Hukuk Bürosu VERBİS Kaydı Gerekli mi?

Hukuk bürosunun VERBİS'e kayıt olması gerekip gerekmediği tek bir cevabı olan bir soru değildir; büronun yapısına (şahıs avukat, ortaklık ya da şirket), işlediği veri türlerine ve Kişisel Verileri Koruma Kurulu'nun güncel istisna kararlarına bağlıdır. Kayıt yükümlülüğü KVKK m.16'da düzenlenir ve Kurul belirli veri sorumlularını bu yükümlülükten muaf tutabilir. Bu nedenle bir meslektaşınızın "bizim yok" ya da "bizde var" demesi sizin büronuz için bağlayıcı bir bilgi sayılmaz. Kayıt gerekse de gerekmese de aydınlatma (m.10) ve veri güvenliği (m.12) yükümlülükleri aynen devam eder; asıl risk çoğu zaman kayıtta değil, bu iki yükümlülüğün ihmal edilmesindedir.

Kısa Cevap: Büronun Durumuna ve Güncel Kurul Kararlarına Bağlıdır

Bu yazının başlığındaki soruya "evet" ya da "hayır" diye cevap vermemek bilinçli bir tercihtir. Çünkü VERBİS kayıt yükümlülüğü, hukuk bürolarına özgü tek bir kuralla belirlenmez. Kanun, kayıt yükümlülüğünü genel bir çerçeve olarak koyar; hangi veri sorumlularının bu yükümlülükten muaf olacağını ise Kurul, aldığı kararlarla belirler. Kurul'un kararları zaman içinde güncellenebildiği için bugün doğru olan bir bilgi, bir süre sonra eksik kalabilir. Sosyal medyada, meslek gruplarında ya da meslektaş sohbetlerinde dolaşan "avukatlar muaftır" veya "hepimiz kaydolmak zorundayız" gibi cümlelerin hiçbiri, kendi büronuzun durumunu kanıtlamaz.

Peki ne yapmalısınız? Önce büronuzun hukuki yapısını net olarak yazıya dökün: tek başına çalışan bir avukat mısınız, birkaç meslektaşla ortaklık mı kurdunuz, yoksa bir şirket çatısı altında mı faaliyet gösteriyorsunuz? Ardından büroda hangi kişisel verilerin, kimlerden, hangi amaçla ve hangi ortamlarda işlendiğini listeleyin. Üçüncü adımda Kurul'un güncel istisna kararlarını ve VERBİS duyurularını resmî kaynaklardan kontrol edin. Bu üç adım tamamlandığında, kendi büronuz için gerekçeli ve dosyalanmış bir değerlendirmeniz olur. Kayıt gerekiyorsa gerekeni yaparsınız; gerekmiyorsa bunun neden gerekmediğini yazılı olarak ortaya koyabilirsiniz.

Burada ikinci bir ayrımı baştan netleştirmek gerekir. "Kayıt yükümlülüğü" ile "KVKK'ya uyum yükümlülüğü" aynı şey değildir. Kayıt, veri sorumlularının Kurul nezdinde tuttuğu sicile bilgi girmesini ifade eder. Uyum ise veri işleme faaliyetinin bütününü kapsar: verinin hukuka uygun işlenmesi, ilgili kişinin bilgilendirilmesi, verinin güvenliğinin sağlanması ve ilgili kişinin başvuru haklarının karşılanması. Bir büro kayıt yükümlülüğünden muaf tutulsa bile bu uyum yükümlülüklerinden muaf olmaz. Bu ayrımı kaçıran birçok büro, "bize kayıt gerekmiyor, öyleyse KVKK ile işimiz yok" sonucuna varır ve asıl yükümlülüklerini gözden kaçırır.

Örneğin Ankara'da icra ağırlıklı çalışan bir avukat düşünün. Büroda bir sekreter, bir stajyer ve ortak kullanılan bir dosya dolabı var. Müvekkillerin kimlik bilgileri, telefonları, borçlu bilgileri ve bazen sağlık raporları dosyalarda duruyor. Bu avukat için "VERBİS kaydı gerekli mi?" sorusu önemlidir; ancak aynı avukatın müvekkile aydınlatma metni vermemesi, dosya dolabını kilitlememesi ya da telefonundaki dosya fotoğraflarını korumasız tutması çok daha somut riskler doğurur. Yazının geri kalanı bu iki katmanı, yani kayıt sorusunu ve kayıttan bağımsız yükümlülükleri ayrı ayrı ele alıyor.

