Kişisel Verileri Koruma Kurumu’nun (“Kurum”) “Avukatların Mesleki Faaliyetlerinde Kişisel Verilerin Korunmasına İlişkin Uygulama Rehberi” (“Rehber”) 22.09.2026 tarihinde yayımladı.
Rehber; avukatların, avukatlık ortaklıklarının ve avukat çalışanlarının 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) kapsamındaki konumunu ve mesleki faaliyetler sırasında gerçekleştirilen kişisel veri işleme faaliyetlerinin tabi olduğu esasları ele almaktadır.
Avukatlık, doğası gereği müvekkillerin yanı sıra potansiyel müvekkillerin, karşı tarafların ve diğer üçüncü kişilerin çeşitli kişisel verilerinin işlenmesini gerektirmektedir. Rehber de kişisel verilerin korunmasını yalnızca KVKK'dan kaynaklanan bağımsız bir yükümlülük olarak değil, avukatlık mesleğinin gizlilik, güven ve özen esaslarıyla yakından ilişkili bir konu olarak değerlendirmektedir.
1. Avukat “Veri Sorumlusu” Mudur?
Rehber’de avukatların işlemekte oldukları veriler bakımından KVKK uyarınca veri sorumlusu sıfatına haiz oldukları belirtilmiştir. Nitekim, bu husus farklı durumlar için ayrıca değerlendirilmiştir.
a. Tüzel Kişiliğin Bulunup Bulunmadığının Değerlendirilmesi
Avukatlık Kanunu uyarınca birden fazla avukatın aynı büroda birlikte çalışması adi ortaklık olarak değerlendirilmekte olup tüzel kişiliğe haiz değildir. Bu şekilde tüzel kişiliği bulunmayan “Avukatlık Büro”larında sorumluluk birinci derece ortaklara ait olmakla birlikte kişisel veriler bakımından sorumluluğun bütün ortaklara sirayet etmeyeceği Rehber’de belirtilmiştir. Dolayısıyla bir Avukatlık Bürosu’nda ortakların üçünü kişilere karşı müteselsil sorumlu olmayacaklardır. Bu durumda her avukat, kendi işlediği veri bakımından sorumlu olacaktır.
Tüzel kişilik sıfatına haiz “Avukatlık Ortaklığı”nda ise durum farklılaşmaktadır. Avukatlık Kanunu uyarınca Avukatlık Ortaklığı, ortaklarının ve ortakların çalıştırdığı avukatların ortaklıkla ilgili gerçekleştirdiği her eylemden sınırsız ve birinci derece olarak sorumlu olup Avukatlık Ortaklığı’nın ortakları ise ikinci derece olarak sorumludur. Bu nedenle Avukatlık Ortaklığı, veri sorumlusu olarak değerlendirilmektedir.
b. Tevkil Olunan Avukatın Niteliği
Tevkil ilişkisi bakımından Rehber’de, tevkil olunan avukatın kendisiyle paylaşılan kişisel verileri tevkil eden avukatın belirlediği amaç ve talimatlar doğrultusunda işlemesi halinde, tevkil eden avukatın “veri sorumlusu”, tevkil olunan avukatın ise “veri işleyen” sıfatını haiz olacağı belirtilmektedir. Bununla birlikte, Avukatlık Kanunu uyarınca tevkil eden avukatın sorumluluğu tevkil ile sona ermemekte, tevkil olunan avukatla birlikte devam etmektedir.
c. Bağlı Çalışan Avukatın ve Stajyer Avukatın Niteliği
Bağlı çalışan avukat bakımından Rehber’de, kişisel verilerin işlenme amaç ve vasıtalarını işveren avukat adına belirlememesi nedeniyle “veri sorumlusu” sıfatını haiz olmadığı belirtilmektedir. Bağlı çalışan avukat, işveren avukatın oluşturduğu organizasyonun bir parçası olarak faaliyet gösterdiğinden ayrıca “veri işleyen” olarak da değerlendirilmemektedir.
