifreli ek gönderiminde ayrıca bir güven katmanı oluşturur.

Yanlış alıcıya gittiğinde ne yapılır?

Hata olduğunu fark ettiğinizde ilk işiniz paniğe kapılmadan olayı sınırlamaktır. Mesaj şifreli ek içeriyorsa parolayı iletmeyin ve alıcıdan mesajı okumadan silmesini yazılı olarak isteyin. Şifresiz bir ek gitmişse, hangi verilerin kimin eline geçmiş olabileceğini belirleyin, olayın tarih ve saatiyle birlikte kaydını tutun ve müvekkile ne zaman, nasıl bilgi verileceğine karar verin. Kişisel veri içeren bir ihlalde bildirim yükümlülüğünün doğup doğmadığı da bu aşamada değerlendirilmelidir. Önemli olan, olayın büro içinde sessizce kapatılmaması; her yanlış gönderim, prosedürü güçlendirmek için bir öğrenme kaydına dönüşmelidir.

Yanlış alıcı olay notu (şablon):

Tarih/saat: ... — Gönderen: ... — Yanlış alıcı adresi: ...

Ek şifreli miydi: evet/hayır — Parola iletildi mi: evet/hayır

Alınan önlem: alıcıdan silme talebi yazılı olarak iletildi; müvekkil bilgilendirildi mi: ...

Bildirim değerlendirmesi: ... — Sorumlu avukat: ...

KEP'in resmî yazışmadaki yeri

Kayıtlı Elektronik Posta, yani KEP, sıradan e-postanın yerine geçen bir güvenlik aracı değil, resmî yazışmada gönderimin ve teslimin kanıtlanmasını amaçlayan ayrı bir kanaldır. Sıradan e-postada bir mesajı gönderdiğinizi, karşı tarafın aldığını ya da ne zaman aldığını ispatlamak zordur; KEP'te ise gönderim ve teslim anı sistem tarafından kayda alınır ve gönderene bu kayda dayanan bir belge sunulur. Bu nedenle, kanıt değeri önemli olan ihtarlar, resmî bildirimler ve süreye bağlı yazışmalar için KEP tercih edilir. Hangi yazışmaların KEP ile yapılmasının zorunlu ya da ispat bakımından avantajlı olduğu ilgili mevzuata göre değişir; somut olayda ilgili düzenlemeyi kontrol etmek gerekir.

KEP'in kimlik ve teslim güvencesi sağlaması, içeriği korumak için ayrı bir önlem almanız gerektiği gerçeğini ortadan kaldırmaz. Teslim kaydı, mesajın karşı tarafa ulaştığını gösterir; ekinizin kimler tarafından görülebileceği sorusunu ise ayrıca değerlendirmeniz gerekir. Çok hassas belgelerde KEP ile gönderim ile ek şifreleme birlikte düşünülebilir. Öte yandan her günlük yazışmayı KEP ile yapmak da pratik değildir; sıradan bilgi alışverişi için şifreli e-posta, resmî bildirim için KEP şeklinde bir ayrım, büro içinde en uygulanabilir denge olarak öne çıkar.

Büronuzda bu ayrımı netleştirmek için basit bir karar tablosu hazırlayabilirsiniz: "Bu yazışma bir hakkın kullanımına, bir sürenin işlemesine ya da sonradan ispat gerektirebilecek bir bildirime bağlı mı?" sorusuna cevabınız evetse KEP'i ya da mevzuatın öngördüğü resmî kanalı kullanın. Hayırsa, şifreli ek ve doğrulanmış alıcıyla gönderilen e-posta çoğu durumda yeterlidir. Resmî kurumlarla yazışmada ise ilgili kurumun kabul ettiği kanalı öğrenmek, kendi tercihinizden daha belirleyicidir.