VERBİS Nedir ve KVKK m.16 Ne Düzenler?

VERBİS, Veri Sorumluları Sicil Bilgi Sistemi'nin kısaltmasıdır. Kişisel verileri işleyen gerçek ve tüzel kişilerin, yani veri sorumlularının, hangi kategorilerde kişisel veri işlediklerini, bu verileri hangi amaçla işlediklerini, kimlere aktardıklarını ve hangi güvenlik tedbirlerini aldıklarını bildirdikleri elektronik sicil sistemidir. Sicil, bir tür şeffaflık aracıdır: ilgili kişi, kendi verisini işleyen kurumun hangi çerçevede çalıştığını görebilir; denetim makamı da veri işleme faaliyetlerinin genel haritasına ulaşır.

Kayıt yükümlülüğü KVKK m.16'da düzenlenir. Maddenin temel mantığı şudur: veri sorumluları, veri işlemeye başlamadan önce sicile kaydolmak durumundadır; ancak Kurul, işlenen kişisel verinin niteliğini, sayısını, veri işlemenin kanundan kaynaklanıp kaynaklanmadığını ya da üçüncü kişilere aktarılıp aktarılmadığını gibi objektif ölçütleri dikkate alarak bazı veri sorumlularını sicile kayıt yükümlülüğünden istisna tutabilir. Yani istisna, kanunun kendiliğinden bütün meslek gruplarına tanıdığı bir muafiyet değil, Kurul'un kararla belirlediği bir ayrımdır. Bu ayrımın hangi ölçütlere dayandığı ve hangi veri sorumlularını kapsadığı, Kurul'un yayımladığı kararlarda ve duyurularda yer alır.

Neden "istisna var mı?" sorusu tek başına yetmez?

İstisna kararları genellikle belirli ölçütlere bağlanır ve bu ölçütler zaman içinde değişebilir. Dolayısıyla "avukatlar istisna kapsamındadır" gibi toptan bir cümle, hem eksik hem de yanıltıcı olabilir. Çünkü aynı meslek içinde şahıs olarak çalışan bir avukat ile çok ortaklı bir hukuk şirketinin yapısı birbirinden farklıdır. Kurul'un istisna kararında esas aldığı ölçüt neyse, büronuzun o ölçüte nasıl düştüğünü kendi verilerinizle değerlendirmeniz gerekir. Bu yazıda ölçütlere ya da eşiklere ilişkin hiçbir rakam vermememizin sebebi de budur: rakamlar değişebilir, yanlış bir rakam ise yanlış bir güven duygusu doğurur.

Kayıt yükümlülüğü ile ilgili kişi hakları arasındaki fark

Sicile kayıt, veri sorumlusunun Kurul'a karşı bir bildirim yükümlülüğüdür. Aydınlatma yükümlülüğü ise doğrudan ilgili kişiye, yani müvekkile, çalışana, karşı tarafa ya da iletişim kurduğunuz üçüncü kişiye karşı yerine getirilir. İki yükümlülüğün muhatabı, zamanlaması ve içeriği farklıdır. Bu yüzden büronuzun bir kayıt yükümlülüğü olmasa dahi, ilk görüşmede müvekkile hangi verisini hangi amaçla işlediğinizi anlatmak zorunda olduğunuzu unutmayın.

Kayıt Yükümlülüğünü Büronuz İçin Adım Adım Nasıl Değerlendirirsiniz?

Kayıt sorusunu cevaplamanın güvenilir yolu, tahmin yürütmek değil, kanıta dayalı bir değerlendirme yapmaktır. Aşağıdaki adımlar, herhangi bir hukuk bürosunun kendi durumunu belgelemesi için uygulanabilir bir akış sunar. Bu akışın sonunda elinizde, bir denetim ya da müvekkil sorusu karşısında gösterebileceğiniz yazılı bir değerlendirme notu bulunur.