Benzer şekilde Rehberde, stajyer avukatların yanında staj yaptıkları avukatın gözetim ve sorumluluğu altında ve avukatın oluşturduğu organizasyonun bir parçası olarak hareket etmeleri nedeniyle “veri sorumlusu” veya “veri işleyen” sıfatını haiz olmadıkları belirtilmektedir.
2. Meslek Sırrı Mı Kişisel Verilerin Korunması mı?
Avukatlık mesleğinin temel yükümlülüklerinden biri sır saklama yükümlülüğüdür. Avukatlık Kanunu’nun 36. maddesi uyarınca avukatların kendilerine tevdi edilen veya avukatlık görevi nedeniyle öğrendikleri hususları açıklamaları yasaktır.
Bununla birlikte Rehber, meslek sırrı ile kişisel veri kavramlarının kapsam bakımından birbirinden farklı olduğuna özellikle dikkat çekmektedir. KVKK kapsamında kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi kapsarken meslek sırrı daha sınırlı bir alanı ifade edebilir. Bu nedenle bir bilgi kişisel veri niteliği taşımasına rağmen meslek sırrı niteliğinde olmayabilir.
Bu ayrım, avukatın mesleki özen yükümlülüğü bakımından da önem taşımaktadır. Rehbere göre avukatın özen yükümlülüğü, mesleki faaliyetleri sırasında gerçekleştirdiği kişisel veri işleme faaliyetlerini de kapsamaktadır. Dolayısıyla avukatın yalnızca meslek sırrının ifşa edilmesini önlemesi yeterli olmayıp işlediği kişisel verilerin KVKK’da öngörülen usul ve esaslara uygun şekilde işlenmesini ve korunmasını da sağlaması gerekmektedir. Kişisel verilerin korunması hakkının ihlal edilmesi, somut olayın özelliklerine göre avukatın özen yükümlülüğünün ihlali olarak değerlendirilebilecek ve disiplin sorumluluğunun yanı sıra kişisel verileri hukuka aykırı şekilde işlenen ilgili kişilerin tazminat talebinde bulunması da gündeme gelebilecektir.
3. Yargı Süreçleri KVKK’nın İstisnasını Oluşturur Mu?
KVKK’nın 28. maddesinde Kanun hükümlerinin tamamen veya kısmen uygulanmayacağı haller düzenlenmektedir. Bu kapsamda KVKK m. 28/1-d uyarınca, kişisel verilerin “soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi” halinde Kanun hükümleri uygulanmamaktadır. Rehber, söz konusu istisnanın uygulanabilmesi için kişisel veri işleme faaliyetinin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olması ve bu faaliyetin yargı makamları veya infaz mercileri tarafından gerçekleştirilmesi koşullarının birlikte bulunması gerektiğini belirtmektedir. Dolayısıyla, avukatların mesleki faaliyetleri çerçevesinde gerçekleştirdikleri kişisel veri işleme faaliyetleri bakımından KVKK m. 28/1-d’de düzenlenen istisnanın uygulanamayacağı sonucuna ulaşılmaktadır.
Bu nedenle, avukatın bir dava veya icra takibi kapsamında müvekkile, karşı tarafa, borçluya veya diğer üçüncü kişilere ait kişisel verileri elde etmesi, kaydetmesi, saklaması, kullanması veya aktarması yalnızca yargısal bir süreç kapsamında gerçekleştiği gerekçesiyle KVKK’dan istisna tutulmamaktadır.
4. Avukatların Yapay Zeka Kullanımı İhlal Teşkil Edebilir Mi?
Rehberde ChatGPT, Claude ve Gemini gibi üretken yapay zeka araçlarına müvekkil dosyalarının, dava evraklarının veya kişisel veri içeren diğer belgelerin yüklenmesi halinde, söz konusu verilerin hizmet sağlayıcının teknik altyapısı üzerinden işlenmesinin gündeme geleceği belirtilmektedir.
