KVKK Avukatlar İçin Rehber: Temel Yükümlülükler

Avukatlık bürosu, müvekkil, karşı taraf, tanık ve çalışanlara ait kişisel verileri işlediği için genellikle 6698 sayılı KVKK bakımından veri sorumlusudur. Temel yükümlülükler beş başlıkta toplanır: verileri genel ilkelere uygun işlemek (m.4), işleme şartlarından birine dayanmak (m.5), özel nitelikli verilere ek özen göstermek (m.6), ilgili kişiyi aydınlatmak (m.10) ve verileri güvende tutmak (m.12). Bunlara ilgili kişinin başvuru hakları (m.11), silme-yok etme-anonimleştirme süreci (m.7) ve VERBİS kaydı (m.16) eşlik eder. Bu rehber, bu yükümlülükleri büro pratiğine uyarlayarak anlatır.

Avukat İçin KVKK: Önce Rolünüzü Belirleyin

KVKK konuşulurken avukatların ilk tepkisi çoğu zaman şudur: "Biz zaten mesleki sır saklama yükümlülüğü altındayız, bu kanun bize ne ekleyecek?" Oysa iki alan birbirini dışlamaz, tamamlar. Sır saklama yükümlülüğü avukatın müvekkiline karşı sorumluluğunu belirler; KVKK ise kişisel verinin nasıl toplanacağını, ne kadar süre tutulacağını, kimlere aktarılabileceğini ve hangi önlemlerle korunacağını düzenler. Bir büro bu iki çerçeveyi birlikte yönetmek zorundadır.

Örneğin Ankara'da icra ağırlıklı çalışan bir avukatı düşünün. Bürosunda müvekkillerin kimlik bilgileri, borçluların adres ve çalışma bilgileri, tebligat evrakları, vekâletnameler, banka bilgileri ve zaman zaman sağlık raporları bulunuyor. Bu verilerin bir kısmı müvekkilden, bir kısmı mahkeme ve icra dosyalarından, bir kısmı da karşı taraftan geliyor. Avukat bu verilerin hangi amaçla ve hangi yöntemle işleneceğini kendisi belirlediği için veri sorumlusu konumundadır. Büronun bir ortaklık veya birden fazla avukattan oluşan yapı olması rolü değiştirmez; yalnızca sorumluluğun büro içinde nasıl dağıtılacağını netleştirmeyi gerektirir.

Rolün doğru tespiti, sonraki bütün adımların temelidir. Bürodan dışarıdaki bir hizmet sağlayıcıya, örneğin bulut depolama veya yazılım hizmetine veri aktarıldığında o sağlayıcı veriyi sizin adınıza işleyen taraf olabilir ve sorumluluk zinciri sözleşmeyle düzenlenmelidir. Dosya paylaştığınız bilirkişi, çevirmen veya meslektaşlarla ilişkinin de hangi hukuki zemine dayandığını bilmeniz gerekir. Bu nedenle ilk iş, büroda kimin hangi veriyi hangi amaçla işlediğini gösteren basit bir envanter çıkarmaktır; envanter hem aydınlatma metnini hem güvenlik tedbirlerini hem de saklama sürelerini belirlerken elinizi güçlendirir.

Bu rehberde yalnızca kanunun temel yükümlülük maddelerine odaklanıyoruz. Kanunun diğer ayrıntıları, Kişisel Verileri Koruma Kurulu'nun düzenlemeleri ve güncel kararları zamanla değişebilir; bu yüzden bürodaki uygulamayı kurmadan önce güncel mevzuatı ve Kurul duyurularını kontrol etmeniz gerekir.

Genel İlkeler: Kişisel Veri Nasıl İşlenmelidir? (m.4)

Kanunun dördüncü maddesi, kişisel verilerin işlenmesinde uyulacak genel ilkeleri sıralar: hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma, ilgili mevzuatta öngörülen veya işlendikleri amaç için gereken süre kadar muhafaza edilme. Bu ilkeler her işleme faaliyetinin sürekli geçerli olan ölçüsüdür; bir şart sağlandı diye ilkeler devre dışı kalmaz.

