Kişisel Verileri Koruma Kurumu, Türkiye Barolar Birliğinin görüş ve katkılarıyla hazırladığı Avukatların Mesleki Faaliyetlerinde Kişisel Verilerin Korunmasına İlişkin Uygulama Rehberi’ni yayımladı. 158 sayfalık rehber, avukatlık faaliyetlerinde 6698 sayılı Kanun’un uygulanmasını örnekler ve Kurul kararlarıyla açıklıyor.
Kim, Hangi Sıfatla Veri İşliyor?
Rehbere göre mesleğini bağımsız yürüten avukat, müvekkillerin ve üçüncü kişilerin verileri bakımından veri sorumlusu niteliğinde. Aynı büroyu paylaşmak ise avukatları her dosya için kendiliğinden ortak veri sorumlusu yapmıyor; her birinin yürüttüğü iş ve veri işleme üzerindeki yetkisi değerlendiriliyor.
Tevkil edilen avukat, kendisini yetkilendiren avukatın belirlediği amaç ve talimatlarla hareket ettiğinde veri işleyen olarak değerlendirilebilir. Verileri talimat dışı, kendi belirlediği amaçlarla işlerse o faaliyet bakımından veri sorumlusu olabilir. Bağlı çalışan ve stajyer avukatlar ise kural olarak çalıştıkları avukatın organizasyonu içinde hareket eder; rehber bunları sırf bu nedenle ayrı bir veri sorumlusu veya veri işleyen saymıyor. Bağlı çalışan avukatın bağımsız üstlendiği bir dosyada konumu değişebilir.
Müvekkil Dışındaki Kişilerin Verileri De Kapsamda
Dava ve takip dosyalarında karşı tarafın, tanıkların ve diğer üçüncü kişilerin verileri de işlenebiliyor. Rehber, bu işlemler için her durumda açık rıza aranmadığını açıklıyor: Somut olaya göre kanunda açıkça öngörülme, hukuki yükümlülük veya bir hakkın tesisi, kullanılması ya da korunması gibi işleme şartları uygulanabilir. Bununla birlikte veriler amaçla bağlantılı, sınırlı ve ölçülü biçimde işlenmeli; sağlık ve ceza mahkûmiyeti gibi özel nitelikli veriler için ayrıca Kanun’un 6’ncı maddesindeki şartlar ve yeterli önlemler gözetilmeli.
Yapay Zekâya Dosya Yüklemek Veri Aktarımı Olabilir
Rehberin dikkat çektiği konulardan biri, dava evraklarının üretken yapay zekâ araçlarına yüklenmesi. Hizmet sağlayıcının, sunucuların veya alt hizmet sağlayıcıların konumuna göre bu işlem yurt dışına veri aktarımı oluşturabilir. Sağlayıcı ve işleme yurt içinde olsa bile ayrıca bir yurt içi aktarım değerlendirmesi gerekir. Rehber; aracın kullanım şartlarının, saklama ve alt işleyen politikalarının incelenmesini, verilerin mümkün olduğunca maskelenmesini veya anonimleştirilmesini ve yalnızca gerekli asgari verinin paylaşılmasını vurguluyor. Özel nitelikli verilerin bu sistemlere yüklenmesinden kaçınılmasını da öneriyor.
Yurt dışına aktarım söz konusuysa Kanun’un 9’uncu maddesindeki aktarım rejimi uygulanıyor. Rehber; yeterlilik kararı, uygun güvenceler ve koşulları varsa arızi aktarım yollarını açıklıyor. Standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi kuralına da yer veriyor.
VERBİS İstisnası Diğer Yükümlülükleri Kaldırmıyor
Avukatlık Kanunu çerçevesinde mesleğini yürüten avukatlar, Kurul kararı uyarınca Veri Sorumluları Siciline kayıt yükümlülüğünden istisna tutuluyor. Rehber, bu istisnanın aydınlatma, hukuka uygun işleme, veri güvenliği, saklama ve imha gibi diğer KVKK yükümlülüklerini ortadan kaldırmadığını özellikle belirtiyor. Verilerin kimden alındığı, hangi amaçla işlendiği ve kimlere aktarıldığına ilişkin bilgilerin gerektiğinde açıklanabilmesi de tavsiye ediliyor.
Veri ihlallerinde rehber, Kurulun 2019/10 sayılı kararına atıf yapıyor: Veri sorumlusu, ihlali öğrendikten sonra gecikmeksizin ve en geç 72 saat içinde Kurula, etkilenen kişiler belirlendikten sonra ise onlara makul olan en kısa sürede bildirim yapmalı. Rehber ayrıca büro çalışanlarının eğitilmesini ve özel nitelikli veriler için belirlenen yeterli önlemlerin alınmasını öneriyor.