2026 yılı, KVKK açısından avukatlık mesleğini doğrudan ilgilendiren iki önemli gelişmeye sahne oldu: Kişisel Verileri Koruma Kurumu'nun avukatlara özel ilk uygulama rehberi ve idari para cezalarındaki büyük artış. Bu yazıda avukatın bürosunda değişmesi gereken somut uygulamalara odaklanıyoruz.

KVKK'da 2026'nın En Önemli Gelişmesi Nedir?

Kişisel Verileri Koruma Kurumu, Türkiye Barolar Birliği'nin görüş ve katkılarıyla hazırladığı "Avukatların Mesleki Faaliyetlerinde Kişisel Verilerin Korunmasına İlişkin Uygulama Rehberi"ni 22 Eylül 2026'da yayımladı. Bu, Kurumun doğrudan avukatlık mesleğine yönelik ilk kapsamlı rehberi. Rehber, avukatların müvekkil bilgilerini ve dava dosyalarını işlerken hangi durumda aydınlatma yapması, hangi durumda açık rıza alması gerektiğini netleştiriyor.

Aynı dönemde ikinci büyük değişiklik idari para cezalarında yaşandı: Kurum, 31 Aralık 2025 tarihli duyurusuyla 2026 yılı için %25,49 yeniden değerleme oranını uyguladı — bu da ceza tutarlarını önceki yıla göre önemli ölçüde artırdı.

KVKK'nın Avukatlara Özel Rehberi Ne Diyor?

Rehberin odak noktası, avukatın mesleki faaliyeti sırasında işlediği kişisel verinin iki farklı kaynağı olduğu ayrımı: müvekkilin kendisine ait veriler ve dava sürecinde üçüncü kişilere (karşı taraf, tanık, bilirkişi) ait veriler. İkisi için uygulanacak kural aynı değil — müvekkil ilişkisi genelde sözleşme temelli yürüdüğü için Kişisel Verilerin Korunması Kanunu (6698 sayılı) md. 5/1-(c)'deki "sözleşmenin kurulması veya ifasıyla ilgili olma" şartı çoğu zaman açık rızaya gerek bırakmadan veri işlemeyi mümkün kılıyor. Üçüncü kişi verisinde ise bu şart her zaman geçerli olmuyor; md. 5/1-(e)'deki "bir hakkın tesisi, kullanılması veya korunması için zorunlu olma" şartı daha sık devreye giriyor.

Müvekkil Bilgisi İçin Açık Rıza Ne Zaman Gerekir, Ne Zaman Gerekmez?

KVKK md. 5, kişisel verinin ilgili kişinin açık rızası olmadan işlenemeyeceğini söylüyor, ama altı istisna sayıyor. Avukatlık ilişkisinde en sık kullanılan iki istisna: sözleşmenin ifasıyla doğrudan ilgili olma ve bir hakkın tesisi/korunması için zorunlu olma. Pratikte bu, bir avukatlık sözleşmesi kapsamında müvekkilin dosyayla ilgili vereceği bilgilerin — ad, iletişim, dava konusu olaylar — çoğu zaman açık rıza gerektirmeden işlenebileceği anlamına geliyor.

Açık rıza asıl ihtiyaç duyulan nokta, bu istisnaların kapsamadığı ek kullanımlar: örneğin müvekkilin verisinin pazarlama amaçlı kullanılması veya dosya dışı bir amaçla üçüncü bir tarafla paylaşılması.

Aydınlatma Yükümlülüğü Avukat İçin Neyi Kapsar?

Açık rızadan ayrı bir yükümlülük olan aydınlatma, KVKK md. 10 uyarınca açık rızaya ihtiyaç olmasa bile her hâlde yerine getirilmesi gerekiyor. Avukat, veri sorumlusu sıfatıyla müvekkile; kimliğini, verinin hangi amaçla işleneceğini, kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemini ve hukuki sebebini bildirmek zorunda. Bu bilgilendirme genelde vekaletname/sözleşme sürecine bir aydınlatma metni eklenerek yapılıyor.

Dosyayı Yapay Zekaya Yüklemek Yurt Dışına Aktarım Sayılır mı?