Avukatlık pratiğinde en sık karşılaşılan ihlal riski "ölçülülük" ilkesidir. Müvekkilden bir iş için kimlik fotokopisi almak makul olabilir; ancak işle ilgisi olmayan belgelerin de dosyaya girmesi, kopyalarının çalışanların masaüstünde dağınık biçimde durması ilkeye aykırı bir birikim yaratır. "Belki lazım olur" düşüncesiyle toplanan veri, belirli ve meşru amaç ilkesiyle bağdaşmaz. Her belge için kendinize şu soruyu sorun: bu bilgi olmadan işi yürütemez miyim?

Doğruluk ve güncellik

Doğruluk ilkesi, büroda tutulan müvekkil kartlarının, adres ve iletişim bilgilerinin güncel olmasını gerektirir. Eski bir adrese gönderilen bir bilgilendirme yazısı yalnızca iş kaybı değil, aynı zamanda başkasının verisinin yanlış kişiye ulaşması anlamına da gelebilir. Müvekkil bilgilerinin dosya açılışında alınması, ilerleyen dönemde değişiklik olup olmadığının düzenli aralıklarla teyit edilmesi iyi bir uygulamadır.

Amaçla sınırlı kullanım

Bir dosya için toplanan verinin başka bir amaçla, örneğin büronun tanıtım e-postalarında kullanılması, amaç sınırlaması ilkesiyle çelişir. Müvekkilin iletişim bilgisini yalnızca o dosyanın yürütülmesi için aldığınızı düşünerek hareket edin; farklı bir amaç gündeme geldiğinde ayrı bir hukuki dayanağı ve gerekirse ayrı bir aydınlatmayı ayrıca değerlendirmeniz gerekir.

Bu ilkeleri hatırlamanın pratik yolu, büro içi bir "veri kullanım kuralı" yazmaktır: hangi belge kimde durur, ne kadar tutulur, kime gösterilir. İlkelerin yazılı ve kısa bir kurala dönüşmesi, hem çalışanlar hem de olası bir denetim açısından büronun özenini gösterir. Genel ilkeler netleştikten sonra sıradaki soru, verinin hangi hukuki gerekçeyle işlenebileceğidir.

İşleme Şartları ve Özel Nitelikli Veri (m.5 ve m.6)

Genel ilkelere uygun olmak yetmez; her işleme faaliyetinin ayrıca kanunun beşinci maddesindeki şartlardan birine dayanması gerekir. Bu şartlar arasında ilgili kişinin açık rızası, kanunlarda açıkça öngörülmesi, bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olması, bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati sayılabilir. Alenileştirilmiş veri ve fiili imkânsızlık gibi diğer şartlar da kanunda yer alır.

Avukat için en işlevsel şartlar genellikle sözleşmenin ifası ve bir hakkın tesisi, kullanılması veya korunması şartlarıdır. Vekâlet ilişkisi kapsamında müvekkilin kimlik ve iletişim bilgilerini işlemek, vekâlet sözleşmesinin gereğidir. Dava dosyasındaki karşı taraf verilerini işlemek ise çoğu zaman bir hakkın tesisi veya korunmasıyla ilişkilendirilir. Burada dikkat edilecek nokta, şartın "zorunlu" olması ölçütüdür: dayanak olarak seçtiğiniz şartın o işleme faaliyetini gerçekten karşılayıp karşılamadığını somut olarak değerlendirmeniz gerekir. Rızayı her soruna çözüm saymak da yanlıştır; rızanın geri alınabilir olduğunu unutmayın.

Özel nitelikli veri

Kanunun altıncı maddesi, ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verileri özel nitelikli sayar. Bu verilerin işlenmesi için daha sıkı bir rejim uygulanır ve işleme şartları ayrıca düzenlenmiştir; ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması gerekir.

Büro pratiğinde bu kategori sıklıkla karşımıza çıkar. Ceza dosyalarındaki sabıka kayıtları, iş kazası ve tazminat dosyalarındaki sağlık raporları, aile hukuku dosyalarındaki tıbbi belgeler, iş hukukunda sendika üyeliği bilgisi bunlara örnektir. Bu belgeleri diğer evraktan ayrı, erişimi sınırlı bir alanda tutmak, yazışmalarda yalnızca gerekli ölçüde kullanmak ve paylaşımdan önce hukuki dayanağı yeniden değerlendirmek hem kanuna hem müvekkil güvenine hizmet eder.