1. Yapıyı tespit edin. Büronun şahıs avukatlık, adi ortaklık ya da şirket olarak hangi hukuki biçimde faaliyet gösterdiğini ve veri sorumlusunun kim olduğunu yazın.
2. Veri envanterini çıkarın. Müvekkil, karşı taraf, çalışan, stajyer ve tedarikçi verilerini hangi kategorilerde, hangi amaçla ve hangi ortamda tuttuğunuzu listeleyin.
3. Güncel kararları okuyun. Kurul'un istisna kararlarını ve VERBİS duyurularını resmî internet sitesinden kontrol edin; eski bir yazıya ya da özete güvenmeyin.
4. Büronuzu kararla eşleştirin. Yapınızı ve veri türlerinizi güncel kararın ölçütleriyle karşılaştırın; emin olamadığınız noktaları not edin.
5. Sonucu belgeleyin. Değerlendirmenin tarihini, dayandığınız karar ve duyuruları, vardığınız sonucu tek sayfalık bir notta saklayın.
6. Periyodik gözden geçirin. Büroya yeni ortak girdiğinde, yeni veri türü işlemeye başladığınızda ya da Kurul yeni karar yayımladığında değerlendirmeyi yineleyin.

Bu akışta en çok atlanan adım ikincisidir. Birçok büro kendi veri envanterini hiç çıkarmamıştır; hangi dosyada hangi kategoride veri bulunduğu kimsenin aklında net değildir. Oysa envanter yalnızca kayıt sorusu için değil, aydınlatma metninin doğru yazılması ve güvenlik tedbirlerinin ölçülmesi için de temel belgedir. Envanter olmadan aydınlatma metni genel ve boş kalır; güvenlik tedbirleri ise nerede veri olduğunu bilmeden alınmaya çalışılır.

Üçüncü adımda resmî kaynak vurgusu önemlidir. Kurul'un kararlarını ve duyurularını, meslek örgütlerinin bilgilendirmelerini ya da özel hukuk bürolarının yazılarını değil, doğrudan resmî kaynağı esas alarak okuyun. Kaynakların birbirinden ayrışması hâlinde Kurul'un yayımladığı metin belirleyicidir. Karardan emin olamıyorsanız, konuya hâkim bir meslektaşınızdan ya da kişisel verilerin korunması alanında çalışan bir avukattan görüş almak makul bir yoldur.

Büro Yapısı: Şahıs Avukat, Ortaklık ve Şirket Arasındaki Fark

Kayıt değerlendirmesinde ilk sorulacak soru, veri sorumlusunun kim olduğudur. KVKK'da veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Şahıs olarak çalışan bir avukat için veri sorumlusu çoğunlukla avukatın kendisidir. Bir ortaklık ya da şirket söz konusu olduğunda ise veri sorumlusu, ortaklığın ya da şirketin kendisi olabilir; ortakların her birinin ayrı ayrı veri sorumlusu olup olmadığı da yapıya göre değişir. Bu ayrım yalnızca teorik değildir: kayıt yükümlülüğünün kim tarafından yerine getirileceğini belirler.

Şahıs avukat yapısında karar süreci görece basittir: tek bir kişi hem hukuki hem fiilî olarak veri işleme kararlarını verir. Ancak bu avukatın yanında çalışan bir sekreter ya da stajyer varsa, bu kişilerin kişisel verileri de büro tarafından işlenmeye başlar. Çalışan verileri işlenmeye başladığında işlenen veri kategorilerinin çeşitliliği artar ve değerlendirmeyi yeniden yapmak gerekir. Ortaklık yapısında ise ortakların hangi veriyi hangi ortak sistemde tuttuğu önem kazanır: ortak dosya sistemi, ortak e-posta altyapısı ve ortak müvekkil kayıtları, veri sorumluluğunun ortaklık düzeyinde toplandığına işaret edebilir.

Şirket yapısında ise tüzel kişiliğin kendisi veri sorumlusudur ve çalışan sayısı, müvekkil portföyünün genişliği, işlenen verinin hacmi gibi unsurlar kayıt değerlendirmesini daha karmaşık hâle getirir. Bu yapılarda Kurul'un istisna kararlarındaki ölçütlerin büronuza nasıl uygulandığını dikkatle incelemek gerekir. Burada rakam vermiyoruz; zira ölçütler ve eşikler Kurul kararlarında yer alır ve değişebilir. Önemli olan, kendi yapınızı doğru tanımlamanız ve bu tanıma göre güncel kararı okumanızdır.

Tablodaki ifadeler genel bir değerlendirme çerçevesidir, hüküm değildir. Her büronun fiilî veri akışı farklıdır ve aynı hukuki yapıda iki büro bile farklı sonuçlara ulaşabilir. Bu nedenle tablo, büronuzun nereye bakması gerektiğini gösterir; sonucu ise resmî karar ve kendi veri envanteriniz belirler.

Hukuk Bürosunda İşlenen Veri Türleri Neden Önemlidir?

