Kişisel Verileri Koruma Kurumu, Türkiye Barolar Birliğinin görüş ve katkılarından yararlanarak hazırladığı “Avukatların Mesleki Faaliyetlerinde Kişisel Verilerin Korunmasına İlişkin Uygulama Rehberi”ni yayımlamıştır. Rehber, avukatlık mesleğinin kendine özgü yapısı içinde kişisel verilerin korunması yükümlülüklerine yön vermeyi amaçlamakta olup, Kurum ile Türkiye Barolar Birliği arasında imzalanan iş birliği protokolü kapsamında hazırlanmıştır.

Rehberde öncelikle, avukatların 6698 sayılı Kanun kapsamındaki niteliği ele alınmaktadır. Buna göre, mesleğini bağımsız olarak icra eden avukatlar, gerek müvekkillerinin gerekse üçüncü kişilerin kişisel verilerinin işlenmesi bakımından kural olarak “veri sorumlusu” kabul edilmektedir; zira avukat, veri işlemenin amaç ve vasıtalarını kendi mesleki yetkinliği ve bağımsızlığı doğrultusunda belirlemektedir. Rehber ayrıca aynı büroda birlikte çalışan avukatların, avukatlık ortaklıklarının, tevkil edilen avukatların, bağlı çalışan (işçi) avukatların, stajyer avukatların ve büro çalışanlarının Kanun kapsamındaki konumlarını Kurul kararları ve karşılaştırmalı hukuk örnekleriyle ayrı ayrı değerlendirmektedir. Örneğin, tevkil edilen bir avukatın kural olarak veri işleyen sayılabileceği, ancak kendisine verilen talimatın sınırlarını aşarak verileri kendi mesleki faaliyeti kapsamında işlemesi hâlinde veri sorumlusu hâline gelebileceği belirtilmektedir.

Rehberin önemli bir bölümü, avukatların gerçekleştirdiği veri işleme faaliyetlerinin hukuki dayanaklarına ayrılmıştır. Bu kapsamda; sözleşmenin kurulması veya ifası, kanunlarda açıkça öngörülme, veri sorumlusunun hukuki yükümlülüğü, bir hakkın tesisi/kullanılması/korunması, alenileştirme ve açık rıza gibi işleme şartları somut örnekler ve Kurul kararlarıyla açıklanmaktadır. Rehberde, açık rıza dışında başka bir işleme şartı mevcutken açık rızaya başvurulmasının ve hukuki hizmetin açık rıza şartına bağlanmasının hukuka ve dürüstlük kuralına aykırılık teşkil edebileceği özellikle vurgulanmaktadır. Ayrıca avukatların Avukatlık Kanunu’nun 2. maddesi uyarınca kurum ve kuruluşlardan bilgi/belge talep etmesi ile hukuka aykırı sorgulama yazılımlarının kullanılmasının doğuracağı idari yaptırımlar da ele alınmaktadır.

Rehberde, kişisel verilerin yurt içi ve yurt dışına aktarılmasına ilişkin şartların yanı sıra, avukatların ChatGPT, Claude ve Gemini gibi üretken yapay zekâ araçlarını kullanırken dikkat etmesi gereken hususlara da yer verilmesi dikkat çekmektedir. Buna göre, müvekkil dosyalarının veya kişisel veri içeren belgelerin bu araçlara yüklenmesi, hizmet sağlayıcının konumu ve sunucuların yeri gibi unsurlar dikkate alındığında yurt dışına veri aktarımı teşkil edebilecek; bu nedenle verilerin mümkün olduğunca maskelenmesi, özel nitelikli verilerin sisteme yüklenmemesi ve asgari veriyle yetinilmesi tavsiye edilmektedir.

Son olarak Rehber; genel ilkeler, aydınlatma yükümlülüğü, Veri Sorumluları Siciline kayıt muafiyetinin kapsamı, saklama ve imha, ilgili kişi başvurularının yönetimi, Kurul kararlarına uyum, veri ihlali bildirimi ve veri güvenliği başlıkları altında avukatların yükümlülüklerini ayrıntılandırmakta; bölüm sonlarında somut tavsiyelere ve iyi uygulama örneklerine yer vermektedir. Bu haliyle Rehber, avukatlar için hem uyum sürecinde başvurulabilecek kapsamlı bir kaynak hem de uygulamadaki tereddütleri gidermeye yönelik yol gösterici bir metin niteliği taşımaktadır.

Rehbere buradan ulaşabilirsiniz: https://www.kvkk.gov.tr/SharedFolderServer/CMSFiles/MTZhYjI0ZTE1NWIwMWM.pdf