Özel nitelikli verinin masaüstünde, e-posta ekinde veya kişisel telefonlarda dağınık dolaşması en sık görülen zayıf noktadır. Bu nedenle bu belgeleri tek bir güvenli alanda toplamak, kimin erişebileceğini yazılı olarak belirlemek ve kopyalama alışkanlığını azaltmak gerekir. Veriyi işleme dayanağınız sağlamsa sıra, ilgili kişiyi bilgilendirmeye gelir.

Aydınlatma Yükümlülüğü: Müvekkile Ne Söylemelisiniz? (m.10)

Kanunun onuncu maddesi, kişisel veriyi elde eden veri sorumlusunun ilgili kişiyi bilgilendirmesini zorunlu kılar. Aydınlatma metninde en az şu bilgiler bulunmalıdır: veri sorumlusunun ve varsa temsilcisinin kimliği, kişisel verilerin hangi amaçla işleneceği, işlenen verilerin kimlere ve hangi amaçla aktarılabileceği, kişisel veri toplamanın yöntemi ve hukuki sebebi ve ilgili kişinin sahip olduğu haklar.

Avukatlar çoğu zaman aydınlatmayı vekâletname imzalanırken bir sayfa ek olarak verir veya hiç vermez. Hiç vermemek açık bir eksikliktir. İyi bir uygulama, müvekkil kabulü sırasında kısa, anlaşılır bir aydınlatma metnini imzaya sunmak ve bir kopyasını dosyada saklamaktır. Metin hukuk diliyle değil, müvekkilin anlayacağı sadelikte yazılmalıdır; aksi hâlde yükümlülük biçimsel olarak yerine getirilmiş ama amacına ulaşmamış olur.

Aydınlatma metninin rıza metnine dönüştürülmemesi önemlidir. Aydınlatma bir bilgilendirmedir; rıza ise ayrı ve belirli bir konuya ilişkin, özgür iradeyle verilen onaydır. Aynı belgede ikisini karıştırmak, hem aydınlatmayı hem rızayı zayıflatır. Büro yeni bir yazılım hizmeti kullanmaya başladığında veya verileri yeni bir amaçla işlemeye karar verdiğinde metni güncellemeyi de unutmamak gerekir.

Aydınlatmanın muhatabı yalnızca müvekkil değildir. Çalışanlar, stajyerler ve büroya iş başvurusu yapanlar da kişisel verisi işlenen kişilerdir; onlara yönelik ayrı bir bilgilendirme gerekir. Karşı taraf ve tanık verileri bakımından aydınlatmanın nasıl uygulanacağı ise somut olaya ve kanundaki ilgili düzenlemelere göre değerlendirilmelidir; bu noktada güncel mevzuat ve Kurul duyurularına bakmak yerinde olur.

1. Veri envanteri çıkarın. Müvekkil, çalışan, karşı taraf ve tedarikçi verilerinin nerede, hangi amaçla tutulduğunu listeleyin.
2. Hukuki dayanağı belirleyin. Her işleme faaliyeti için m.5 ve gerekiyorsa m.6 kapsamındaki dayanağı yazılı olarak eşleştirin.
3. Aydınlatma metnini hazırlayın. m.10'daki bilgilerin tamamını sade bir dille tek sayfada toplayın.
4. Metni müvekkile sunun. Dosya açılışında verin, bir kopyasını dosyada saklayın.
5. Çalışanları bilgilendirin. Büro personeli ve stajyerler için ayrı bir bilgilendirme yapın.
6. Yılda en az bir kez güncelleyin. Yeni yazılım veya yeni işleme amacı geldiğinde metni yenileyin.

İlgili Kişinin Hakları ve Başvurulara Yanıt (m.11)

Kanunun on birinci maddesi, ilgili kişiye geniş bir hak katalogu tanır: kişisel verisinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, kanundaki şartlar çerçevesinde silinmesini veya yok edilmesini isteme, bu işlemlerin aktarılan üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhine bir sonuç çıkmasına itiraz etme ve kanuna aykırı işlenmesi nedeniyle zarara uğrarsa zararın giderilmesini talep etme.