Bir hukuk bürosu, birçok başka meslekten farklı olarak, çok çeşitli ve çoğu hassas nitelikte kişisel veri işler. Müvekkilin kimlik ve iletişim bilgileri en temel kategoridir. Bunlara dosya içeriğine bağlı olarak mali bilgiler, aile ilişkileri, iş ve çalışma geçmişi, sağlık raporları, adli sicil kayıtları ve cezai yargılamaya ilişkin bilgiler eklenir. Karşı tarafın, tanıkların, bilirkişilerin ve üçüncü kişilerin verileri de dosyaların içinde yer alır. Bu çeşitlilik, kayıt değerlendirmesinde "işlenen verinin niteliği" ölçütünü doğrudan ilgilendirir.

Bazı veri kategorileri kanunda özel nitelikli kişisel veri olarak ayrıca korunur. Sağlık, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler bu kapsamdadır. Bir iş davasında işçinin sağlık raporu, bir ceza dosyasında müvekkilin yargılama bilgileri, bir aile hukuku dosyasında çocuklara ilişkin veriler büroda kendiliğinden birikir. Bu verilerin işlenmesi ve korunması için daha yüksek bir özen gerekir. Veri envanterinizi çıkarırken bu kategorileri ayrı bir başlık altında işaretlemeniz, hem aydınlatma metnini hem de güvenlik tedbirlerini doğru kurgulamanıza yardımcı olur.

Müvekkil dışındaki kişilerin verileri

Avukatlar çoğunlukla yalnızca müvekkillerinin verisini işlediklerini düşünür. Oysa dosyada karşı tarafın kimlik bilgileri, adresi, bazen banka hesap bilgileri ve tanık beyanları da bulunur. Bu kişilerle büronun doğrudan bir ilişkisi yoktur; ancak verileri büroda işlenmektedir. Ayrıca çalışanların özlük dosyaları, stajyerlerin bilgileri, tedarikçi ve hizmet sağlayıcı kişi verileri de büronun veri envanterinde yer almalıdır. Envanter ne kadar eksiksiz olursa değerlendirmeniz o kadar sağlam olur.

Verinin ortamı da önemlidir

Kişisel veri yalnızca bilgisayardaki dosyalarda durmaz. Kâğıt dosyalar, telefonlardaki mesajlaşma uygulamaları, e-posta kutuları, bulut depolama hizmetleri, yazıcı ve tarayıcıların belleği, USB bellekler de büronun veri ortamını oluşturur. Envanterde her veri kategorisinin hangi ortamlarda tutulduğunu da not edin. Böylece güvenlik tedbirlerini alırken hangi ortamın korumasız kaldığını görürsünüz.

• ✓ Müvekkillerin kimlik, iletişim ve mali bilgilerini içeren dosyalar
• ✓ Sağlık, sabıka ve yargılama bilgileri gibi özel nitelikli veriler
• ✓ Karşı taraf, tanık ve bilirkişi verileri
• ✓ Çalışan, stajyer ve tedarikçi kayıtları
• ✓ Kâğıt arşiv, telefon, e-posta ve bulut ortamlarındaki kopyalar

Kayıttan Bağımsız Yükümlülük: Aydınlatma (m.10)

Aydınlatma yükümlülüğü KVKK m.10'da düzenlenir ve kayıt yükümlülüğünden tamamen bağımsızdır. Veri sorumlusu, kişisel verileri elde ettiği sırada ilgili kişiyi bilgilendirmek zorundadır. Bu bilgilendirme, veri sorumlusunun kimliğini, kişisel verilerin hangi amaçla işleneceğini, kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemini ve hukuki sebebini, ayrıca ilgili kişinin kanundan doğan haklarını kapsar. Müvekkil ile ilk görüşmede, vekâlet sözleşmesi imzalanırken ya da ilk belge alınırken bu bilgilendirmenin yapılması beklenir.

Hukuk bürolarında aydınlatma çoğu zaman ya hiç yapılmaz ya da vekâlet sözleşmesinin içine gömülmüş tek bir cümleyle geçiştirilir. Oysa aydınlatmanın anlaşılır, sade ve ayrı bir metin olarak sunulması gerekir. Müvekkil, verisinin hangi amaçla işleneceğini, kimlere (örneğin mahkemeye, bilirkişiye, karşı tarafa, hizmet aldığınız yazılım sağlayıcılarına) aktarılabileceğini ve kendi haklarını açıkça görebilmelidir. Mesleki sır saklama yükümlülüğü ile aydınlatma yükümlülüğü birbirini ortadan kaldırmaz; ikisi birlikte yürütülür ve bilgilendirme metni bu dengeyi gözetmelidir.

