Giriş
Avukatlık mesleği, niteliği itibarıyla yalnızca hukuki uyuşmazlıkların çözümüne yönelik bir temsil faaliyetinden ibaret olmayıp bireylerin temel hak ve özgürlüklerinin korunmasına, hak arama hürriyetinin etkin biçimde kullanılmasına ve adil yargılanma hakkının gerçekleştirilmesine hizmet eden kamusal nitelikte bir mesleki faaliyettir. Bu faaliyetlerin yürütülmesi sırasında avukatlar, müvekkillerine, uyuşmazlığın karşı tarafına, tanıklara, çalışanlara ve üçüncü kişilere ait çok sayıda kişisel veriye erişmekte; söz konusu verileri elde etmekte, muhafaza etmekte, kullanmakta ve gerektiğinde yetkili mercilere aktarmaktadır.
Bu itibarla avukatlık faaliyetinin gerektirdiği bilgiye erişim yetkisi ile kişisel verilerin korunmasını isteme hakkı arasında hassas bir hukuki denge kurulması zorunludur. Zira savunma hakkının etkin kullanılması bakımından gerekli olan kişisel veri işleme faaliyetlerinin bütünüyle sınırlandırılması mümkün olmadığı gibi, avukatlık mesleğinin kamusal niteliğinin kişisel verilerin sınırsız biçimde işlenmesine hukuki meşruiyet kazandırdığı da ileri sürülemez.
Kişisel Verileri Koruma Kurumu tarafından Türkiye Barolar Birliğinin görüş ve katkıları alınarak hazırlanan ve 25 Eylül 2026 tarihinde kamuoyuna duyurulan Avukatların Mesleki Faaliyetlerinde Kişisel Verilerin Korunmasına İlişkin Uygulama Rehberi, bu hukuki dengenin somutlaştırılması bakımından önemli bir başvuru kaynağı niteliğindedir.
Anılan Rehber, avukatların 6698 sayılı Kişisel Verilerin Korunması Kanunu karşısındaki hukuki konumunu, veri işleme faaliyetlerinin meşruiyet şartlarını, meslek sırrının korunmasını, kişisel verilerin üçüncü kişilere aktarılmasını ve dijital teknolojilerin kullanımından kaynaklanan yükümlülükleri kapsamlı biçimde değerlendirmektedir.
I. Avukatların Kişisel Verilerin Korunması Hukuku Bakımından Veri Sorumlusu Sıfatı
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 3. maddesi uyarınca veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi ifade etmektedir.
Avukatlık mesleğinin bağımsız niteliği dikkate alındığında, mesleğini serbest olarak icra eden avukatların, üstlendikleri hukuki iş ve işlemler kapsamında kişisel verilerin hangi amaçlarla, ne şekilde ve hangi vasıtalarla işleneceğine ilişkin kararları kural olarak bağımsız biçimde verdikleri görülmektedir.
Nitekim 1136 sayılı Avukatlık Kanunu'nun 1. maddesinde avukatlığın kamu hizmeti ve serbest bir meslek olduğu açıkça düzenlenmiş; avukatın yargının kurucu unsurlarından olan bağımsız savunmayı serbestçe temsil ettiği hüküm altına alınmıştır.
Bu bağımsızlık, yalnızca hukuki temsil ilişkisinin yürütülmesine ilişkin olmayıp avukatın mesleki faaliyetleri kapsamında gerçekleştirdiği kişisel veri işleme süreçlerinin belirlenmesi bakımından da önem taşımaktadır.
Dolayısıyla avukatın müvekkili adına ve hesabına hareket etmesi, kendisini doğrudan müvekkilinin veri işleyeni konumuna indirgememektedir. Avukat, kişisel verilerin işlenme amaç ve vasıtalarını belirlediği ölçüde, 6698 sayılı Kanun kapsamında müstakil veri sorumlusu sıfatını haiz olabilecektir.
