Hukuk Yazılımlarında Veri Güvenliği ve KVKK Uyumu
Kısa cevap: Hukuk yazılımında veri güvenliği üç katmanda değerlendirilir: verinin nerede tutulduğu ve yurt dışı aktarımın dayanağı, kimin neye eriştiği ve bunun kaydı, bir ihlal durumunda kimin ne kadar sürede ne yapacağı. Bu üçü sözleşmede yazılı değilse, sağlayıcının teknik altyapısı ne kadar iyi olursa olsun risk büroda kalır.
Bir hukuk bürosu için veri güvenliği, genel bir bilgi teknolojileri başlığı değildir. Avukatlık Kanunu m.36 uyarınca sır saklama yükümlülüğü avukata aittir ve bir hizmet sağlayıcıya devredilemez. Yazılım seçimiyle bu yükümlülüğü yerine getirme biçiminizi seçersiniz; yükümlülüğün kendisini değil.
Aşağıda üç katman ayrı ayrı ele alınıyor. Her katmanın sonunda sağlayıcıdan yazılı olarak istenmesi gereken belge listesi var; sözlü güvenceler bu başlıkta yeterli değildir.
Birinci katman: veri nerede ve hangi dayanakla
Saklama yeri
Verinin fiziksel olarak hangi ülkede tutulduğunu sorun ve yanıtı yazılı alın. "Bulutta" ifadesi bir yanıt değildir; her bulut bir yerdedir. Sağlayıcı bu soruya net bir ülke adıyla karşılık veremiyorsa, kendi alt işleyici zincirine hâkim değil demektir.
Yurt dışına aktarım
Veri yurt dışında işleniyorsa 6698 sayılı KVKK m.9 kapsamında bir aktarım söz konusudur. Bu madde 2024 yılında değiştirilerek standart sözleşme ve bağlayıcı şirket kuralları gibi mekanizmalar getirilmiştir. Yurt dışı işleme tek başına engel değildir; dayanaksız yurt dışı işleme engeldir.
Alt işleyiciler
Sağlayıcının kullandığı üçüncü taraflar, özellikle yapay zeka modeli sağlayıcıları, sizin veri zincirinizin parçasıdır. Alt işleyici listesinin sözleşme eki olmasını ve listede değişiklik olduğunda bildirim yapılmasını isteyin.
Yazılı olarak isteyin: Sunucu lokasyonu beyanı, yurt dışı aktarım dayanağı, güncel alt işleyici listesi ve liste değişikliğinde bildirim taahhüdü.
İkinci katman: kim neye eriştiği
Rol bazlı yetkilendirme
Kurumsal bir hukuk biriminde herkesin her dosyayı görmesi kabul edilebilir değildir. Yetkilendirmenin dosya, müvekkil ve dava türü düzeyinde kısıtlanabildiğini, anlatıldığı gibi değil çalıştığı gibi doğrulayın.
Denetim izi
Kimin hangi dosyayı ne zaman görüntülediğinin kaydı tutulmalıdır. Kritik soru şudur: bu kaydı yönetici silebiliyor mu? Silinebilen bir denetim izi, denetim izi sayılmaz. Bir sızıntı şüphesinde kapsamı belirleyebilmenizin tek yolu budur.
Ayrılan personel
Bir çalışan ayrıldığında erişiminin ne kadar sürede kapandığını ve bu süreçte hangi verilere eriştiğinin raporlanabildiğini sorun. Veri sızıntılarının önemli bir bölümü dış saldırı değil, kapanmamış yetkidir.
Yazılı olarak isteyin: Yetkilendirme matrisi örneği, denetim izi ekran görüntüsü, denetim kaydının değiştirilemezliğine dair beyan.
Üçüncü katman: ihlal anında ne olacak
Bildirim süresi
Bir veri ihlalinde sağlayıcının size kaç saat içinde bildirim yapacağı sözleşmede saat cinsinden yazmalıdır. "En kısa sürede" ifadesi taahhüt değildir. Veri sorumlusu sıfatıyla Kurula karşı yükümlülüğünüz, sağlayıcıdan bilgi alma hızınıza bağlıdır.
Kapsam tespiti
İhlalden hangi dosyaların ve hangi kişilerin etkilendiğini sağlayıcı size raporlayabiliyor mu? Bu, ikinci katmandaki denetim izinin pratikteki karşılığıdır.
Yedekleme ve geri dönüş
Yedeklerin hangi sıklıkla alındığını, ne kadar süre saklandığını ve geri dönüş süresinin ne olduğunu sorun. Ayrıca yedeklerin nerede tutulduğu, birinci katmandaki saklama yeri sorusunun bir parçasıdır.
Yazılı olarak isteyin: Saat cinsinden ihlal bildirim taahhüdü, kapsam raporlama yeteneği beyanı, yedekleme sıklığı ve geri dönüş süresi.
Yapay zeka katmanı: ek sorular
Sistem bir yapay zeka asistanı içeriyorsa, yukarıdaki üç katmana iki soru daha eklenir.