Büro içinde uygulanabilir güvenlik düzeni

Bireysel dikkat, büro ölçeğinde yeterli değildir; kuralın herkesçe aynı biçimde uygulanması için yazılı ve kısa bir düzen gerekir. İlk karar, hesabın kime ait olduğudur. Tek bir ortak e-posta hesabını birden çok kişinin parolayla paylaşarak kullanması, kimin ne gönderdiğini izlemeyi imkânsız kılar ve ayrılan bir çalışanın erişimini kapatmayı zorlaştırır. Her çalışanın kendi hesabı, kendi parolası ve mümkünse ikinci doğrulama adımı olmalıdır. İkinci doğrulama, parola ele geçirilse bile hesabın açılmasını zorlaştıran en ucuz önlemlerden biridir.

İkinci karar, kimin hangi belgeyi hangi kanaldan göndereceğidir. Stajyer ve sekreterin yetkisini, gönderimin türüne göre belirleyin: örneğin kimlik ve mali belge içeren gönderimler için sorumlu avukatın onayı ya da ikinci bir gözle kontrolü şartı koyabilirsiniz. Üçüncü karar, cihaz güvenliğidir: bilgisayar ve telefonlarda ekran kilidi, disk şifrelemesi ve güncel yazılım, e-postanın korunmasından ayrı düşünülemez; çünkü şifrelenmiş ek, cihazın indirilenler klasöründe açık hâlde kalıyorsa korumanın yarısı kaybolmuştur. Dördüncü karar, eski yazışmaların yönetimidir: hassas belge içeren mesajların süresiz posta kutusunda durması, kutu ele geçirildiğinde riski büyütür.

• ✓ Her çalışanın kendi e-posta hesabı ve ikinci doğrulama adımı var.
• ✓ Hassas ekler şifreli gönderiliyor, parola ayrı kanaldan iletiliyor.
• ✓ Alıcı adresi ilk kullanımda ikinci bir yolla teyit ediliyor.
• ✓ Resmî ve süreye bağlı yazışmalarda KEP veya ilgili resmî kanal kullanılıyor.
• ✓ Ayrılan çalışanın erişimi aynı gün kapatılıyor.
• ✓ Yanlış gönderim olayları kayda alınıyor ve prosedür buna göre güncelleniyor.

Düzenin son parçası eğitimdir. Yeni başlayan her stajyer ve sekreter, ilk haftasında bu kuralları kısa bir oturumda öğrenmeli ve en az bir kez şifreli ek hazırlama uygulamasını kendi eliyle yapmalıdır. Kural kâğıtta kalırsa uygulama alışkanlığa dönüşmez; birkaç ayda bir yapılacak kısa bir hatırlatma, büro kültürünün canlı kalmasını sağlar. Bu çaba, hem müvekkile karşı özen borcunuzu hem de veri sorumlusu sıfatıyla alınmış tedbirleri belgelemenizi kolaylaştırır.

Sık yapılan hatalar

Hata örüntüleri büroların çoğunda şaşırtıcı biçimde benzerdir. Birincisi, parolayı aynı e-postaya yazmaktır; bu hata genellikle "alıcı açamazsa tekrar yazışmak zorunda kalırım" kaygısından doğar. Çözüm, parolayı hazır tutup alıcı eki aldığını teyit eder etmez telefonla iletmektir. İkincisi, şifresiz gönderimi "bu sefer önemli bir şey yok" diye normalleştirmektir; oysa bir belgenin hassas olup olmadığı, gönderenin o anki tahminine değil, belgenin içerdiği bilgiye bağlıdır. Kimlik fotokopisi, banka dekontu ya da müvekkilin iletişim bilgileri içeren bir yazışma, görünürde sıradan olsa bile hassas veri taşır.

