Hukuk Departmanına Özel KVKK Çözümleri

Sağlık verisi özel nitelikli kişisel veridir ve daha sıkı bir koruma rejimine tabidir. Dosyanın tamamının aynı klasörde durması, bu ekleri gören kişi sayısını gereksiz biçimde artırır. Uygulanabilir düzen, özel nitelikli eklerin ayrı bir alt klasörde tutulması, erişimin dosyayı fiilen yürüten avukat ve zorunlu hâllerde yöneticiyle sınırlanması, dijital ortamda şifreleme uygulanması ve erişimlerin loglanmasıdır. Fiziksel dosyalarda ise kilitli dolap ve dosya giriş-çıkış kaydı gerekir. Ayrıca dava kapandıktan sonra bu eklerin, dosyanın geri kalanından farklı ve daha kısa bir saklama süresine bağlanması değerlendirilmelidir.

Bu ayrım somut ilişkiye göre yapılır ve sözleşmede yazılı olmalıdır. Avukat, mesleki bağımsızlığı gereği vekâlet ilişkisi içinde kendi mesleki takdirini kullanır; bu yönüyle birçok senaryoda bağımsız veri sorumlusu olarak değerlendirilir. Buna karşılık kurum adına belirli bir talimat doğrultusunda sınırlı bir işlem yürütüyorsa (örneğin yalnızca toplu tebligat gönderimi) veri işleyen konumu gündeme gelebilir. Pratik olan, ilişkinin niteliğini sözleşmede açıkça tanımlamak, dosya paylaşımının güvenli kanaldan yapılmasını, saklama süresini ve iş bitiminde iade veya imhayı yazılı hâle getirmektir. Bu netlik, bir ihlal yaşandığında kimin bildirim yapacağını da belirler.

Başvurular, talebin niteliğine göre en kısa sürede ve her hâlde mevzuatta öngörülen azami süre içinde sonuçlandırılmalıdır. Kritik nokta, sürenin başvurunun kuruma ulaştığı anda işlemeye başlamasıdır; bu nedenle başvurunun hangi kanaldan gelirse gelsin kayıt altına alınması ve tarihinin belgelenmesi gerekir. Uygulamada en sık yapılan hata, talebin müşteri hizmetleri veya genel e-posta kutusunda kaybolması ve hukuka geç ulaşmasıdır. Yanıt olumsuz olsa bile gerekçeli biçimde ve süresi içinde verilmelidir; sessiz kalmak, talebin esasında haklı olup olmadığından bağımsız bir ihlal oluşturur.

Karar, önceden yazılmış kriterlere göre ve hızla verilmelidir; ihlal anında tartışmaya başlamak süre kaybettirir. Değerlendirmede ihlalin kapsamı (etkilenen kişi sayısı ve veri kategorileri), özel nitelikli veri içerip içermediği, verinin üçüncü kişilerin eline geçip geçmediği ve ilgili kişiler bakımından doğurabileceği zarar dikkate alınır. Bildirim yükümlülüğü doğduğunda süre, ihlalin öğrenilmesinden itibaren işler; bu nedenle "öğrenme anı"nın nasıl tespit edileceği de prosedürde tanımlanmalıdır. Ayrıca bildirim yapılsın veya yapılmasın her ihlal ve gerekçesi bir kayıt defterine işlenmelidir; Kurul incelemesinde ilk istenen belgelerden biri bu defterdir.

Kanunun öngördüğü icra süreci içinde, yetkili mercilere ve usulüne uygun biçimde yapılan paylaşımlar hukuki yükümlülüğe dayanır. Buna karşılık borç bilgisinin bu çerçevenin dışına taşması hukuka aykırıdır: kişinin işyerine, komşularına veya yakınlarına borcunun bildirilmesi, kurum içinde ilgisiz birimlerle paylaşılması ya da bir listede toplu olarak duyurulması ihlal oluşturur. Borç bilgisi kişinin ekonomik durumuna ilişkindir ve itibarını doğrudan etkiler. Bu nedenle erişim yalnızca takibi yürüten kişilerle sınırlandırılmalı, yazışmalarda asgari bilgi kullanılmalı ve dosyalar kapandıktan sonra saklama süresi tanımlanmalıdır.

Süre, dosyanın türüne bağlı zamanaşımı ve olası yeniden yargılama ihtimali dikkate alınarak belirlenir ve gerekçesiyle yazılır. Kararın kesinleşmesiyle birlikte tüm dosyanın süresiz saklanması doğru değildir; buna karşılık hakkın tesisi ve savunma ihtiyacı ortadan kalkmadan imha da edilemez. Uygulanabilir yaklaşım, dosya türlerine göre (iş hukuku, ticari uyuşmazlık, idari dava, icra) ayrı saklama süreleri tanımlamak, özel nitelikli ekler için daha kısa süre belirlemek ve süresi dolan dosyaları periyodik imha takvimiyle tutanaklı biçimde imha etmektir. Bu tablo, kurum genelindeki saklama ve imha politikasının bir parçası olmalıdır.