- Dosyalar model eğitiminde kullanılıyor mu? Sözleşmede açık hüküm arayın. Hüküm yalnızca sağlayıcıyı değil, kullandığı model sağlayıcılarını da kapsamalıdır.
- Anonimleştirme mümkün mü? İsim, TCKN ve dosya numarası gibi alanların asistana gitmeden maskelenebilmesi, sır saklama yükümlülüğünü yönetmeyi belirgin biçimde kolaylaştırır.
Sözleşmede aranacak sekiz hüküm
| Hüküm | Neden gerekli | Kabul edilemez formülasyon |
|---|---|---|
| Veri işleme yeri | Aktarım dayanağının kurulabilmesi için | "Güvenli bulut altyapısı" |
| Yurt dışı aktarım dayanağı | KVKK m.9 uyumu | Hiç değinilmemesi |
| Alt işleyici listesi ve bildirim | Zincirin tamamının bilinmesi | "Gerektiğinde üçüncü taraflar" |
| İhlal bildirim süresi | Kurula karşı yükümlülüğün yönetimi | "En kısa sürede" |
| Denetim izinin değiştirilemezliği | Kapsam tespiti | Sessizlik |
| Model eğitimi yasağı | Müvekkil verisinin akıbeti | Yalnızca sağlayıcıyı kapsaması |
| Veri dışa aktarım hakkı | Sözleşme sonrası taşınabilirlik | Ücrete bağlanması |
| Sözleşme sonu veri imhası | Verinin silindiğinin teyidi | Süre belirtilmemesi |
Sık yapılan beş hata
- Güvenliği teknik ekibe havale etmek. Saklama yeri ve aktarım dayanağı hukuki sorulardır; teknik ekip doğru yanıtı bilse bile doğru soruyu sormayabilir.
- Sertifika listesini güvence saymak. Bir sağlayıcının sertifikaları altyapısı hakkında bilgi verir, sizinle imzaladığı sözleşme hakkında değil. Hükümleri ayrıca okuyun.
- İhlal senaryosunu hiç konuşmamak. Süreç ihlal anında değil, sözleşme aşamasında tanımlanır.
- Yedeğin nerede durduğunu sormamak. Veri yurt içinde, yedeği yurt dışında olan kurgular yaygındır ve aynı aktarım sorusunu doğurur.
- Ayrılan personel sürecini atlamak. En sık karşılaşılan sızıntı biçimi budur ve tamamen yönetilebilir bir risktir.
Sıkça sorulan sorular
Hukuk yazılımında veri güvenliği için önce neye bakmalıyım?
Verinin fiziksel olarak hangi ülkede tutulduğuna ve yurt dışına aktarım varsa dayanağının ne olduğuna. Bu soru yanıtlanmadan diğer güvenlik özelliklerinin değerlendirilmesi anlamsızdır çünkü aktarım dayanağı eksikse teknik önlemler uyum sorununu çözmez.
Müvekkil verisinin yurt dışında saklanması KVKK açısından mümkün mü?
Mümkündür ancak dayanağının kurulması gerekir. 6698 sayılı KVKK m.9 yurt dışına aktarımı şarta bağlar ve 2024 yılındaki değişiklikle standart sözleşme ile bağlayıcı şirket kuralları gibi mekanizmalar getirilmiştir. Sağlayıcıdan hangi mekanizmaya dayandığını yazılı olarak isteyin.
Sır saklama yükümlülüğünü yazılım sağlayıcısına devredebilir miyim?
Hayır. Avukatlık Kanunu m.36 kapsamındaki sır saklama yükümlülüğü avukata aittir ve hizmet sağlayıcıya devredilemez. Sağlayıcıyla imzalanan sözleşme sorumluluğu ortadan kaldırmaz; yalnızca yükümlülüğü yerine getirme biçiminizi düzenler.
Denetim izi neden önemli?
Bir sızıntı şüphesinde hangi dosyaların etkilendiğini belirlemenin tek yolu, kimin neye ne zaman eriştiğinin kaydıdır. Kritik nokta bu kaydın değiştirilemez olmasıdır; yönetici tarafından silinebilen bir kayıt, denetim izi işlevi görmez.
Veri ihlali bildirimi için sözleşmede ne yazmalı?
Saat cinsinden bir süre. "En kısa sürede" gibi ifadeler taahhüt değildir. Veri sorumlusu olarak Kurula karşı yükümlülüğünüzü yerine getirebilmeniz, sağlayıcıdan ne kadar hızlı bilgi aldığınıza bağlıdır; bu nedenle süre yazılı ve ölçülebilir olmalıdır.
Yapay zeka asistanı olan bir yazılımda ek olarak neye bakmalıyım?
İki şeye: yüklenen dosyaların model eğitiminde kullanılmayacağına dair sözleşme hükmünün varlığına ve bu hükmün sağlayıcının kullandığı model sağlayıcılarını da kapsayıp kapsamadığına. Ayrıca isim ve dosya numarası gibi alanların asistana gitmeden maskelenebilmesi, sır saklama yükümlülüğünü yönetmeyi kolaylaştırır.