KVKK İdari Para Cezaları: Bürolar İçin Riskler

Hukuk büroları Kişisel Verilerin Korunması Kanunu bakımından "veri sorumlusu" sayılır; müvekkil, karşı taraf, çalışan ve tanık verisi işleyen her büro idari para cezası riskiyle karşı karşıyadır. İdari para cezaları KVKK m.18'de düzenlenir; aydınlatma yükümlülüğü (m.10), veri güvenliği yükümlülüğü (m.12) ve VERBİS'e kayıt yükümlülüğü (m.16) ihlal edildiğinde yaptırım doğar. Ceza tutarları her yıl yeniden değerleme oranına göre güncellendiği için güncel rakamı Kurul duyurularından kontrol etmek gerekir. Riski büyüten şey çoğu zaman büyük bir sızıntı değil; eksik aydınlatma metni, sahipsiz bir bilgisayar veya unutulmuş bir sicil kaydıdır.

Büro Neden KVKK Cezası Riski Taşır?

Avukatlık mesleği, doğası gereği kişisel veriyle iç içedir. Bir dava dosyasında kimlik bilgileri, adres ve iletişim bilgileri, banka hesap hareketleri, sağlık raporları, ceza dosyalarında sabıka ve soruşturma bilgileri yer alır. Bu verilerin önemli bir kısmı kanunda "özel nitelikli" olarak ayrıca korunan kategorilere girer. Büro, bu verileri müvekkilin talebi ve hukuki hizmetin gereği olarak işlese de, işleme faaliyetinin amacını ve araçlarını belirleyen taraf olduğu için kanun karşısında veri sorumlusu konumundadır. Yani sorumluluğu "dosya müvekkilin" diyerek devretmek mümkün değildir.

Örneğin Ankara'da icra ağırlıklı çalışan bir avukatı düşünelim. Ofisinde iki sekreter, bir stajyer ve ortak çalıştığı bir meslektaşı var. Müvekkillerinden topladığı kimlik fotokopileri bir klasörde, taranmış vekâletnameler ortak bir bilgisayarda, tebligat çıktıları ise masa üstünde duruyor. Müvekkile hiçbir yazılı aydınlatma yapılmamış, çalışanların verileri için de bir metin hazırlanmamış. Bu tablo kötü niyetli bir davranış içermiyor; ama kanunun aradığı üç temel yükümlülüğün üçünde de açık veriyor. Bürolar için asıl risk tam olarak bu "sıradan eksiklikler" kategorisinde toplanır.

Ceza riskini değerlendirirken iki ayrı ihtimali birbirinden ayırmak gerekir. Birincisi, bir ilgili kişinin şikâyet etmesidir: eski bir çalışan, memnun kalmayan bir müvekkil ya da verisi paylaşılan bir üçüncü kişi Kuruma başvurabilir. İkincisi, bir veri ihlalinin kamuoyuna yansıması veya Kurulun re'sen inceleme başlatmasıdır. Her iki yolda da inceleme, büronun yükümlülüklerini yerine getirip getirmediğine bakar. Belge ve kayıt düzeni olan büro için inceleme yönetilebilir bir süreçtir; hiçbir şeyi belgelememiş büro ise savunmasını sözlü beyanlara dayandırmak zorunda kalır.

Bu yazıda önce idari para cezası sisteminin nasıl işlediğini, ardından büroları en çok zorlayan üç yükümlülüğü ele alacağız. Sonra uygulanabilir bir uyum planı, özel durumlar ve sık yapılan hataları sıralayacağız. Tutar vermiyoruz; çünkü tutarlar her yıl değişiyor ve güncel değerler için Kurul duyurularına bakmak gerekiyor.

İdari Para Cezası Sistemi Nasıl İşler?

KVKK'da yaptırım sistemi iki ana ayağa dayanır: ceza hükümleri ve idari para cezaları. Bu yazının konusu olan idari para cezaları m.18'de sayılan fiillere bağlanmıştır. Kanun, hangi yükümlülüğün ihlalinde ceza verileceğini tek tek belirtir; aydınlatma yükümlülüğünü yerine getirmemek, veri güvenliğine ilişkin yükümlülükleri yerine getirmemek, Kurul kararlarını uygulamamak ve sicile kayıt ile bildirim yükümlülüğüne aykırı davranmak bunların başında gelir. Her fiil için kanunda ayrı bir alt ve üst sınır öngörülmüştür; ancak bu sınırlar sabit değildir ve her yıl yeniden değerleme oranına göre güncellenir. Güncel tutar için Kurul duyurularına başvurmanız gerekir.