Bu kapsamda, üretken yapay zeka aracına kişisel veri içeren bir dosya veya belgenin yüklenmesi, yalnızca teknik destek alınması veya hukuki araştırma yapılması olarak değerlendirilmemelidir. Hizmet sağlayıcının yurt dışında bulunması, kullanılan sunucuların yurt dışında yer alması veya verilerin yurt dışındaki alt hizmet sağlayıcılar aracılığıyla işlenmesi halinde, söz konusu kullanım KVKK’nın 9. maddesi kapsamında yurt dışına kişisel veri aktarımı niteliği taşıyabileceği değerlendirilmiştir.
Yapay zeka hizmet sağlayıcının kullanımından önce kullanım şartlarının ve gizlilik politikasının, veri işleme koşullarının, verilerin nerede saklandığı ve hangi ülkelerde işlendiğine ilişkin açıklamaların, alt veri işleyenlere ilişkin hükümlerin ve varsa yurt dışına aktarım mekanizmalarının incelenmesi ve yurt dışına aktarıldığının tespit edilmesi halinde KVKK’nın 9. maddesinde düzenlenen yurt dışına aktarım şartlarına uygun hareket edilmesi gerektiği Rehber’de hatırlatılmaktadır.
Ancak hizmet sağlayıcının Türkiye’de bulunmasının veya verilerin Türkiye’de işlenmesinin de kişisel veri aktarımı konusunu bertaraf etmemektedir. Kişisel veri içeren dosya veya belgelerin yurt içinde bulunan bir yapay zeka hizmet sağlayıcısına aktarılması da KVKK kapsamında kişisel veri aktarımı niteliğinde olabilecektir. Böyle bir durumda KVKK’nın 8. maddesi uyarınca aktarımın hukuki sebebinin ve amacının, aktarılacak veri kategorilerinin ve aktarımın ölçülülüğünün ayrıca değerlendirilmesi gerekmektedir.
Bahsedilen hususlar yalnızca veri aktarımı değil, veri güvenliği bakımından da önem arz etmektedir. Rehber, müvekkillerin, potansiyel müvekkillerin ve çalışanların kişisel verilerinin bu araçlar vasıtasıyla işlenmesi halinde, avukatların KVKK’nın 12. maddesi uyarınca kişisel verilerin hukuka aykırı olarak işlenmesini ve bunlara hukuka aykırı olarak erişilmesini önlemek ve kişisel verilerin muhafazasını sağlamak amacıyla gerekli teknik ve idari tedbirleri alma yükümlülüğünün devam ettiğini vurgulamaktadır.
Bu doğrultuda Rehber, üretken yapay zeka araçlarına aktarılacak kişisel verilerin mümkün olduğunca maskelenmesini veya anonim hale getirilmesini, özel nitelikli kişisel verilerin bu sistemlere yüklenmesinden kaçınılmasını ve yalnızca kullanım amacı bakımından gerekli olan asgari miktarda verinin paylaşılmasını önermektedir.
5. Sonuç
Rehber, avukatlar ve avukatlık büroları açısından mevcut kişisel veri işleme süreçlerinin, veri aktarım yöntemlerinin ve veri güvenliği uygulamalarının yeniden gözden geçirilmesi bakımından önemli bir yol gösterici niteliğindedir. Kişisel verilerin korunması yalnızca mevzuata uyum meselesi değil, aynı zamanda avukatlık mesleğinin temelini oluşturan gizlilik, güven ve özen yükümlülüklerinin de bir parçasıdır.
Özellikle avukatlık faaliyetlerinin giderek dijitalleşmesi ve yapay zeka araçlarının hukuki hizmetlerde kullanılmaya başlanması, kişisel verilerin korunması bakımından yeni değerlendirmeleri de beraberinde getirmektedir. Rehber, avukatların mesleki faaliyetleri kapsamında gerçekleştirdikleri kişisel veri işleme faaliyetlerinin KVKK hükümlerinden bağımsız değerlendirilemeyeceği ve kişisel veri işleme faaliyetlerinin KVKK’da öngörülen hukuki sebepler ile genel ilkeler çerçevesinde yürütülmesi gerektiğini vurgulanmaktadır.
The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.