Bununla birlikte aynı büroda birlikte çalışan avukatlar, avukatlık ortaklıkları, tevkil edilen avukatlar ve bağlı çalışan avukatlar bakımından veri sorumlusu ile veri işleyen sıfatlarının somut hukuki ilişki ve fiilî veri işleme süreçleri dikkate alınarak ayrı ayrı değerlendirilmesi gerekmektedir.
Bu hususta belirleyici ölçüt, tarafların aralarındaki sözleşmede kullandıkları sıfatlardan ziyade, kişisel veri işleme faaliyetinin amaç ve vasıtalarını fiilen kimin belirlediğidir.
II. Yargısal Faaliyet İstisnasının Avukatlar Bakımından Uygulanabilirliği
Avukatlık uygulamasında kişisel verilerin korunması bakımından ortaya çıkan temel tartışmalardan biri, yargılama faaliyetleri kapsamında gerçekleştirilen kişisel veri işleme işlemlerinin 6698 sayılı Kanun'un uygulama alanı dışında kalıp kalmadığıdır.
Kanun'un 28. maddesinin birinci fıkrasının (d) bendi uyarınca kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi hâlinde Kanun hükümleri uygulanmamaktadır.
Ancak söz konusu istisnanın uygulanabilmesi için iki şartın birlikte gerçekleşmesi gerekmektedir: Veri işleme faaliyetinin soruşturma, kovuşturma, yargılama veya infaz işlemleriyle bağlantılı olması ve bu faaliyetin kanunda belirtilen yargı makamları yahut infaz mercileri tarafından gerçekleştirilmesi.
Bu kapsamda avukatın yargının kurucu unsurlarından olan bağımsız savunmayı temsil etmesi, kendisinin anılan hüküm anlamında yargı makamı olarak kabul edilmesini gerektirmemektedir.
Kişisel Verileri Koruma Kurulunun 14.01.2020 tarihli ve 2020/26 sayılı kararında da bu ayrım ortaya konulmuştur. Karara konu olayda, borçluya ait bilgilerin borçlunun yakınına kısa mesaj yoluyla iletilmesi değerlendirilmiş; avukat tarafından gerçekleştirilen veri işleme faaliyetinin yargısal faaliyet istisnası kapsamında kabul edilemeyeceği belirtilmiştir.
Dolayısıyla bir avukatın dava açması, icra takibi yürütmesi, delil toplaması veya hukuki danışmanlık sunması, bu faaliyetler sırasında işlediği kişisel veriler bakımından kendiliğinden bir kanuni muafiyet doğurmamaktadır.
Bununla birlikte yargısal faaliyet istisnasının uygulanmaması, avukatın hukuki temsil görevini yerine getirebilmek için işlediği her kişisel veri bakımından açık rıza almak zorunda olduğu anlamına da gelmemektedir.
Burada istisna hükümleri ile kişisel veri işlemenin hukuka uygunluk sebeplerinin birbirinden ayrılması zorunludur.
III. Savunma Hakkı Kapsamında Kişisel Veri İşlenmesinin Hukuki Dayanakları
6698 sayılı Kanun'un 5. maddesinde kişisel verilerin işlenmesine ilişkin hukuka uygunluk sebepleri düzenlenmiştir. Bu kapsamda açık rıza, kişisel veri işlenmesini hukuka uygun kılan sebeplerden yalnızca biridir.
Avukatlık faaliyetleri bakımından özellikle Kanun'un 5. maddesinin ikinci fıkrasının (e) bendinde düzenlenen, bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması şartı önem taşımaktadır.
Nitekim bir alacak davasının açılması, icra takibinin başlatılması, işçilik alacaklarının hesaplanması, tazminat taleplerinin ileri sürülmesi veya hukuki uyuşmazlığa ilişkin delillerin değerlendirilmesi süreçlerinde kişisel verilerin işlenmesi çoğu zaman hukuki temsil faaliyetinin zorunlu bir unsurudur.
