Büro, verinin sorumlusudur.

Her yükümlülüğün sorumlusu veri sorumlusu olarak bürodur. Yazılım, listenin teknik tedbir kısmını somut kontrollere çevirir.

HukukBis, ISO/IEC 27001 belgeli bilgi güvenliği yönetim sistemine ve TSE belgeli süreçlere sahip HukukBis tarafından geliştirilir ve işletilir. Bulut altyapısı tamamen MTY Cloud üzerindedir.

KVKK aydınlatma metnimizi okuyun

Kurgusal bir müvekkil, büronun elindeki verilerinin kopyasını ister. Talep gelişinden kapanışına kadar izlenir; ekranda her adımda yalnız bir şey değişir.

1. 01/05

   Müvekkilden veri talebi gelir

   Müvekkil A, büronun elindeki kişisel verilerinin bir kopyasını ister. Talebin ulaştığı tarih, otuz günlük sürenin başlangıcıdır.

2. 02/05

   Talep kaydedilir

   Talep türü, ilgili kişi ve alındığı tarih kayda geçer; son yanıt tarihi 05.11.2026 olarak hesaplanır.

3. 03/05

   Veriler dışa aktarılır

   Müvekkil kartı, dava kayıtları, belgeler ve fatura kayıtları tek pakette toplanır. Üçüncü kişilere ait bilgiler ve yasal bir engel bulunan kayıtlar kapsam dışında bırakılır.

4. 04/05

   Yanıt otuz gün içinde gönderilir

   Yanıt yazılı veya elektronik ortamda 12.10.2026'da verilir; sürenin dolmasına 24 gün vardır. Talep reddedilecek olsaydı gerekçe de aynı yanıtta yazılırdı.

5. 05/05

   Kayıt kapanır

   Talep Kapandı durumuna geçer; talep, yanıt tarihi ve dışa aktarım kaydı birlikte saklanır.

KVKK talepleri

Yeni

İlgili kişi: Müvekkil AAlındığı tarih: 06.10.2026

“Kişisel verilerimin bir kopyasını talep ediyorum.”

Talep türü

Verilere erişim ve kopya

Son yanıt tarihi

05.11.2026

Süre

30 gün

Dışa aktarma

• Müvekkil kartıHazır
• Dava kayıtlarıHazır
• BelgelerHazır
• Fatura kayıtlarıHazır

Yanıt: Yazılı yanıt gönderildi · 12.10.2026

‹›

01/05

Müvekkilden veri talebi gelir

Kanun'un 3. maddesine göre veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Hukuk bürosunda bu; tek başına çalışan avukatın kendisi, ortaklık ya da büronun tüzel kişiliğidir. Müvekkil dosyasındaki verilerin hangi amaçla ve hangi araçlarla işleneceğine siz karar verdiğiniz için sorumluluk sizdedir.

Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen kişidir. Dosya yönetim yazılımı, e-posta ve bulut sağlayıcısı, muhasebe ve ödeme altyapısı tipik örneklerdir. İlgili kişi, verisi işlenen gerçek kişidir: müvekkil, karşı taraf, tanık, bilirkişi, başvuran, çalışan ve stajyer hep ilgili kişi olabilir.

Kanun envanter kelimesini kullanmaz, ancak aydınlatma, saklama süresi ve sicil bildirimi, neyi işlediğinizi tam bilmeden yapılamaz. Sicile bildirimin içeriği bunu açıkça gösterir: kimlik, işleme amacı, veri sahibi grupları ve veri kategorileri, aktarılacak alıcı grupları, yabancı ülkelere aktarım, güvenlik tedbirleri ve gerekli azami süre (16. maddenin 3. fıkrası). Envanterinizi bu başlıklarla kurarsanız aynı çalışma hem aydınlatma metnine hem sicil bildirimine hazırlık olur.

Başlangıç için büronun tüm veri akışını çizin: veri nereden gelir, nerede durur, kime gider ve ne zaman biter. Aşağıdaki tablo bir hukuk bürosu için tipik veri gruplarını gösterir. Dayanak sütunu örnektir; her işleme faaliyetini kendi koşullarına göre ayrıca değerlendirmeniz gerekir.

Özel nitelikli veriler ayrıca dikkat ister. 6. madde ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri, sağlık verisini ve sendika, dernek üyeliğini özel nitelikli sayar; bunların işlenmesini ancak sayılan şartlardan biri varsa mümkün kılar ve ayrıca Kurul'un belirlediği yeterli önlemlerin alınmasını arar. Hukuk bürosunda bu veriler ceza davalarında, iş ve aile uyuşmazlıklarında sık görülür.

Kanun'un 4. maddesi kişisel verilerin işlenmesinde beş ilke sayar: hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma, ve mevzuatta öngörülen ya da amaç için gerekli süre kadar muhafaza edilme. Büronun her veri işleme faaliyeti bu beş filtreden geçmelidir.