Aydınlatmanın muhatabı yalnızca müvekkil değildir. Büroda çalışan sekreter ve stajyerler de verileri işlenen ilgili kişilerdir ve onlara ayrı bir aydınlatma yapılması gerekir. Bürodan hizmet alan, iletişim formu dolduran ya da internet sitenizden size ulaşan kişiler için de benzer bir bilgilendirme gerekir. İnternet siteniz varsa, çerezler ve iletişim formları üzerinden toplanan veriler için de aydınlatmanın yapılıp yapılmadığını kontrol edin.

Aydınlatma kontrol notu: Bu görüşmede hangi kişisel verilerinizi, hangi amaçla ve hangi hukuki sebebe dayanarak işlediğimizi, verilerinizin kimlere aktarılabileceğini ve kanundan doğan haklarınızı size ayrı bir metinle bildirdik. Metnin bir nüshası dosyanızda saklanır ve talep etmeniz hâlinde tarafınıza ayrıca verilebilir.

Yukarıdaki not bir şablon değil, büro içi bir kontrol hatırlatmasıdır. Kendi aydınlatma metninizi, büronuzun gerçek veri akışına göre yazın; internetten bulunan genel bir metni olduğu gibi kullanmak, gerçek veri işleme faaliyetinizi yansıtmadığı için yetersiz kalır. Aydınlatma metni, envanterinizdeki bilgilerle tutarlı olmalıdır: envanterde olmayan bir şeyi metne yazmak da, envanterde olan bir şeyi metinden çıkarmak da sorun yaratır.

Kayıttan Bağımsız Yükümlülük: Veri Güvenliği (m.12)

Veri güvenliği yükümlülüğü KVKK m.12'de düzenlenir. Veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek, verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almak zorundadır. Bu yükümlülük, sicile kayıtlı olup olmamaktan bağımsız olarak her veri sorumlusu için geçerlidir. Bir hukuk bürosu için bu, hem dijital hem fiziksel ortamların korunması anlamına gelir.

Teknik tedbirler arasında güçlü parolalar ve iki aşamalı doğrulama, cihaz şifreleme, güncel yazılım ve güvenlik güncellemeleri, yedekleme ve erişim kayıtları yer alır. İdari tedbirler ise büro içi kuralları kapsar: kimin hangi dosyaya erişebileceği, çalışanlara verilen gizlilik taahhütleri, ayrılan çalışanın erişiminin kapatılması, çalışanlara verilen eğitimler ve bir güvenlik ihlali hâlinde izlenecek yol. Fiziksel güvenlik de ihmal edilmemelidir: kilitli dolaplar, ziyaretçilerin dosyaları göremeyeceği masa düzeni, kâğıt atıkların imhası ve yazıcıda unutulan belgeler.

Güvenlik yükümlülüğünün bir diğer boyutu, kişisel verileri sizin adınıza işleyen hizmet sağlayıcılardır. Yazılım, bulut depolama, muhasebe ya da bilgi işlem hizmeti aldığınız tarafların verileri nasıl koruduğunu değerlendirmeniz gerekir; veriyi başkasına işlettirmek sorumluluğunuzu ortadan kaldırmaz. Bir veri ihlali yaşandığında ilgili kişiye ve Kurul'a bildirim yükümlülüğünün söz konusu olabileceğini de göz önünde bulundurup ihlal yönetim sürecini önceden hazırlamak, panik anında doğru hareket etmenizi sağlar.

MÜHLET ile Tebligat ve Süre Verisini Düzenli Tutmak

Büronun veri envanterinde en sık karşılaşılan ve en hassas kayıtlardan biri tebligat ve süre verileridir. E-tebligat içeriklerinde taraf adları, dosya numaraları ve çoğu zaman kişisel bilgiler yer alır; bu belgelerin dağınık klasörlerde, kişisel e-posta kutularında ya da telefon galerilerinde durması hem süre kaçırma hem de veri güvenliği açısından risk oluşturur. MÜHLET bu iki derdi birlikte ele alır; bu yazıdaki konu kayıt yükümlülüğü olduğu için ürünü yalnızca veri düzeni açısından anlatıyoruz.