Bu gibi durumlarda veri işleme faaliyetinin ilgili hukuki sebebe dayanması ve Kanun'un 4. maddesinde düzenlenen genel ilkelere uygun olması kaydıyla ayrıca açık rıza alınması gerekmeyebilecektir.
Bununla birlikte hukuki bir hakkın ileri sürülmesi amacı, kişisel verilerin ölçüsüz biçimde elde edilmesine veya kullanılmasına imkân tanımaz.
Avukatın yalnızca hukuki uyuşmazlıkla bağlantılı, temsil görevinin yerine getirilmesi bakımından gerekli ve işleme amacıyla orantılı kişisel verileri işlemesi gerekmektedir.
Özellikle sağlık bilgileri, ceza mahkûmiyeti ve güvenlik tedbirlerine ilişkin veriler ile diğer özel nitelikli kişisel verilerin işlenmesinde Kanun'un 6. maddesinde öngörülen özel işleme şartlarının ve yeterli önlemlerin ayrıca gözetilmesi zorunludur.
Bu nedenle avukatlık faaliyetinin hukuka uygunluğu ile bu faaliyet kapsamında gerçekleştirilen her bir kişisel veri işleme işleminin hukuka uygunluğu birbirinden ayrı değerlendirilmelidir.
IV. Avukatın Sır Saklama Yükümlülüğü ile Kişisel Verilerin Korunması Arasındaki İlişki
Avukatlık Kanunu'nun 36. maddesi uyarınca avukatların kendilerine tevdi edilen veya mesleki görevleri dolayısıyla öğrendikleri hususları açığa vurmaları yasaktır.
Türkiye Barolar Birliği Meslek Kuralları'nın 37. maddesi de avukatın meslek sırrı ile bağlı olduğunu düzenlemekte; bu yükümlülüğün yalnızca vekâlet ilişkisi kurulmuş kişiler bakımından değil, avukata başvurduğu hâlde hukuki temsil ilişkisi kurulmayan kişiler bakımından da geçerli olduğunu ortaya koymaktadır.
Avukatın sır saklama yükümlülüğü, avukat-müvekkil ilişkisinin temelini oluşturan güven ilkesinin hukuki güvencesidir.
Bununla birlikte meslek sırrı kavramı ile kişisel veri kavramı birbirinin yerine kullanılabilecek nitelikte değildir.
Meslek sırrı, niteliği itibarıyla gizli tutulması gereken ve açıklanması ilgili kişinin hukuken korunan menfaatlerini zedeleyebilecek bilgileri ifade ederken kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi kapsamaktadır.
Dolayısıyla gizli nitelik taşımayan bir kimlik bilgisi, adres veya iletişim bilgisi de kişisel veri olarak hukuki korumadan yararlanmaktadır.
Bu nedenle avukatın meslek sırrını açıklamamış olması, kişisel verilerin korunmasına ilişkin bütün yükümlülüklerini yerine getirdiği anlamına gelmemektedir.
Kişisel verilerin hukuka uygun biçimde elde edilmesi, belirli amaçlarla işlenmesi, gerektiği süre boyunca muhafaza edilmesi ve yetkisiz erişimlere karşı korunması, sır saklama yükümlülüğünden bağımsız olarak yerine getirilmesi gereken hukuki yükümlülüklerdir.
Nitekim avukatın bu yükümlülüklere aykırı davranması, somut olayın özelliklerine göre kişisel verilerin korunması mevzuatından kaynaklanan idari ve hukuki sorumluluğun yanı sıra mesleki özen ve sadakat yükümlülüğünün ihlali kapsamında disiplin sorumluluğunu da gündeme getirebilecektir.
V. Karşı Tarafa ve Üçüncü Kişilere Ait Verilerin İşlenmesi
Avukatlık faaliyetleri kapsamında işlenen kişisel veriler yalnızca müvekkile ait bilgilerden ibaret değildir.