Avukatlık bürosu açısından bu hakların hepsi aynı ağırlıkta değildir ama hepsine karşı hazırlıklı olmak gerekir. Bir eski müvekkil dosyasındaki verilerinin ne olduğunu sorabilir; bir çalışan kendi özlük dosyasına ilişkin bilgi isteyebilir. Başvuru geldiğinde kimin yanıtlayacağı, hangi kanaldan alınacağı ve yanıtın nasıl saklanacağı önceden belli olmalıdır. Başvuruyu cevaplamak için kanunda öngörülen süre içinde hareket etmek zorundasınız; süreyi ve usulü güncel mevzuattan teyit edin ve büro içi takvimde görünür kılın.

Avukatın özel konumu burada ayrı bir değerlendirme gerektirir. Bir hakkın talep edilmesi, dosyadaki gizli veya sır niteliğindeki bilgilerin açılması anlamına gelmez; her talebi mesleki yükümlülüklerle birlikte, somut olaya göre değerlendirmek gerekir. Reddedilen bir talebin gerekçesini yazılı tutmak ve ilgili kişiye yasal çerçevede bildirmek sonraki olası uyuşmazlıkta büronun güvenceleri arasında yer alır.

Veri Güvenliği: Teknik ve İdari Tedbirler (m.12)

Kanunun on ikinci maddesi, veri sorumlusuna üç temel görev yükler: kişisel verilerin hukuka aykırı işlenmesini önlemek, verilere hukuka aykırı erişimi önlemek ve verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin edecek her türlü teknik ve idari tedbiri almak. Kişisel veriler başka bir gerçek veya tüzel kişi tarafından veri sorumlusu adına işleniyorsa, veri sorumlusu bu tedbirlerin alınmasından işleyenle birlikte sorumludur. Ayrıca veri sorumlusu, kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır.

Bunun avukatlık bürosundaki karşılığı hem fiziki hem dijital alanı kapsar. Fiziki tarafta kilitli dosya dolapları, temiz masa uygulaması, dosyaların imha edilmeden önce gözden geçirilmesi ve ziyaretçilerin evrakı görmemesi gerekir. Dijital tarafta ise güçlü ve benzersiz parolalar, mümkün olan yerde iki aşamalı doğrulama, cihaz şifreleme, düzenli yedekleme, yazılım güncellemeleri ve ortak e-posta hesaplarının dikkatli yönetimi yer alır. Kişisel cihazlardan dosya erişimi varsa bu cihazların kaybolması veya çalınması senaryosu da önceden düşünülmelidir.

İdari tedbirler en az teknik olanlar kadar önemlidir. Büroda kimin hangi dosyaya erişebileceği rol bazlı belirlenmeli, stajyer ve sekreterin yetkileri avukatınkinden ayrılmalıdır. Çalışanlar için gizlilik taahhüdü ve düzenli eğitim hem farkındalığı artırır hem de olası bir ihlalde büronun özenini gösterir. Ayrıca kanun, verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun bunu en kısa sürede ilgili kişiye ve Kurul'a bildirmesini zorunlu kılar; bu nedenle büroda bir ihlal durumunda kimin ne yapacağını anlatan kısa bir acil durum planı bulundurun.

• ✓ Dosya ve cihazlara rol bazlı erişim yetkisi tanımlandı
• ✓ Parolalar benzersiz, mümkün olan yerde iki aşamalı doğrulama açık
• ✓ Dizüstü bilgisayar ve telefonlar şifreli, kayıp senaryosu belirli
• ✓ Düzenli yedekleme yapılıyor ve geri yükleme denendi
• ✓ Çalışanlar gizlilik taahhüdü verdi ve yıllık eğitimden geçti
• ✓ Veri ihlali durumunda yapılacaklar yazılı

Silme, Yok Etme ve Anonimleştirme (m.7)

Kanunun yedinci maddesine göre kişisel verilerin işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde bu veriler resen veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hâle getirilir. Bu üç kavram farklıdır: silme, verinin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz hâle getirilmesidir; yok etme, verinin hiç kimse tarafından erişilemez ve tekrar kullanılamaz hâle getirilmesidir; anonimleştirme ise verinin hiçbir şekilde bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesidir. Hangi yöntemin seçileceği, verinin türüne ve saklama gerekçesine bağlıdır.

