Av. Hakan Varan: Avukatlıkta Kişisel Veri Koruması ve Yapay Zeka Rehberi Kritik

Av. Hakan Varan, avukatlık mesleğinin doğası gereği kişisel verilerin en yoğun işlendiği alanlardan biri olduğuna dikkat çekti. Varan, bir avukatın dosyasında müvekkilin adı, soyadı ve iletişim bilgilerinin yanı sıra sağlık kayıtları, mali bilgiler, aile ilişkileri, ceza soruşturması verileri ve banka kayıtları gibi çok sayıda verinin yer alabildiğini ifade etti. Bu nedenle kişisel verilerin korunmasının, mesleki sır saklama yükümlülüğü ve avukatlık etiğiyle doğrudan bağlantılı bir sorumluluk alanı olduğunu değerlendirdi.

KVKK'nın yayımladığı rehberde, avukatlar, tevkil edilen avukatlar, avukat çalışanları ve kişisel verileri işlenen kişilerin 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındaki konumları ayrıntılı biçimde ele alındı. Varan, rehberin kişisel verilerin elde edilmesinden açıklanmasına, yurt içi ve yurt dışına aktarılmasından veri güvenliğine kadar avukatlık bürolarında her gün karşılaşılan çok sayıda soruya cevap verdiğini söyledi. Kurum da rehberin; kişisel veri işleme faaliyetlerinin hukuki dayanakları, işleme şartları, aktarımlar, üretken yapay zekâ kullanımı, veri sorumlusunun yükümlülükleri ve veri güvenliği konularını kapsadığını açıkladı.

Varan, avukatların kişisel verilere mesleki faaliyetleri nedeniyle erişebilmesinin bu veriler üzerinde sınırsız kullanım yetkisi vermediğini vurguladı. "Bir veriyi dava, takip veya hukuki danışmanlık nedeniyle hukuka uygun biçimde elde etmiş olmamız, o veriyi başka her amaçla kullanabileceğimiz anlamına gelmez" ifadelerini kullandı. Hangi kişisel verinin neden işlendiği, hangi hukuki sebebe dayanıldığı, kimlerle paylaşıldığı ve ne kadar süre saklandığı artık büro pratiğinin ayrılmaz bir parçası olarak değerlendirilmelidir.

Rehberin önemli başlıklarından birinin açık rıza olduğunu kaydeden Varan, kişisel veri hukukunda her işlemin açık rızaya dayanmasının gerekmediğine dikkat çekti. Rehberde açık rızanın yanında kanunda açıkça öngörülme, sözleşmenin kurulması veya ifası, veri sorumlusunun hukuki yükümlülüğü ile bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması gibi farklı hukuki sebepler ayrıntılı biçimde inceleniyor. Avukatların gerçekleştirdiği kişisel veri işleme faaliyetlerine rehberde ayrıca özel bir bölüm ayrılıyor.

Varan, özellikle dava ve icra takiplerinde "Her veri için ayrıca açık rıza almalıyız" gibi bir yaklaşımın hukuken doğru olmadığını belirtti. Avukatın bir hakkın tesisi, kullanılması veya korunması için ihtiyaç duyduğu kişisel veriyi işlemesinin farklı bir hukuki zemine dayanabileceğini ifade etti. Asıl meselenin, yapılan işlemin 6698 sayılı Kanun'daki hukuki sebeplerden hangisine dayandığının doğru belirlenmesi ve verinin bu amaçla sınırlı tutulması olduğunu söyledi.

Dijitalleşmeyle birlikte kişisel veri güvenliğinin yalnızca fiziki dosyanın kilitli dolapta tutulmasından ibaret olmadığını belirten Varan, e-posta sistemleri, çevrim içi dosya paylaşımı, bulut depolama hizmetleri ve yabancı sunucular üzerinden çalışan yazılımların da dikkatle değerlendirilmesi gerektiğini söyledi. Yeni rehberde kişisel verilerin yurt içinde aktarılmasının yanında yurt dışına aktarılması için ayrı bir bölüm bulunuyor. Varan, "Bugün bir hukuk bürosunda dosyayı herhangi bir yabancı ülkeye fiziken göndermeseniz dahi kullandığınız dijital hizmet nedeniyle kişisel verilerin yurt dışına aktarılması gündeme gelebilir" değerlendirmesinde bulundu. Kullandığımız yazılımın veya bulut hizmetinin veriyi nerede sakladığı, hangi şartlarda işlediği ve üçüncü kişilerle paylaşıp paylaşmadığı artık avukatların da bilmesi gereken meseleler arasında yer alıyor.