Cezayı veren organ Kişisel Verileri Koruma Kuruludur. Süreç genellikle bir şikâyet, bir ihbar veya bir re'sen inceleme ile başlar. Kurul, veri sorumlusundan bilgi ve belge isteyebilir; yerinde inceleme yapabilir. Bu aşamada büronun hazırladığı kayıtlar, politikalar, aydınlatma metinleri ve alınan teknik tedbirlerin dökümü savunmanın temelini oluşturur. Yani ceza riski yalnızca hukuki bir kavram değil, aynı zamanda bir "kanıt düzeni" meselesidir.

Cezanın muhatabı, gerçek kişi veri sorumlusu için kişinin kendisi, tüzel kişi için tüzel kişiliktir. Serbest çalışan bir avukat kendi adına veri sorumlusudur; ortaklı büro veya şirket yapısında ise sorumluluk büro tüzel kişiliğinde toplanır. Büyük bir yapıda çalışan sekreterin hatası tek başına "kişisel" bir mesele olarak kalmaz; hatayı önleyecek tedbirleri almamış olmak büronun sorumluluğunu doğurur.

Hangi Fiiller Yaptırıma Bağlanır?

Büroları ilgilendiren başlıca fiiller aşağıdaki tabloda özetlenmiştir. Tablo, tutar içermez; yalnızca yükümlülüğün kaynağını ve büro açısından tipik riski gösterir.

Tutarlar Neden Sabit Değildir?

Kanundaki ceza sınırları her yıl yeniden değerleme oranına göre artırılır. Bu nedenle bir önceki yıla ait bir rakamı internette görüp onu "güncel ceza" sanmak yanlış olur. Büro yöneticisi için doğru yöntem, rakamı ezberlemek yerine yılda bir kez Kurulun yaptığı duyuruları takip etmek ve risk değerlendirmesini o güncel çerçeveye göre yenilemektir.

Aydınlatma Yükümlülüğünün İhlali

Aydınlatma yükümlülüğü m.10'da düzenlenir ve kişisel veri toplanırken ilgili kişinin bilgilendirilmesini ister. Kanun, aydınlatmada en azından veri sorumlusunun kimliğini, verilerin hangi amaçla işleneceğini, işlenen verilerin kimlere ve hangi amaçla aktarılabileceğini, toplanma yöntemini ve hukuki sebebini, ayrıca ilgili kişinin sahip olduğu hakları belirtmenizi bekler. Burada kritik nokta, bilgilendirmenin veri toplandığı anda yapılması gerektiğidir; sonradan hatırlayıp vermek yükümlülüğü eksiksiz yerine getirmiş saymaz.

Bürolarda aydınlatma tek bir metinle bitmez, çünkü veri aldığınız kitle birden fazladır. Müvekkiller için ayrı bir metin gerekir; çalışanlar ve stajyerler için ayrı bir metin; iş başvurusu yapan adaylar için bir üçüncü metin. Büro internet sitesi, iletişim formu veya kamera sistemi kullanıyorsa her biri ayrıca aydınlatma konusu olur. Bunların hepsini tek bir uzun belgeye sıkıştırmak okunabilirliği düşürür ve ilgili kişi hangi verisinin hangi amaçla işlendiğini anlayamaz.

Aydınlatma metninin dili de önemlidir. Kanun, bilgilendirmenin anlaşılır olmasını amaçlar. Hukuk jargonu ile dolu, üç sayfalık bir metin müvekkilin anlamasını sağlamıyorsa formalite ötesine geçmez. Kısa, açık ve büronun gerçek uygulamasıyla örtüşen bir metin hem ilgili kişi hem de Kurul açısından daha güçlü bir kanıttır. Metnin gerçek uygulamadan kopuk olması ayrı bir sorundur: Metinde "verileriniz üçüncü kişilerle paylaşılmaz" yazıp pratikte bulut hizmeti ve dış destek kullanmak, aydınlatmanın doğruluğunu zedeler.