Avukatlar için asıl zorluk "ne zaman" sorusundadır. Bir dosya kapandığında verilerin hemen silinmesi mümkün değildir; mevzuattan doğan saklama yükümlülükleri, müvekkille olası bir uyuşmazlıkta delil olarak tutma ihtiyacı ve mesleki kurallar nedeniyle belirli süre muhafaza gerekebilir. Bu sürelerin ne olduğunu ilgili mevzuattan ve meslek örgütlerinin düzenlemelerinden teyit etmeniz, süre dolduğunda ise verileri sistematik biçimde imha etmeniz gerekir. "Süre yok, hep saklarım" yaklaşımı m.4'teki muhafaza ilkesiyle uyumlu değildir.

Uygulamada büro için bir saklama ve imha takvimi hazırlamak yararlıdır: her veri kategorisi için saklama gerekçesi, saklama süresi ve imha yöntemi yazılır. Kâğıt dosyaların güvenli imhası, bilgisayardaki kopyaların temizlenmesi, e-posta kutularındaki eklerin ve yedeklerin de kapsama alınması gerekir. Dosya kapandığında görünmeyen en büyük risk, yedeklerde ve e-posta eklerinde kalan kopyalardır; çünkü asıl dosya imha edilse de bu kopyalar yıllarca durabilir.

Büro İçi Saklama ve İmha Notu (örnek şablon): Dosya kapanışı tarihi kaydedilir. Mevzuattan doğan saklama süresi ve uyuşmazlık riski gözden geçirilir. Süre dolduğunda fiziki dosya imha edilir, elektronik kopyalar ve yedekler temizlenir. İmha tutanağı düzenlenir ve dosya kartına işlenir. Sorumlu avukat imzalar.

VERBİS: Veri Sorumluları Sicili (m.16)

Kanunun on altıncı maddesi, kamuya açık olarak tutulan Veri Sorumluları Sicili'ni düzenler. Gerçek veya tüzel kişi veri sorumlularının, kişisel verileri işlemeye başlamadan önce kural olarak bu sicile kaydolması esastır. Sicil sistemi VERBİS adıyla bilinir ve kayıt sırasında işlenen veri kategorileri, işleme amaçları, aktarılan alıcı grupları, saklama süreleri ve alınan güvenlik tedbirleri gibi bilgiler beyan edilir.

Kayıt zorunluluğunun her veri sorumlusu için aynı biçimde uygulanıp uygulanmadığı konusunda kesin hüküm kurmak doğru olmaz. Kurul, belirli ölçütlere göre bazı veri sorumlularını sicile kayıt yükümlülüğünden istisna tutabilir ve bu istisnalar zaman içinde değişebilir. Kişisel Verileri Koruma Kurulu'nun güncel istisna kararlarını kontrol edin; büronuzun istisna kapsamına girip girmediğini ancak güncel kararlara ve büronun somut yapısına bakarak değerlendirebilirsiniz.

Kayıt yapıldıysa beyan edilen bilgilerin gerçek uygulamayla uyumlu olması şarttır. Sicile yazılan veri kategorileri, saklama süreleri ve güvenlik tedbirleri büronun fiilî durumunu yansıtmıyorsa kayıt hem hukuki risk hem itibar sorunu üretir. Büroda yeni bir hizmet veya yazılım kullanımına geçildiğinde, işleme amaçları veya aktarılan taraflar değiştiğinde sicil beyanının güncellenmesi gerekip gerekmediğini kontrol edin. Bu nedenle VERBİS'i bir defalık işlem değil, büro kayıtlarıyla senkron tutulan canlı bir belge olarak düşünmek gerekir.

Veri envanteri bu noktada ikinci kez işe yarar. Envanter güncel ise VERBİS beyanını hazırlamak saatler yerine dakikalar alır; envanter yoksa beyan eksik, tutarsız veya tahmine dayalı olur. İstisna kapsamında olan büro dahi bu envanteri tutmalıdır, çünkü diğer yükümlülüklerin hepsi aynı bilgiye dayanır.

MÜHLET ile Tebligat ve Süre Takibinde Veri Hassasiyeti

Tebligatlar, avukatın işlediği en hassas veri akışlarından biridir: içinde taraf adları, dosya numaraları ve çoğu zaman özel nitelikli bilgiler bulunur. Bu akışı hem düzenli hem güvenli yönetmek, KVKK yükümlülüklerinin doğrudan gündelik uygulamasıdır. MÜHLET, avukatlar için tasarlanmış, KVKK uyumlu ve verileri Türkiye'de barındıran bir süre takip ve tebligat yönetim platformudur.

