Kişisel Verileri Koruma Kurumu (KVKK), 22 Eylül 2026’da Avukatların Mesleki Faaliyetlerinde Kişisel Verilerin Korunmasına İlişkin Uygulama Rehberi’ni yayımladı. Türkiye Barolar Birliği’nin (TBB) görüş ve katkılarıyla hazırlanan rehberin en çok konuşulan mesajı net: Dava dosyasını ya da müvekkil belgesini ChatGPT, Claude veya Gemini gibi bir yapay zekâ aracına yüklemek, yalnızca “teknik destek” ya da “hukuki araştırma” sayılamaz; koşullara göre yurt dışına kişisel veri aktarımı anlamına gelebilir.

Kısaca

  • Rehber KVKK Yayınları arasında 115 numarayla yer alıyor; yaklaşık 158 sayfa.
  • Sağlayıcı, sunucu ya da alt işleyen yurt dışındaysa YZ’ye belge yüklemek KVKK m.9 kapsamında aktarım olabilir.
  • Sağlayıcı Türkiye’de olsa bile yurt içi aktarım (m.8) değerlendirmesi gerekiyor.
  • Avukatların VERBİS kaydından muaf olması, diğer KVKK yükümlülüklerini kaldırmıyor.
  • Yasa dışı sorgu panellerinin kullanılmaması açıkça vurgulanıyor.

YZ’ye dosya yüklemek neden “aktarım”?

Rehbere göre avukat bir YZ aracına kişisel veri içeren belge yüklediğinde, bu veri hizmet sağlayıcının teknik altyapısında işleniyor. Sağlayıcının yurt dışında olması, sunucuların yurt dışında bulunması ya da verilerin yurt dışındaki alt hizmet sağlayıcılar aracılığıyla işlenmesi durumunda bu süreç 6698 sayılı Kanun’un 9. maddesi kapsamında yurt dışına aktarım niteliği taşıyabiliyor. Rehberdeki ifade açık: YZ aracına kişisel veri içeren belge yüklenmesi “sadece teknik destek alınması veya hukuki araştırma yapılması” olarak değerlendirilmemeli.

Kurum, avukatlardan kullandıkları aracın kullanım koşullarını, gizlilik politikasını, veri işleme şartlarını, verilerin hangi ülkelerde saklanıp işlendiğini ve alt işleyen düzenlemelerini incelemelerini istiyor. Yerli bir YZ hizmeti de otomatik olarak güvenli liman değil: Rehbere göre bu durumda belge iletimi Kanun’un 8. maddesi kapsamında yurt içi aktarım sayılabilir ve aktarımın hukuki sebebi, amacı, veri kategorileri ve ölçülülüğü ayrıca değerlendirilmeli.

Yurt dışı aktarımda kurallar ne?

KVKK’nın 9. maddesi Mart 2024’te 7499 sayılı Kanun’la baştan yazıldı. Yeni sisteme göre aktarım üç yoldan biriyle yapılabiliyor:

  • Yeterlilik kararı: Kurul’un ilgili ülke ya da sektör için verdiği ve Resmî Gazete’de yayımlanan karar.
  • Uygun güvenceler: Bağlayıcı şirket kuralları, Kurul’un ilan ettiği standart sözleşme ya da Kurul izniyle yazılı taahhütname. Standart sözleşme, imzalanmasından itibaren beş iş günü içinde Kurum’a bildirilmek zorunda.
  • Arızi aktarım: Bilgilendirilmiş açık rıza, bir hakkın tesisi, kullanılması veya korunması için zorunluluk gibi sınırlı ve tekil durumlar.

Pratikte bu, genel amaçlı bir sohbet botuna rastgele dava evrakı yüklemenin çoğu durumda bu şartlardan hiçbirini karşılamadığı anlamına geliyor.

Kim veri sorumlusu?

Rehber, bürolardaki rolleri de netleştiriyor. Mesleğini bağımsız yürüten avukat, müvekkil ve üçüncü kişi verileri bakımından kural olarak veri sorumlusu. Aynı büroyu paylaşmak, avukatları her dosya için kendiliğinden ortak veri sorumlusu yapmıyor. Tevkil edilen avukat, yetkilendiren avukatın talimatıyla hareket ederse veri işleyen olabilir; kendi amacıyla işlerse o faaliyet için veri sorumlusu sayılabilir. Bağlı çalışan ve stajyer avukatlar kural olarak çalıştıkları avukatın organizasyonu içinde değerlendiriliyor.