Aydınlatma yükümlülüğünü yerine getirdiğinizi ispatlayabilmek de gerekir. Müvekkil sözleşmesine ekli imzalı metin, e-posta ile gönderilen bilgilendirme ve gönderim kaydı bu açıdan işe yarar. Sözlü bilgilendirme yeterli olabilir ama ispatı zordur; uyuşmazlıkta elinizde somut bir kayıt olmaması büroyu savunmasız bırakır. Bu yüzden yeni müvekkil karşılama sürecine aydınlatma adımını sabit bir halka olarak eklemek en sağlam yöntemdir.

Kontrol notu: Yeni müvekkil dosyası açılırken (1) aydınlatma metni verildi mi, (2) imza veya gönderim kaydı dosyada mı, (3) vekâletname dışında gereksiz kimlik kopyası alındı mı, (4) özel nitelikli veri varsa ayrıca not düşüldü mü? Dört cevap da evetse dosya hazırdır.

Veri Güvenliği Yükümlülüğü ve Büro Riskleri

Veri güvenliği yükümlülüğü m.12'de yer alır ve veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin edecek teknik ve idari tedbirleri alma görevi yükler. "Uygun düzey" kavramı kanunda rakamla tanımlanmaz; verinin niteliğine, işlenme hacmine ve büronun yapısına göre değişir. Müvekkil sağlık raporlarını ve ceza dosyalarını işleyen bir büronun tedbir düzeyi, yalnızca sözleşme metinleri tutan bir büroyla aynı olamaz.

Büroların güvenlik zaafları çoğunlukla çok bilindik yerlerde ortaya çıkar. Ortak kullanılan bilgisayarlarda herkesin her dosyaya erişebilmesi, ayrılan çalışanın hesabının kapatılmaması, telefondaki mesajlaşma uygulamalarında dosya belgelerinin kontrolsüz paylaşılması, e-postanın yanlış alıcıya gitmesi, yedeğin hiç alınmaması veya yedeğin aynı odadaki bir diskte durması bunlardan bazılarıdır. Kâğıt ortamı da unutulmamalıdır: dosya odasının anahtarı herkeste ise, bu da bir güvenlik açığıdır.

Teknik Tedbirler

Teknik tedbirler arasında güçlü parolalar ve mümkünse ikinci doğrulama adımı, cihaz diskinin şifrelenmesi, güncel yazılım ve virüs koruması, düzenli ve ayrı yerde tutulan yedekler, ağ güvenliği ve erişim kayıtları sayılabilir. Her tedbirin mutlaka pahalı bir yazılım olması gerekmez; çoğu zaman mevcut araçların doğru yapılandırılması yeterli bir başlangıç sağlar. Önemli olan, tedbirlerin yazılı olarak kayda geçmesi ve düzenli kontrol edilmesidir.

İdari Tedbirler

İdari tedbirler ise insanın ve sürecin yönetimidir: kimin hangi dosyaya erişebileceğini belirleyen yetki matrisi, çalışan ve stajyerlerle imzalanan gizlilik taahhütleri, düzenli farkındalık eğitimi, ayrılan çalışanın erişimlerinin kapatılması, dış hizmet sağlayıcılarla yapılan sözleşmelerde veri koruma hükümleri ve bir olay yaşandığında kimin ne yapacağını anlatan kısa bir olay müdahale planı. Veri işleyen sıfatıyla bir hizmet sağlayıcı kullanıyorsanız, veri güvenliği sorumluluğunun sizde de kaldığını unutmayın; kanun bu konuda veri sorumlusunu ve veri işleyeni birlikte sorumlu tutar.

Veri güvenliği alanında cezaya yol açan durumlar genellikle tek bir olaydan değil, olay sonrası yapılan incelemede tedbir eksikliğinin ortaya çıkmasından doğar. Kurul, sızıntının kendisine olduğu kadar, o sızıntıyı önleyecek makul tedbirlerin alınıp alınmadığına da bakar. Bu nedenle tedbir almak kadar, aldığınız tedbiri ve tarihini belgelemek de risk yönetiminin bir parçasıdır.