Üçüncü hata, toplu gönderimde alıcıları görünür bırakmaktır. Birden çok kişiye aynı bilgilendirmeyi gönderirken alıcıların birbirinin adresini görmesi, başlı başına bir kişisel veri ifşasıdır; bu tür gönderimlerde gizli alıcı alanı kullanılmalı ya da gönderimler tek tek yapılmalıdır. Dördüncü hata, paylaşımlı veya halka açık bilgisayarlarda posta hesabını açık bırakmaktır; duruşma salonu, adliye koridoru ve seyahat sırasında kullanılan cihazlarda oturumu kapatmak bir alışkanlık hâline getirilmelidir. Beşincisi, e-postaya gelen bağlantı ve eklere güvenle tıklamaktır: sahte bir "mahkeme bildirimi" veya "evrak paylaşımı" bağlantısı, hesabınızın parolasını çalmak için tasarlanmış olabilir. Beklemediğiniz bir ek veya bağlantıyla karşılaştığınızda, göndereni ikinci bir kanaldan doğrulamadan açmayın.

Altıncı ve belki en sinsi hata, evrakın bulut paylaşım bağlantılarıyla "herkes görebilir" ayarında gönderilmesidir. Bağlantıyı bilen herkesin açabildiği bir paylaşım, e-postayla gönderilmiş şifresiz ek gibidir; üstelik süresiz kalabilir. Bağlantı ile paylaşımda erişimi belirli kişilerle sınırlayın, geçerlilik süresi koyun ve iş bitince paylaşımı kapatın. Hangi aracı kullanırsanız kullanın ilke aynıdır: evrakın kimin elinde, ne kadar süreyle ve hangi korumayla durduğunu bilmek, güvenliğin temelidir.

MÜHLET ile tebligat ve süre takibini güvenli bir zemine taşımak

E-posta güvenliği, büronun en çok ihmal edilen işlerinden biri, ama tek iş değildir: tebligatları kaçırmamak, süreleri doğru hesaplamak ve hatırlatmaları zamanında almak da aynı dikkati gerektirir. Bu noktada tebligat ve süre takibini e-postaya yüklemek, hem güvenlik hem de güvenilirlik açısından yük bindirir. MÜHLET, avukatlar için tasarlanmış, UETS entegrasyonlu ve yapay zekâ destekli bir süre takip ve tebligat yönetim platformudur. Her özelliği belirli bir derde karşılık gelir.

UETS'e düşen e-tebligatlar, tarayıcı eklentisiyle avukatın kendi bilgisayarında, kendi oturumuyla otomatik alınır; UETS şifreniz MÜHLET'e verilmez ve sunucular UETS'e bağlanmaz. Bu, UETS entegrasyonu bölümünde anlatılan yaklaşımdır. Yapay zekâ, tebligatı analiz ederek mahkemeyi, esas numarasını, tarafları ve tebligat türünü çıkarır; her çıktı bağımsız bir usul kuralı motoruyla doğrulanır ve düşük güvende avukat onayı istenir (yapay zekâ tebligat analizi). Süreler Türk adli takvimine göre, adli tatil, resmî tatil ve hafta sonu düzeltmeleriyle hesaplanır (süre takibi) ve son güne kadar kademeli olarak e-posta, SMS ve uygulama ya da tarayıcı bildirimiyle hatırlatılır (bildirim sistemi).

Büro tarafında rol bazlı yetki (ortak, avukat, sekreter, stajyer), dava, müvekkil, duruşma ve görev yönetimi, takvim senkronizasyonu ve iOS ile Android mobil uygulama bulunur. Veriler Türkiye'de barındırılır ve platform KVKK uyumludur. Kullanım, tebligat kredisiyle çalışır; ilk kullanımda ücretsiz deneme kredisi verilir. Ücretlendirme ayrıntıları için fiyatlar sayfasına bakabilirsiniz. Kısacası MÜHLET, tebligat ve süre bilgisinin yazışma kutularında dolaşmasını azaltmayı hedefler; ancak sizin müvekkille yaptığınız evrak paylaşımını yöneten bir e-posta aracı değildir. Bu rehberdeki kurallar, MÜHLET kullanıp kullanmadığınızdan bağımsız olarak geçerlidir.

Sık Sorulan Sorular

Bu yazı genel bilgilendirme amaçlıdır; somut olayınız için hukuki değerlendirme gerekir.