Uyuşmazlığın karşı tarafına, borçlulara, tanıklara, bilirkişilere, çalışanlara ve uyuşmazlıkla bağlantılı diğer gerçek kişilere ait bilgiler de avukatın mesleki faaliyetleri sırasında işlenebilmektedir.
Bu kişilerin avukatla doğrudan bir sözleşmesel ilişkisinin bulunmaması, kişisel verilerinin 6698 sayılı Kanun'un koruma alanı dışında kaldığı anlamına gelmez.
Örneğin bir icra takibinin başlatılması amacıyla borçlunun kimlik ve adres bilgilerinin işlenmesi, hukuki hakkın kullanılması için zorunlu olabilecektir. Ancak aynı borçlunun borç bilgilerinin takip işlemleriyle ilgisi bulunmayan aile üyelerine, iş arkadaşlarına veya üçüncü kişilere açıklanması farklı bir hukuki değerlendirmeyi gerektirmektedir.
Kişisel Verileri Koruma Kurulunun 2020/26 sayılı kararı, borçluya ait bilgilerin üçüncü kişilere açıklanmasının sınırları bakımından bu yönüyle önem taşımaktadır.
Buna karşılık İcra ve İflas Kanunu'nun 89. maddesi kapsamında üçüncü kişilere haciz ihbarnamesi gönderilmesi gibi kanuni usullerin gerektirdiği veri aktarımları, hukuki dayanağı ve ölçülülüğü bulunması koşuluyla hukuka uygun olabilecektir.
Bu ayrım, kişisel verilerin üçüncü kişilere açıklanmasının her durumda hukuka aykırı olmadığı gibi, avukatın mesleki sıfatının da her türlü açıklamayı meşru hâle getirmediğini göstermektedir.
VI. Aydınlatma, Saklama ve Veri Güvenliğine İlişkin Yükümlülükler
Veri sorumlusu sıfatını taşıyan avukatların 6698 sayılı Kanun'un 10. maddesi uyarınca aydınlatma yükümlülüğünü yerine getirmesi gerekmektedir.
Bu kapsamda ilgili kişilere veri sorumlusunun kimliği, kişisel verilerin işlenme amaçları, aktarılabileceği kişi grupları, veri toplama yöntemi, hukuki sebebi ve Kanun'un 11. maddesinde düzenlenen hakları hakkında bilgi verilmelidir.
Aydınlatma yükümlülüğünün kapsamı ve yerine getirilme zamanı, kişisel verilerin doğrudan ilgili kişiden elde edilip edilmediği ve somut veri işleme faaliyetinin niteliği dikkate alınarak belirlenmelidir.
Bunun yanı sıra kişisel verilerin süresiz biçimde muhafaza edilmesi hukuken kabul edilebilir değildir.
6698 sayılı Kanun'un 4. maddesi uyarınca kişisel veriler, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmelidir.
Avukatlık Kanunu'nun 39. maddesinde avukata teslim edilen belgelerin saklanmasına ilişkin özel hükümler öngörülmüş olmakla birlikte, bu düzenleme bütün kişisel verilerin koşulsuz biçimde aynı süre boyunca saklanabileceği şeklinde yorumlanmamalıdır.
Nitekim saklama süresinin belirlenmesinde vekâlet ilişkisinin devamı, zamanaşımı süreleri, muhtemel hukuki talepler ve ilgili diğer mevzuat hükümleri birlikte değerlendirilmelidir.
Diğer taraftan veri sorumlusunun 6698 sayılı Kanun'un 12. maddesi uyarınca kişisel verilerin hukuka aykırı olarak işlenmesini ve bunlara hukuka aykırı erişilmesini önlemek, ayrıca verilerin muhafazasını sağlamak amacıyla gerekli teknik ve idari tedbirleri alma yükümlülüğü bulunmaktadır.
