Bu yazı genel bilgilendirme amaçlıdır; yayın tarihindeki bilgilere göre hazırlanmıştır, mevzuat değişebilir ve hukuki görüş niteliği taşımaz.
Rehberin yayımlanması
Kişisel Verileri Koruma Kurumu ve Türkiye Barolar Birliği tarafından avukatların mesleki faaliyetleri sırasında kişisel verilerin korunmasına ilişkin bir uygulama rehberi hazırlandığı aktarılmaktadır. Rehberin yayım tarihi ve içeriği bu yazıda resmî metinle doğrulanamamıştır. Rehber, avukatların ve hukuk bürolarının 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındaki yükümlülüklerine ışık tutmayı amaçlamaktadır.
Rehberin tam metni ilgili kurumların internet sitelerinde yer almaktadır. Bu yazıda rehberin hükümleri tek tek aktarılmamakta; rehberin dayandığı Kanunun temel kavram ve yükümlülükleri genel bilgi olarak özetlenmektedir.
Avukat bakımından veri sorumlusu kavramı
Kanunun 3. maddesine göre veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Dosya yürüten bir avukat ya da hukuk bürosu, iş sahibine ait kimlik, iletişim, mali durum ve uyuşmazlığa ilişkin bilgileri işlediği için çoğu durumda bu sıfatı taşır.
Veri sorumlusunun aldığı hizmetler için dışarıdan hizmet aldığı kişi ya da şirketler, örneğin bulut depolama veya yazılım sağlayıcıları, Kanunda veri işleyen olarak tanımlanır. Veri işleyen, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişidir.
İşleme şartları ve özel nitelikli veriler
Kanunun 5. maddesine göre kişisel veriler kural olarak ilgili kişinin açık rızasıyla işlenir; kanunlarda açıkça öngörülme, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma, hukuki yükümlülüğün yerine getirilmesi için zorunlu olma ve bir hakkın tesisi, kullanılması veya korunması için zorunlu olma gibi hâllerde açık rıza aranmaz. Hukuk bürolarının işlediği verilerin önemli bölümü, bir hakkın tesisi veya korunmasına ve sözleşme ilişkisine ilişkindir.
Bu faaliyetlerde sağlık, ceza mahkûmiyeti ve güvenlik tedbirleri, biyometrik ve genetik veriler gibi özel nitelikli kişisel veriler de işlenebilir. Kanunun 6. maddesi bu verilerin işlenmesini kural olarak yasaklamakta; açık rıza, kanunlarda açıkça öngörülme ve bir hakkın tesisi, kullanılması veya korunması için zorunlu olma gibi istisnaları saymaktadır.
Aydınlatma yükümlülüğü ve ilgili kişi hakları
Kanunun 10. maddesi uyarınca veri sorumlusu, kişisel verilerin elde edilmesi sırasında ilgili kişilere kimliğini, verilerin işleme amacını, kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemini ve hukuki sebebini ve 11. maddede sayılan diğer hakları bildirmekle yükümlüdür. Büro internet sitesi, iletişim formları ve iş sahibi ile yapılan sözleşmeler bu bilgilendirmenin yapılabileceği alanlardır.
11. madde, ilgili kişiye verilerinin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltme ve silinmesini isteme gibi haklar tanır. 13. maddeye göre veri sorumlusu başvurudaki talepleri, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırır.
Saklama, silme ve veri güvenliği
Kanunun 4. maddesine göre kişisel veriler, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmelidir. 7. madde ise işlenmesini gerektiren sebepler ortadan kalktığında verilerin resen veya ilgili kişinin talebi üzerine silinmesini, yok edilmesini ya da anonim hâle getirilmesini düzenler; silme ve yok etmeye ilişkin diğer kanunlardaki hükümler saklıdır. Avukatlığa ilişkin özel mevzuatta öngörülen saklama yükümlülükleri bu çerçevede ayrıca dikkate alınır.
12. madde veri sorumlusunu, hukuka aykırı işlemeyi ve erişimi önlemek ve muhafazayı sağlamak üzere uygun güvenlik düzeyini temin etmeye yönelik teknik ve idari tedbirleri almakla yükümlü kılar. Veri işleyen kişiler dâhil olmak üzere, öğrenilen kişisel verilerin Kanuna aykırı olarak başkasına açıklanamayacağı ve işleme amacı dışında kullanılamayacağı, bu yükümlülüğün görevden ayrılmadan sonra da devam ettiği belirtilmiştir. İşlenen verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir.
Meslek sırrı, yaptırımlar ve şikâyet yolu
Avukatın meslek sırrı yükümlülüğü, avukatlık mevzuatından doğar ve kişisel verilerin korunması mevzuatından ayrı bir hukuki temele sahiptir. Kanunun 6. maddesi, sır saklama yükümlülüğü altında bulunan kişilerin belirli sağlık hizmetleri bakımından özel nitelikli verileri işlemesine ilişkin hüküm içerir; ancak bu hüküm sağlık hizmetlerine ilişkindir.
Bu nedenle meslek sırrı kapsamındaki bilgilerin korunması ile kişisel verilerin korunması mevzuatının yükümlülükleri birlikte değerlendirilir. Rehberin bu ilişkiyi nasıl ele aldığı, rehberin kendi metninden öğrenilmelidir.
Kanunun 18. maddesi, aydınlatma yükümlülüğü ve veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi gibi hâller için idari para cezaları öngörmektedir; güncel tutarlar kanun metninden ve ilgili tebliğlerden öğrenilmelidir. İlgili kişi, başvuru yolunu tükettikten sonra 14. madde uyarınca Kurula şikâyette bulunabilir.
Türk Ceza Kanununun 135. ve 136. maddeleri de kişisel verilerin hukuka aykırı olarak kaydedilmesini, başkasına verilmesini, yayılmasını veya ele geçirilmesini suç olarak düzenler. Bu yazı genel bilgi niteliğindedir ve rehberin yerine geçmez.
Başvuru yeri
Bilişim ve kişisel veri konularındaki başvuruların çoğu çevrim içi yapılır; yerel bir şube yoktur. Suç duyurusu için adliyelerdeki Cumhuriyet Başsavcılıkları, hukuk yolu için genel yetki kurallarına göre belirlenen mahkemeler görevlidir. Aydın Adliyesi, Efeler'de Köprülü-Veysi Paşa Mahallesi'ndeki Adalet Sarayı'nda hizmet verir; Nazilli ve Söke adliyeleri ile bunlara bağlı ilçe adliyeleri için ilçe–adliye tablosu Aydın'da yargı sayfasındadır.