Karşı taraf, tanık ve diğer üçüncü kişilerin verileri de kapsamda. Her işlem için açık rıza aranmıyor; bir hakkın tesisi, kullanılması veya korunması gibi işleme şartları uygulanabiliyor. Ancak veriler amaçla bağlantılı, sınırlı ve ölçülü işlenmeli; sağlık ya da ceza mahkûmiyeti gibi özel nitelikli verilerde Kanun’un 6. maddesindeki şartlar ayrıca aranıyor.

Kurul kararlarından örnekler

Rehber, Kurul’un avukatlar hakkında verdiği idari para cezalarından örnekler de içeriyor. Haberler Türkiye’nin derlemesine göre bunlar arasında, icra takibindeki borçluya ulaşmak için yakınının telefonuna SMS gönderen avukata verilen 50 bin liralık ceza ve takiple hiç ilgisi olmayan bir kişiye icra bildirimi gönderen avukat hakkındaki karar bulunuyor. Rehber ayrıca Kurul’un 2019/308 sayılı ilke kararını hatırlatıyor: Hukuka aykırı elde edilmiş verilerle kimlik ve iletişim bilgisi sorgulatan yazılımları kullanan veri sorumluları hakkında idari işlem yapılacak ve durum suç duyurusu için başsavcılıklara bildirilecek.

Bu uyarı boşuna değil. Ocak 2025’te İstanbul merkezli 25 ilde düzenlenen “panel” operasyonunda, MERNİS’e entegre sistemlerden yetkili kullanıcı şifreleriyle çekilen verilerin satıldığı iddia edilmiş; 44 kişi tutuklanmıştı. Sorgu panelleri, uzun süredir icra ve tebligat işlerinde “kısa yol” olarak pazarlanıyor.

VERBİS muafiyeti yanlış anlaşılıyor

Avukatlar, Kurul’un 2018/32 sayılı kararıyla Veri Sorumluları Sicili’ne (VERBİS) kayıt yükümlülüğünden muaf. Rehbere göre bu istisna uygulamada “hiçbir KVKK yükümlülüğü yok” diye yorumlanıyor; oysa muafiyet yalnızca sicile kayıtla sınırlı. Aydınlatma, veri güvenliği, saklama ve imha yükümlülükleri aynen geçerli. Bir veri ihlali yaşandığında Kurul’un 2019/10 sayılı kararı uyarınca ihlal öğrenildikten sonra gecikmeksizin ve en geç 72 saat içinde Kurul’a, etkilenen kişilere de makul en kısa sürede bildirim yapılmalı.

Hukuk büroları için pratik kontrol listesi

  • Kullandığınız YZ aracının verileri nerede işlediğini, eğitimde kullanıp kullanmadığını ve silme seçeneklerini yazılı olarak öğrenin.
  • Kurumsal sözleşme ve veri işleme eki olmayan genel amaçlı hesaplara müvekkil dosyası yüklemeyin.
  • Gerekiyorsa belgeyi önce maskeleyin: Ad, T.C. kimlik numarası, adres ve dosya numarası gibi tanımlayıcıları çıkarın; yalnızca asgari veriyi paylaşın.
  • Sağlık, ceza mahkûmiyeti gibi özel nitelikli verileri bu sistemlere yüklemekten kaçının.
  • Büro çalışanlarına KVKK eğitimi verin ve bir ihlal müdahale planı hazırlayın; 72 saatlik süre çok çabuk geçer.
  • Sorgu paneli ya da kaynağı belirsiz veri satan servisleri kesinlikle kullanmayın.

Değerlendirme

Rehber avukatlıkta yapay zekâ kullanımını yasaklamıyor; doğru soruyu sorduruyor: Müvekkilin sırrı, bir sohbet penceresine yapıştırıldığında nereye gidiyor? KVKK daha önce de “Sohbet Robotları (ChatGPT Örneği) Hakkında Bilgi Notu” ve “Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi” gibi belgeler yayımlamıştı. Bu rehberle birlikte genel uyarılar ilk kez bir meslek grubu için somut kurallara dönüşüyor. Aynı mantığın muhasebeciler, doktorlar ve insan kaynakları uzmanları için de geçerli olduğunu hatırlamakta fayda var.

Kaynaklar: KVKK duyurusu (22 Eylül 2026), Alomaliye (23 Eylül 2026), Haberler Türkiye (24 Eylül 2026), 6698 sayılı KVKK, Anadolu Ajansı – “panel” operasyonu.