VERBİS Kaydı: Sicile Kayıt Yükümlülüğü

VERBİS, Veri Sorumluları Siciline kayıt sistemidir ve yükümlülüğün dayanağı m.16'dır. Kanun, kural olarak veri sorumlularının işlemeye başlamadan önce sicile kaydolmasını ister. Ancak Kurul, objektif ölçütlere göre bazı veri sorumlularını kayıt yükümlülüğünden muaf tutabilir. Bu muafiyet; çalışan sayısı, yıllık mali tutar ve esas faaliyet konusunun özel nitelikli veri işlemeyi gerektirip gerektirmemesi gibi kriterlere bağlıdır. Eşik değerleri değişebildiği için, büronuzun muaf olup olmadığını yalnızca güncel Kurul duyurularıyla doğrulayabilirsiniz.

Bürolar için en yaygın yanılgı, "küçük olduğumuz için bizi ilgilendirmez" düşüncesidir. Oysa muafiyet, yalnızca büyüklük ölçütüne değil, aynı zamanda büronun esas faaliyetinin özel nitelikli kişisel veri işlemeyi içerip içermediğine de bağlıdır. Ceza, sağlık veya iş hukuku ağırlıklı çalışan bir büronun veri yapısı, bu açıdan ayrıca değerlendirilmelidir. Bu değerlendirmeyi yapmadan "muafız" kararı vermek, sonradan kayıt yükümlülüğünün ihlali olarak karşınıza çıkabilir.

Kayıt yükümlülüğü bulunan büroda sicil bilgilerinin güncel tutulması da gerekir. Faaliyet alanı, işlenen veri kategorileri, aktarılan alıcı grupları, öngörülen saklama süreleri ve alınan tedbirler gibi bilgiler değişirse sicil kaydı da güncellenmelidir. Kaydı bir kez yapıp unutmak, zamanla gerçek durumla uyuşmayan bir sicil bilgisine yol açar ve bu da yükümlülüğe aykırılık sayılabilir.

VERBİS kaydı, büronun veri envanterini çıkarmış olmasını gerektirir. Hangi verilerin hangi amaçla, ne kadar süre ve hangi hukuki sebeple işlendiğini bilmeden kayıt yapılamaz. Bu yüzden VERBİS çalışması aslında büronun tüm uyum çalışmasının iskeletidir: envanter hazırlandığında aydınlatma metinleri, saklama ve imha politikası ile güvenlik tedbirleri de aynı çerçevede düzenlenebilir.

Büroda Adım Adım KVKK Uyum Planı

Uyum çalışması bir defalık bir proje değil, büro rutinine yerleşmesi gereken bir süreçtir. Aşağıdaki sıra, küçük ve orta ölçekli bir büronun makul bir sürede kurabileceği bir iskelet sunar. Her adım bir önceki adımın çıktısını kullanır; bu nedenle sırayı değiştirmemek verimi artırır.

1. Veri envanterini çıkarın. Büroda hangi kategorideki verinin nerede tutulduğunu, kimin eriştiğini ve ne kadar süre saklandığını listeleyin.
2. Hukuki sebebi belirleyin. Her işleme faaliyeti için kanundaki dayanağı yazın; rıza gerektiren ve gerektirmeyen işlemeleri ayırın.
3. Aydınlatma metinlerini hazırlayın. Müvekkil, çalışan ve aday için ayrı, sade ve gerçek uygulamayla örtüşen metinler yazın.
4. Güvenlik tedbirlerini uygulayın. Teknik ve idari tedbirleri belirleyin, sorumlularını atayın, tarihleriyle kayda geçirin.
5. VERBİS durumunu doğrulayın. Muafiyet şartlarını güncel duyurulardan kontrol edin; yükümlüyseniz kaydı yapın.
6. Saklama ve imha rutini kurun. Süresi dolan verinin silinmesi, yok edilmesi veya anonim hale getirilmesi için periyodik bir takvim oluşturun.
7. Eğitim ve denetim yapın. Çalışanlara kısa bir eğitim verin; yılda en az bir kez tüm süreci yeniden gözden geçirin.