Bu yükümlülük; fiziki dava dosyalarının korunmasından elektronik arşivlerin güvenliğine, e-posta yazışmalarından dijital belge paylaşımına kadar avukatlık faaliyetinin bütün aşamalarını kapsamaktadır.
VII. Üretken Yapay Zekâ Araçlarının Kullanılması ve Kişisel Verilerin Korunması
Hukuk hizmetlerinde dijitalleşmenin hız kazanmasıyla birlikte üretken yapay zekâ araçlarının sözleşme incelemesi, hukuki araştırma, belge analizi ve metin hazırlanması gibi alanlarda kullanımı yaygınlaşmaktadır.
Bu teknolojiler hukuki hizmetlerin etkinliğini artırma potansiyeline sahip olmakla birlikte, kişisel verilerin korunması ve meslek sırrının muhafazası bakımından yeni hukuki riskleri de beraberinde getirmektedir.
Özellikle müvekkillere ait dava dosyalarının, sözleşmelerin, sağlık raporlarının, kimlik belgelerinin veya ticari sır içeren evrakın üçüncü kişiler tarafından işletilen yapay zekâ sistemlerine yüklenmesi, kullanılan sistemin teknik ve hukuki özelliklerine bağlı olarak kişisel verilerin üçüncü kişilere veya yurt dışına aktarılması sonucunu doğurabilecektir.
Bu nedenle yapay zekâ araçlarının kullanılması sırasında yalnızca elde edilmek istenen hukuki sonucun değil, kullanılan teknolojinin veri işleme koşullarının da değerlendirilmesi zorunludur.
Kişisel Verileri Koruma Kurumunun 2026 tarihli Uygulama Rehberi'nde de üretken yapay zekâ araçlarının kullanımı ayrıca ele alınmış; kişisel verilerin mümkün olduğunca maskelenmesi veya anonimleştirilmesi, özel nitelikli kişisel verilerin sisteme yüklenmesinden kaçınılması ve yalnızca gerekli asgari verilerin paylaşılması gerektiği vurgulanmıştır.
Bunun yanı sıra kullanılan sistemin veri saklama, model eğitimi, insan incelemesi, alt veri işleyenler ve güvenlik politikalarının değerlendirilmesi gerektiği belirtilmiştir.
Bu çerçevede avukatın teknolojik araçlardan yararlanması, mesleki özen yükümlülüğünü ortadan kaldırmamakta; aksine kullanılan teknolojinin doğurduğu risklerin önceden değerlendirilmesini gerektirmektedir.
Dolayısıyla yapay zekâ araçlarının hukuk hizmetlerinde kullanılması başlı başına yasaklanmış bir faaliyet olmamakla birlikte, bu kullanımın kişisel verilerin korunması mevzuatına, meslek sırrına ve avukatlık mesleğinin gerektirdiği özen yükümlülüğüne uygun biçimde gerçekleştirilmesi zorunludur.
VIII. Hukuki Sorumluluk ve Avukatlık Bürolarında Uyum Süreçlerinin Önemi
Kişisel verilerin korunmasına ilişkin yükümlülüklere aykırılık, avukatlar bakımından yalnızca idari yaptırım riski doğurmamaktadır.
Somut olayın niteliğine göre hukuka aykırı veri işleme faaliyetleri nedeniyle ilgili kişilerin zararlarının tazmini, mesleki özen yükümlülüğünün ihlali ve disiplin sorumluluğu da gündeme gelebilecektir.
Bu nedenle kişisel verilerin korunması hukukuna uyum, avukatlık büroları bakımından yalnızca aydınlatma metinlerinin hazırlanmasından ibaret şekli bir yükümlülük olarak değerlendirilmemelidir.