5. madde açık rızayı kural, saydığı şartları ise rıza aramadan işlemenin istisnası olarak düzenler. Açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır (3. madde). Hukuk bürosunda dosyanın yürütülmesi çoğunlukla vekâlet sözleşmesine, bir hakkın tesisi, kullanılması veya korunmasına ve hukuki yükümlülüklere dayanır; bu yüzden vekâlet ilişkisinin kendisi için ayrıca rıza metni imzalatmak çoğunlukla gereksizdir ve rızanın serbest iradeyle verildiği tartışmasını doğurur. Rızayı, başka bir hukuki sebebin kapsamadığı faaliyetler, örneğin bültenle bilgilendirme, için saklayın.

Avukatlık sırrı ise ayrı bir yükümlülüktür. Avukatlık Kanunu'nun 36. maddesi avukatın görevi dolayısıyla öğrendiği hususları açığa vurmasını yasaklar; Türkiye Barolar Birliği Avukatlık Meslek Kuralları da meslek sırrının korunmasını ve avukatın yardımcıları ile stajyerlerinin de buna uymasının sağlanmasını ister; ilgili madde numarasını güncel kural metninden kontrol edin. KVKK'da bir işleme şartı bulmanız sırrı açıklama yetkisi vermez; iki rejim birlikte uygulanır.

10. madde, kişisel veriler elde edilirken veri sorumlusunun ya da yetkilendirdiği kişinin ilgili kişilere beş konuda bilgi vermesini zorunlu kılar: veri sorumlusunun ve varsa temsilcisinin kimliği, verinin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ile hukuki sebebi ve 11. maddedeki diğer haklar. Aydınlatma, açık rızadan bağımsız ve daha geniş bir yükümlülüktür; rıza almış olmak aydınlatma yapmış olmak anlamına gelmez.

Bürolarda aydınlatma için üç doğal nokta vardır: vekâletname ve vekâlet sözleşmesinin imzası, web sitesindeki başvuru formu ve ilk telefon ya da yazışma teması. Çalışan ve stajyerler için ayrı bir metin hazırlayın. Doğrudan ilgili kişiden alınmayan veriler, örneğin karşı taraf ya da tanık bilgileri, için aydınlatmanın nasıl ve ne zaman yapılacağı Kurum'un aydınlatma tebliğinde ayrıca düzenlenmiştir; hangi istisnalara dayanacağınızı önceden yazıya dökün. Aydınlatmayı yapmamak idari para cezası sebebidir (18. maddenin 1. fıkrasının a bendi).

Kişisel veriler, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilir (4. madde). Bu süre sona erince, ya da işlemeyi gerektiren sebepler ortadan kalkınca, veri resen veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hâle getirilir (7. madde). Silme sorumluluğu ciddidir: 7. maddeye aykırı olarak verileri silmeyen veya anonim hâle getirmeyenler Türk Ceza Kanunu'nun 138. maddesine göre cezalandırılır (17. maddenin 2. fıkrası).

Hukuk bürosu için asıl zorluk, silme ile saklama yükümlülükleri arasındaki gerilimdir. Vergi, ticaret ve meslek mevzuatındaki saklama yükümlülükleri ile zamanaşımı süreleri, bir silme talebinin hemen yerine getirilmesine engel olabilir; 7. maddenin 2. fıkrası, diğer kanunlardaki özel hükümleri saklı tutar. Çözüm, her veri grubu için saklama süresini ve dayanağını önceden yazılı politikaya bağlamaktır. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, politikanın içeriğini ve periyodik imha esaslarını belirler.

12. madde veri sorumlusunu üç amaçla uygun güvenlik düzeyini sağlamaya yönelik her türlü teknik ve idari tedbiri almakla yükümlü kılar: verilerin hukuka aykırı işlenmesini önlemek, hukuka aykırı erişimi önlemek ve muhafazayı sağlamak. Büroda en somut karşılığı, kimin hangi dosyaya ve hangi işleme erişebildiğidir. Herkesin tam yetkili olduğu bir büro, bu yükümlülüğü yerine getirdiğini ispatlayamaz.

Aynı maddenin 4. fıkrası, veri sorumlusunun ve veri işleyenlerin öğrendikleri kişisel verileri Kanun'a aykırı olarak başkasına açıklayamayacağını, işleme amacı dışında kullanamayacağını ve bu yükümlülüğün görevden ayrıldıktan sonra da sürdüğünü söyler. Bu nedenle çalışan ve stajyer sözleşmelerine gizlilik hükmü koyun ve ayrılan çalışanın erişimini aynı gün kapatın. Rol ve yetki tasarımını ayrı rehberimizde ayrıntılı ele aldık.

• Hukuk bürosunda rol ve yetki yönetimi rehberi
• Roller ve izinler modülü

Kişisel veriler sizin adınıza bir başkası tarafından işleniyorsa, 12. maddenin 2. fıkrasına göre güvenlik tedbirlerinin alınmasında o kişilerle birlikte müştereken sorumlu olursunuz. Bu nedenle her yazılım ve hizmet sağlayıcıyla yazılı bir veri işleme sözleşmesi yapın: işlemenin konusu ve kapsamı, güvenlik tedbirleri, alt işleyici kullanımının onayı, gizlilik, ve sözleşme sonunda verinin iadesi veya silinmesi.