MÜHLET, UETS'e düşen e-tebligatları tarayıcı eklentisiyle, avukatın kendi bilgisayarında ve kendi oturumuyla alır; şifre MÜHLET'e verilmez ve sunucular UETS'e bağlanmaz. Bu işleyiş, UETS entegrasyonu sayfasında anlatılmıştır. Yapay zekâ tebligatı analiz ederek mahkemeyi, esas numarasını, tarafları ve tebligat türünü çıkarır; her çıktı bağımsız bir usul kuralı motoruyla doğrulanır, düşük güvende avukat onayı istenir. Ayrıntılar yapay zekâ tebligat analizi sayfasındadır.

Süreler Türk adli takvimine göre, adli tatil, resmî tatil ve hafta sonu düzeltmeleriyle hesaplanır ve son güne kadar kademeli olarak e-posta, SMS ve uygulama veya tarayıcı bildirimiyle hatırlatılır; bu konuya bildirim sistemi sayfasından bakabilirsiniz. Büro tarafında ortak, avukat, sekreter ve stajyer için rol bazlı yetki tanımlanabilir; böylece m.12'nin istediği erişim ayrımı yazılım düzeyinde uygulanır. Dava, müvekkil, duruşma ve görev yönetimi, takvim senkronizasyonu ve iOS ile Android mobil uygulama da hizmetin parçasıdır. Platform tebligat kredisiyle çalışır ve ilk kullanımda ücretsiz deneme kredisi verilir; ayrıntılar için fiyatlar sayfasına bakabilirsiniz.

Süre hesabını elle kontrol etmek isterseniz hukuki süre hesaplama aracını ücretsiz kullanabilirsiniz. Bu araç büronuzda kullandığınız yazılımların ve kendi hesaplarınızın bir çapraz kontrolü olarak işe yarar.

Büro Pratiğinde Sık Yapılan KVKK Hataları

İlk ve en yaygın hata, KVKK'yı yalnızca bir "form doldurma" işi olarak görmektir. Aydınlatma metni imzalatılır, bir kez VERBİS'e girilir ve konu kapanmış sayılır. Oysa kanun sürekli bir yönetim süreci ister: veri akışı değiştikçe metinler, kayıtlar ve tedbirler değişmelidir. İkinci hata, her işlem için rızayı yeterli çözüm saymaktır. Rıza geri alınabildiği için, sözleşmenin ifası veya hakkın korunması gibi daha sağlam bir dayanak varken rızaya yaslanmak büroyu kırılgan hâle getirir.

Üçüncü hata, kişisel cihazlar ve mesajlaşma kanallarıyla dosya yürütmektir. Dosya belgelerinin kişisel telefonlara dağılması, kayıp veya çalınma hâlinde büroyu denetimsiz bir veri ihlali riskine açar. Dördüncü hata, çalışan ayrılışlarında erişimlerin kapatılmamasıdır; stajı biten bir kişinin hesabı aylarca açık kalabilir. Beşinci hata ise saklama ve imha takviminin olmamasıdır: yıllar öncesine ait dosyaların hâlâ erişilebilir durması m.4 ve m.7 bakımından sorun oluşturur.

Son olarak, yazılım ve hizmet sağlayıcı seçiminde veri konumunun ve sorumluluk dağılımının sorgulanmaması sık rastlanan bir eksikliktir. Kullandığınız bulut, e-posta veya dosya paylaşım hizmetinin verileri nerede tuttuğunu, kimlerin erişebildiğini ve sözleşmede sorumlulukların nasıl paylaşıldığını önceden öğrenin. Bu soruları sormak, olası bir sorun çıktığında büronun özenli davrandığını gösteren en somut kanıttır.

Bu hataların hepsinin ortak çözümü aynıdır: yazılı, kısa ve güncel tutulan bir büro politikası. Politikayı bir kez hazırlamak yeterli değildir; yılda bir kez gözden geçirip çalışanlarla paylaşmak, yükümlülüklerin gündelik çalışma düzeninin parçası olmasını sağlar.

Sık Sorulan Sorular

Bu yazı genel bilgilendirme amaçlıdır; somut olayınız için hukuki değerlendirme gerekir.