Bu planın en çok ihmal edilen adımı sonuncusudur. Bir kez hazırlanan metinler ve politikalar, büro büyüdükçe, yeni araçlar kullanıldıkça ve yeni çalışanlar katıldıkça eskir. Yıllık gözden geçirme, hem belgelerin güncel kalmasını sağlar hem de Kurul önünde "düzenli denetim yapıyoruz" diyebilmenizi mümkün kılar. Planı bir takvim kaydına bağlamak, unutulmasını önlemenin en pratik yoludur.

• ✓ Veri envanteri yazılı ve güncel
• ✓ Müvekkil, çalışan ve aday için ayrı aydınlatma metni var
• ✓ Cihazlarda şifre, disk şifreleme ve yedek düzeni kurulu
• ✓ VERBİS muafiyeti güncel duyurulara göre doğrulandı
• ✓ Ayrılan çalışanın tüm erişimleri kapatılıyor

Özel Durumlar: Avukatlık Sırrı, Özel Nitelikli Veri ve Dış Hizmetler

Avukatlık mesleğinin kendine özgü bir gizlilik düzeni vardır ve bu düzen KVKK ile çakışma izlenimi verebilir. Pratikte iki düzen birbirini tamamlar: meslek sırrı, verinin üçüncü kişilere açıklanmasını sınırlar; KVKK ise verinin işlenmesi, saklanması ve korunmasına dair kuralları belirler. Mesleki sır yükümlülüğünüz olması, veri güvenliği tedbirlerinden sizi azade kılmaz; tam tersine daha yüksek bir özen beklentisi yaratır. Müvekkilin bilgisini koruma görevi, hem meslek kuralları hem de kanun bakımından ayrı ayrı sorumluluk doğurabilir.

Özel nitelikli kişisel veriler, büro açısından ayrı bir risk grubudur. Sağlık bilgileri, ceza mahkûmiyeti ve güvenlik tedbirlerine ilişkin veriler, dernek veya sendika üyeliği gibi bilgiler kanunda daha sıkı koşullara bağlanmıştır. Tazminat, iş kazası, ceza veya aile hukuku dosyalarında bu kategoriler sık görülür. Böyle dosyalarda erişimi daha dar tutmak, belgeleri ayrı ve daha korumalı bir alanda saklamak ve gereksiz kopya çoğaltmamak, tedbirlerin "uygun düzey" olarak değerlendirilmesine yardım eder.

Dış hizmetler başka bir özel durumdur. Muhasebe, bilgi işlem desteği, bulut depolama, e-posta barındırma veya dosya yedekleme hizmeti alıyorsanız, kişisel veriler bu sağlayıcılara geçmiş olabilir. Bu durumda sözleşmede veri koruma yükümlülüğünün açıkça düzenlenmesi, sağlayıcının hangi verilere erişebildiğinin bilinmesi ve gerekiyorsa aydınlatma metninde alıcı grubu olarak belirtilmesi gerekir. Verilerin yurt dışına aktarılması ise ayrıca kurallara bağlıdır; bu tür bir aktarım yapan hizmet kullanıyorsanız, aktarım şartlarını mutlaka ayrıca değerlendirin.

Son olarak, ilgili kişinin başvuru hakkını da küçümsemeyin. Müvekkil, çalışan veya karşı taraf, verilerinin işlenip işlenmediğini öğrenme, düzeltme isteme veya silinmesini talep etme hakkına sahiptir. Başvuruların kanundaki süre içinde cevaplanması gerekir; başvuruyu kimin alacağını ve nasıl cevaplayacağını önceden belirlemek, hem hak kaybını hem de gereksiz bir şikâyet sürecini önler.

MÜHLET ile Tebligat ve Süre Takibinde Veri Düzeni

Tebligat ve süre takibi, bürodaki kişisel veri akışının en yoğun noktalarından biridir; çünkü tebligatlar taraf adlarını, kimlik bilgilerini ve dosya ayrıntılarını taşır. Bu bilgilerin dağınık e-postalarda, kişisel telefonlarda ve masa üstündeki çıktılarda dolaşması hem süre kaçırma hem de veri güvenliği riskini artırır. MÜHLET, bu iki dertle birlikte ilgilenmek üzere tasarlanmış, avukatlar için UETS entegrasyonlu, yapay zekâ destekli bir süre takip ve tebligat yönetim platformudur.