Veri işleme faaliyetlerinin tespit edilmesi, hukuki sebeplerinin belirlenmesi, saklama ve imha süreçlerinin düzenlenmesi, elektronik ve fiziki arşiv güvenliğinin sağlanması, üçüncü kişilerle veri paylaşımının sınırlandırılması ve ilgili kişi başvurularının yönetilmesine ilişkin bütüncül bir uyum mekanizması oluşturulması gerekmektedir.
Özellikle dijital hukuk hizmetlerinin yaygınlaştığı günümüzde, kişisel verilerin korunmasına ilişkin kurumsal farkındalığın geliştirilmesi, hukuki sorumluluğun önlenmesinin yanı sıra avukat-müvekkil ilişkisinin temelini oluşturan güvenin korunması bakımından da önem arz etmektedir.
Sonuç
Avukatlık mesleğinin kamusal niteliği, bağımsız savunma görevi ve hak arama hürriyetinin gerçekleştirilmesindeki işlevi, kişisel verilerin korunmasına ilişkin hukuki yükümlülükleri ortadan kaldırmamaktadır.
Aksine avukatların mesleki faaliyetleri gereği kişilerin özel hayatına, ekonomik durumuna, sağlık bilgilerine ve diğer hassas verilerine erişebilmesi, kişisel verilerin korunması bakımından daha yüksek bir dikkat ve özen gösterilmesini gerekli kılmaktadır.
Kişisel Verileri Koruma Kurumu tarafından yayımlanan Avukatların Mesleki Faaliyetlerinde Kişisel Verilerin Korunmasına İlişkin Uygulama Rehberi, bu yükümlülüklerin somutlaştırılması ve uygulamadaki tereddütlerin giderilmesi bakımından önemli bir kaynak teşkil etmektedir.
Rehberin ortaya koyduğu yaklaşım çerçevesinde avukatlık faaliyetinin 6698 sayılı Kanun'dan genel olarak muaf olmadığı, kişisel veri işleme faaliyetlerinin hukuki sebeplerinin somut olay özelinde belirlenmesi gerektiği ve meslek sırrının korunmasına ilişkin yükümlülüklerin kişisel verilerin korunması hukukundan kaynaklanan sorumluluklarla birlikte uygulanacağı açıktır.
Netice itibarıyla kişisel verilerin korunması, avukatlık mesleğinin dışında ve ondan bağımsız bir idari uyum meselesi olarak değil; mesleki bağımsızlığın, sır saklama yükümlülüğünün, hukuki güvenliğin ve savunma hakkının gereği gibi kullanılmasının ayrılmaz bir unsuru olarak değerlendirilmelidir.
Hukuki Dayanaklar ve Kaynaklar
6698 sayılı Kişisel Verilerin Korunması Kanunu, özellikle m. 3, 4, 5, 6, 10, 11, 12, 13 ve 28.
1136 sayılı Avukatlık Kanunu, özellikle m. 1, 34, 36 ve 39.
Türkiye Barolar Birliği Meslek Kuralları, m. 37.
Kişisel Verileri Koruma Kurumu, Avukatların Mesleki Faaliyetlerinde Kişisel Verilerin Korunmasına İlişkin Uygulama Rehberi, KVKK Yayınları No: 115, Ankara, Temmuz 2026, özellikle s. 17–27, 29–64, 71–122 ve 123–148.
Kişisel Verileri Koruma Kurulu, 14.01.2020 tarihli ve 2020/26 sayılı Karar.
Kişisel Verileri Koruma Kurulu, 09.02.2021 tarihli ve 2021/111 sayılı Karar.
Kişisel Verileri Koruma Kurulu, 24.01.2019 tarihli ve 2019/10 sayılı Karar (Veri İhlali Bildirimi).
Kişisel Verileri Koruma Kurulu, 31.01.2018 tarihli ve 2018/10 sayılı Karar (Özel Nitelikli Kişisel Verilerde Alınması Gereken Yeterli Önlemler).
Kişisel Verileri Koruma Kurumu, Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi – 15 Soruda, Kasım 2025.