MÜHLET, UETS'e düşen e-tebligatları tarayıcı eklentisiyle, avukatın kendi bilgisayarında kendi oturumuyla otomatik alır; şifre MÜHLET'e verilmez ve sunucular UETS'e bağlanmaz. Yapay zekâ tebligatı analiz ederek mahkemeyi, esas numarasını, tarafları ve tebligat türünü çıkarır; her çıktı bağımsız bir usul kuralı motoruyla doğrulanır ve düşük güven durumunda avukattan onay istenir. Süreler Türk adli takvimine göre, yani adli tatil, resmî tatil ve hafta sonu düzeltmeleriyle hesaplanır ve son güne kadar kademeli olarak e-posta, SMS ve uygulama ya da tarayıcı bildirimiyle hatırlatılır. Büro için ortak, avukat, sekreter ve stajyer rollerine göre yetkilendirme yapılabilir; böylece kimin hangi dosyayı gördüğünü kontrol altında tutarsınız. Veriler Türkiye'de barındırılır ve platform KVKK uyumlu çalışır; ancak bu, büronuzun kendi aydınlatma ve güvenlik yükümlülüklerinin yerini almaz.

Ürünün ayrıntılarını UETS entegrasyonu ve bildirim sistemi sayfalarında bulabilirsiniz. Tebligat içeriklerinin nasıl analiz edildiğini merak ediyorsanız yapay zekâ ile tebligat analizi sayfası, sürelerin nasıl izlendiğini görmek istiyorsanız süre takibi sayfası yararlı olacaktır. Elektronik tebligatın muhatabın adresine ulaştığı tarihi izleyen beşinci günün sonunda tebliğ edilmiş sayıldığını (Tebligat K. m.7/a) ve okumanın bu sonucu değiştirmediğini unutmayın; süre, tebligatı açıp açmadığınızdan bağımsız işler. Hesaplamaları denemek için ücretsiz süre hesaplama aracını kullanabilir, tebligat kredisiyle çalışan sistemin koşulları için fiyatlar sayfasına bakabilirsiniz. İlk kullanımda ücretsiz deneme kredisi verilir.

VERBİS ve KVKK Konusunda Sık Yapılan Hatalar

Hukuk bürolarında KVKK konusunda en sık yapılan hata, kayıt sorusunu uyum sorusuyla karıştırmaktır. "Bize kayıt gerekmiyor" cümlesi, aydınlatma metni hazırlamamak, çalışanlara gizlilik taahhüdü aldırmamak ya da dosyaları korumasız bırakmak için gerekçe olamaz. Bu karışıklık çoğu zaman bir meslektaşın söylediği bir cümleyle ya da eski bir yazıyla başlar ve büronun yıllarca yanlış bir kabulle çalışmasına yol açar. Kendi durumunuzu kendi verilerinizle değerlendirmek, bu hatayı baştan önler.

İkinci sık hata, değerlendirmenin bir kez yapılıp unutulmasıdır. Büro büyür, yeni ortak katılır, yeni bir veri türü işlenmeye başlar ya da Kurul yeni bir karar yayımlar; ancak eski değerlendirme güncellenmez. Üçüncü hata, aydınlatma metnini hazır bir şablondan alıp büronun gerçek veri akışına uyarlamamaktır. Dördüncü hata, çalışanların ve stajyerlerin verilerini unutmaktır: müvekkil verisine odaklanan bürolar, kendi çalışanlarına ilişkin aydınlatmayı ve güvenlik tedbirlerini atlar. Beşinci hata ise hizmet sağlayıcıları sorgulamamaktır: yazılım ve bulut hizmetlerinin veriyi nasıl işlediğine bakmadan sözleşme imzalamak, sorumluluğu büro üzerinde bırakır.

Bir başka yaygın hata, verinin saklama süresini hiç düşünmemektir. Biten dosyaların kâğıt ve dijital kopyaları yıllarca bürodaki dolaplarda ve sunucularda durur; hangi verinin ne kadar süre saklanacağı, ne zaman imha edileceği belirlenmez. Saklama ve imha politikasının kapsamı ve zamanlaması bakımından güncel mevzuata ve Kurul kararlarına bakmak gerekir; burada kesin bir süre vermemiz doğru olmaz. Ancak "hiç düşünmemek"in kendisinin bir eksiklik olduğunu söyleyebiliriz.

Sık Sorulan Sorular

Bu yazı genel bilgilendirme amaçlıdır; somut olayınız için hukuki değerlendirme gerekir.