MÜHLET, UETS'e düşen e-tebligatları tarayıcı eklentisiyle, avukatın kendi bilgisayarında ve kendi oturumuyla otomatik alır; şifre MÜHLET'e verilmez ve sunucular UETS'e bağlanmaz. Yapay zekâ tebligatı analiz ederek mahkeme, esas numarası, taraflar ve tebligat türünü çıkarır; her çıktı bağımsız bir usul kuralı motoruyla doğrulanır, güvenin düşük olduğu durumlarda avukattan onay istenir. Süreler Türk adli takvimine göre, adli tatil, resmî tatil ve hafta sonu düzeltmeleriyle hesaplanır ve e-posta, SMS ve uygulama veya tarayıcı bildirimleriyle son güne kadar kademeli olarak hatırlatılır.

Büro içi veri düzeni açısından rol bazlı yetki önemli bir araçtır: ortak, avukat, sekreter ve stajyer rollerine göre kimin neyi görebileceği ayrılabilir. MÜHLET'in KVKK uyumlu çalışması ve verilerin Türkiye'de barındırılması, veri güvenliği tedbirleri kapsamında değerlendirebileceğiniz unsurlardır; ancak bu, büronun kendi yükümlülüklerini ortadan kaldırmaz. Hizmetin kullanımı tebligat kredisiyle işler ve ilk kullanımda ücretsiz deneme kredisi verilir; ayrıntılar için fiyatlar sayfasına bakabilirsiniz.

Büroların En Sık Yaptığı KVKK Hataları

Hataların büyük kısmı bilgisizlikten değil, "sonra yaparız" erteleyişinden doğar. İlk ve en yaygın hata, aydınlatma metninin hiç hazırlanmaması veya yalnızca internet sitesine konulup müvekkile hiç iletilmemesidir. Kanunun aradığı şey, verinin toplandığı anda bilgilendirmedir; sitedeki bir bağlantı, müvekkil dosyası açılırken verilmiş bir bilgilendirme yerine geçmez.

İkinci hata, gereğinden fazla veri toplamaktır. Her müvekkilden kimlik fotokopisi, ikametgâh belgesi ve başka evrak toplamak, işin gerektirdiği miktarı aştığında hem işleme ilkelerine aykırı olur hem de olası bir sızıntının etkisini büyütür. Üçüncü hata, saklama süresinin hiç belirlenmemesidir: dosya kapandıktan yıllar sonra bile her şeyi saklamak "güvenli" görünür; oysa süresi geçen verinin imhası bir yükümlülüktür.

Dördüncü hata, personelin bilinçlendirilmemesidir. Sekreterin yanlış kişiye gönderdiği bir e-posta, stajyerin kişisel cihaza aktardığı bir dosya veya masada unutulan bir tebligat çıktısı, en iyi hazırlanmış politikayı etkisiz kılar. Beşinci hata, VERBİS muafiyetinin yanlış varsayılmasıdır; muafiyeti belgelemeden "bizi ilgilendirmez" demek, sonradan kayıt yükümlülüğü ihlali olarak değerlendirilebilir.

Son olarak, sorunun "bizim işimiz değil, bilgi işlem halleder" diye devredilmesi sık görülür. Büro yöneticisi veya ortak avukat, uyumun sorumluluğunu somut bir kişiye atamalıdır. Sorumlusu olmayan her süreç, zamanla sahipsiz kalır; sahipsiz kalan süreç ise bir şikâyet ya da ihlal anında ilk çökecek halkadır. Süre takibinde kullandığınız disiplinin aynısını uyum çalışmalarına da uygulamak, hem müvekkil güvenini hem de büronun hukuki güvenliğini korur. Takvim ve süre yönetimi konusunda daha geniş bir çerçeve için süre takibi özelliğine ve ücretsiz hukuki hesaplama araçlarına göz atabilirsiniz.

Sık Sorulan Sorular

Bu yazı genel bilgilendirme amaçlıdır; somut olayınız için hukuki değerlendirme gerekir.