Rehberin dikkat çeken bir başka noktası, dava dosyasının yurt dışı sunuculu bir yapay zeka aracına yüklenmesinin KVKK md. 9 kapsamında bir "yurt dışına veri aktarımı" sayılabileceği uyarısı. Bu aktarım, ya Kurul'un verdiği bir yeterlilik kararına ya da md. 9'da sayılan güvencelerden birine dayanmak zorunda; aksi hâlde avukat kendisi fark etmeden bir KVKK ihlaline neden olabilir.

2026'da İhlal Cezaları Ne Kadar Arttı?

KVKK md. 18, dört ayrı ihlal türü için idari para cezası öngörüyor; 2026 yılı için %25,49'luk yeniden değerleme sonrası güncel üst sınırlar şöyle:

Aydınlatma yükümlülüğünü yerine getirmeme (md. 10): 2026'da 1.709.200 TL'ye kadar.
Veri güvenliği yükümlülüklerini yerine getirmeme (md. 12): 2026'da 17.092.242 TL'ye kadar — en ağır kalem.
Kurul kararlarını yerine getirmeme (md. 15 uyarınca): 2026'da 17.092.242 TL'ye kadar.
Veri Sorumluları Siciline (VERBİS) kayıt yükümlülüğüne aykırılık (md. 16): ayrı bir ceza kalemi.

Bu tutarlar büyük veri sorumluları (şirketler, kurumlar) için belirlenmiş olsa da, bir avukatlık bürosu da VERBİS'e kayıtlıysa ya da büyük hacimli dosya işliyorsa aynı kapsamda değerlendirilebiliyor.

Avukat Bürosu İçin Pratik Uyum Kontrol Listesi

Aydınlatma metnini güncelle. Vekaletname/sözleşme sürecine KVKK md. 10'daki beş unsuru içeren bir aydınlatma metni ekli mi, kontrol et.
Açık rıza ile sözleşme temelli işlemeyi ayır. Dosya kapsamındaki olağan veri işleme için açık rıza şart değil; ek/pazarlama amaçlı kullanım için gerekiyor.
Yapay zeka araçlarının sunucu konumunu öğren. Dosya içeriği yurt dışı sunuculu bir araca giriyorsa, md. 9 kapsamında bir aktarım analizi yap.
Veri güvenliği tedbirlerini belgelendir. md. 12 ihlalinin cezası en ağır kalem; erişim kontrolü ve şifreleme gibi tedbirlerin yazılı bir kaydı olsun.
VERBİS kaydını kontrol et. Büro VERBİS'e kayıtlı olması gereken ölçekteyse kayıt ve bildirim yükümlülüğünü (md. 16) atlamadığından emin ol.

Sık Sorulan Sorular

Avukatlık bürosu KVKK'ya göre veri sorumlusu mu sayılır?

Genellikle evet — avukat, müvekkile ait kişisel verinin işleme amacını ve yöntemini kendisi belirlediği için KVKK md. 3 anlamında veri sorumlusu sıfatını taşır.

Müvekkilin açık rızası olmadan dava dosyası hazırlanabilir mi?

Evet, çoğu durumda. KVKK md. 5'teki "sözleşmenin ifasıyla ilgili olma" ve "bir hakkın tesisi/korunması için zorunlu olma" istisnaları, dosya kapsamındaki olağan veri işlemeyi açık rıza almadan mümkün kılar.

Dosyayı ChatGPT veya benzeri bir araca yüklemek her zaman KVKK ihlali midir?

Otomatik olarak ihlal sayılmaz, ama KVKK'nın rehberine göre bu bir yurt dışına aktarım olarak değerlendirilebilir ve md. 9'daki şartlardan biri (yeterlilik kararı veya güvence) sağlanmadan yapılırsa ihlale dönüşür.

2026 ceza tutarları her avukata mı uygulanır?

Ceza tutarları ihlalin ağırlığına ve veri sorumlusunun ölçeğine göre Kurul tarafından takdir edilir; küçük bir büro için üst sınırın uygulanması beklenmez, ama yükümlülük herkes için aynı şekilde geçerlidir.

Avukatlar İçin KVKK'da 2026'da Ne Değişti?