Rehberin en güncel başlıklarından birinin üretken yapay zekâ araçları olduğuna işaret eden Varan, avukatların yapay zekâdan yararlanırken özellikle müvekkil sırrı ve dosyalardaki kişisel veriler konusunda dikkatli hareket etmesi gerektiğini belirtti. Rehberin içindekiler bölümünde dahi "Üretken Yapay Zekâ Araçları Kullanımı ve Kişisel Verilerin Aktarılması" başlığı ayrı bir bölüm olarak düzenleniyor. Varan, "Yapay zekâ artık hukuk dünyasının dışında tutulabilecek bir teknoloji değil. Dilekçe taslağı hazırlamak, dosya özetlemek, hukuki araştırma yapmak veya bir metni incelemek amacıyla bu sistemlerden yararlanılıyor" ifadelerini kullandı. Ancak bir dosyayı yapay zekâ sistemine yüklediğiniz anda yalnızca teknoloji kullanmış olunmadığını, o dosyada bulunan kişisel verilerin ve meslek sırlarının üçüncü bir sistem tarafından işlenmesi ihtimalinin de yaratıldığını vurguladı. Müvekkilin sağlık raporunu, kimlik bilgilerini, ceza dosyasını veya ticari sırlarını düşünmeden bir yapay zekâ aracına yüklemenin ciddi hukuki ve mesleki sonuçlara neden olabileceğini söyledi.

Türkiye Barolar Birliğinin de Ağustos 2026'da avukatların yapay zekâ kullanımına yönelik ayrı bir rehber yayımladığını hatırlatan Varan, TBB'nin temel yaklaşımının da avukatın mesleki sorumluluğunun yapay zekâya devredilemeyeceği yönünde olduğunu kaydetti. TBB rehberinde mesleki sırların ve kişisel verilerin korunması, insan denetimi, hukuki doğrulama ve avukatın nihai sorumluluğu temel ilkeler arasında sayılıyor.

Yeni KVKK rehberinin yalnızca avukatları değil, avukatlık bürolarında çalışan diğer kişileri de ilgilendirdiğini ifade eden Varan, "Stajyer avukatın, bağlı çalışan avukatın, sekreteryanın veya yardımcı personelin bir dosyaya erişimi de veri güvenliği zincirinin parçasıdır" dedi. Büro içerisindeki herkesin her dosyaya sınırsız erişebilmesinin doğru bir yöntem olmadığını belirtti. Kimin hangi bilgiye hangi nedenle erişebildiği, belgelerin nasıl gönderildiği, nerede saklandığı ve işleme amacı sona erdiğinde ne yapıldığı gibi konuların artık sistematik biçimde düşünülmesi gerektiğini vurguladı. Rehberde bağlı çalışan avukatlar, stajyer avukatlar ve bürolardaki yardımcı elemanların 6698 sayılı Kanun kapsamındaki niteliklerine ayrı başlıklar ayrılmış durumda.

Rehberin yeni bir kanun veya yönetmelik olmadığına da dikkat çeken Varan, çalışmanın mevcut mevzuatın avukatlık mesleğine nasıl uygulanacağı konusunda ayrıntılı bir uygulama çerçevesi sunduğunu belirtti. "Avukatlar zaten 6698 sayılı Kanun kapsamındaki yükümlülüklere tabiydi" diyen Varan, yeni olanın mesleğin kendine özgü şartlarının 158 sayfalık kapsamlı bir rehber içerisinde değerlendirilmesi, sorunlu alanlara çözüm önerileri ve iyi uygulama örnekleri getirilmesi olduğunu ifade etti. Meslektaşların özellikle veri aktarımı, büro içi veri güvenliği ve üretken yapay zekâ bölümlerini dikkatle incelemelerini önerdi. KVKK da rehberde uygulamada ortaya çıkan sorunlara yönelik çözüm önerileri ile iyi uygulama örneklerine yer verildiğini bildiriyor.

Varan, açıklamasının sonunda kişisel verilerin korunmasının avukat-müvekkil ilişkisindeki güvenin de bir parçası olduğunu belirtti. "Müvekkil, en özel bilgilerini mesleğimize duyduğu güven nedeniyle bizimle paylaşıyor" diyen Varan, o güveni korumanın yalnızca sır saklamak değil; o bilgiyi dijital ortamda da korumak, gereksiz yere çoğaltmamak, amacı dışında kullanmamak ve kimlerin erişebildiğini bilmek anlamına geldiğini vurguladı. Teknoloji değiştikçe avukatlığın bu konudaki özen yükümlülüğünün de gelişmek zorunda olduğunu ekledi.

Rehberin tamamına Kişisel Verileri Koruma Kurumunun resmî internet sitesinden ücretsiz olarak ulaşılabiliyor. KVKK Yayınları No: 115 olarak yayımlanan 158 sayfalık rehber PDF formatında erişime açık.