Verinin yurt dışına aktarılması 9. maddede düzenlenir ve madde 2024'te 7499 sayılı Kanun'la yeniden yazılmıştır. Güncel düzene göre aktarım için 5. ve 6. maddedeki şartlardan birine ek olarak sırasıyla yeterlilik kararı, bu yoksa standart sözleşme, bağlayıcı şirket kuralları ya da taahhütname gibi uygun güvenceler, o da yoksa yalnızca arızi olmak üzere sayılan istisnai hâller aranır. Standart sözleşme imzalandıktan sonra beş iş günü içinde Kurum'a bildirilir. Bulut ve yapay zeka hizmetleri sunucu konumuna göre yurt dışı aktarım doğurabilir; sağlayıcıdan sunucu konumunu ve alt işleyici listesini yazılı isteyin.

• HukukBis güvenlik ve KVKK sayfası

12. maddenin 5. fıkrası, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusunun bunu en kısa sürede ilgilisine ve Kurul'a bildireceğini söyler. Süreyi Kişisel Verileri Koruma Kurulu'nun 24 Ocak 2019 tarihli ve 2019/10 sayılı kararı somutlaştırır: Kurul'a, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde, ilgili kişiye ise en kısa makul sürede bildirim yapılır. Kararda ihlal bildirim formunun kullanılması da öngörülür.

Plan olmadan 72 saat çok kısadır. Kayıp laptop, yanlış kişiye giden e-posta, fidye yazılımı ve ele geçirilmiş bir hesap; hepsi ihlal sayılabilir. Kimin karar vereceğini, kimin bildirim yapacağını ve delillerin nasıl korunacağını önceden belirleyin. Kişisel verilere ilişkin suçlar bakımından Türk Ceza Kanunu'nun 135 ila 140. maddeleri uygulanır (17. madde); bu yüzden olayı kayıt altına almak hem düzeltme hem savunma için önemlidir.

11. madde ilgili kişiye dokuz hak tanır: işlenip işlenmediğini öğrenme, bilgi talep etme, amacı öğrenme, aktarılan üçüncü kişileri bilme, düzeltme isteme, silme veya yok etme isteme, bu işlemlerin üçüncü kişilere bildirilmesini isteme, yalnızca otomatik analiz sonucuna itiraz etme ve zararın giderilmesini talep etme. Talepler yazılı olarak ya da Kurul'un belirleyeceği diğer yöntemlerle veri sorumlusuna iletilir.

Veri sorumlusu talebi, niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz sonuçlandırır; işlem ayrıca bir maliyet gerektiriyorsa Kurul'un tarifesindeki ücret alınabilir (13. madde). Talep kabul edilir ya da gerekçesi açıklanarak reddedilir ve cevap yazılı veya elektronik ortamda verilir. Cevap yetersiz kalırsa ilgili kişi, cevabı öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurul'a şikâyette bulunabilir (14. madde).

Hukuk bürosunda dikkat edilecek nokta, taleplerin saklama yükümlülüğü, hakkın korunması ve avukatlık sırrıyla çakışabilmesidir. Müvekkilin silme talebi ile devam eden bir dava ya da vergi saklama süresi çakışıyorsa gerekçeli ret hakkınız vardır; ancak gerekçeyi yazılı verin. Bir kişinin verisini başka bir kişiye açıklamak ise talep gerekçesi olsa bile sır yükümlülüğünü etkiler.

• Veri aktarımı ve KVKK araçları

16. madde, kişisel verileri işleyen gerçek ve tüzel kişilerin veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmasını kural olarak zorunlu kılar; ancak Kurul, işlenen verinin niteliği, sayısı ve aktarım durumu gibi objektif kriterlere göre istisna getirebilir. Bu kriterler, örneğin çalışan sayısı ve mali büyüklük eşikleri, Kurul kararlarıyla belirlenir ve zaman içinde güncellenir. Bu nedenle bu rehberde sayısal eşik yazmıyoruz: büronuzun güncel durumunu Kurum'un duyurularından doğrulayın.

Kayıt yükümlüsüyseniz bildirimdeki bilgilerde meydana gelen değişiklikleri derhal bildirmek zorundasınız (16. maddenin 4. fıkrası). Yükümlü olmasanız bile envanter, aydınlatma ve saklama politikası yükümlülükleri sürer; sicil muafiyeti uyum yükümlülüğünü kaldırmaz.

1. 01Aydınlatma yapmadan yalnızca rıza metni imzalatmak.
2. 02Tüm çalışanlara tüm dosyalarda tam yetki vermek.
3. 03Dosyaları kişisel e-posta ve mesajlaşma uygulamalarıyla paylaşmak.
4. 04Hiçbir veriyi silmeyen, sınırsız bir arşiv tutmak.
5. 05Yazılım ve bulut sağlayıcılarıyla veri işleme sözleşmesi yapmamak.
6. 06İhlal durumunda kimin ne yapacağını önceden belirlememek.
7. 07Ayrılan çalışanın erişimini haftalarca açık bırakmak.

On maddeyi tamamladıkça işaretleyebilirsiniz. İşaretleriniz yalnızca bu tarayıcıda saklanır.