KVKK Kurulu, icra sürecinde müvekkile ait verileri üçüncü kişilerle paylaşan bir avukat 125.000 TL idari para cezasıyla cezalandırdı. Hukuk büroları da müvekkil verilerini işleyen 'veri sorumlusu' sıfatını taşıyor — bu sorumluluk beraberinde ciddi uyum yükümlülükleri getiriyor.

Kişisel Verileri Koruma Kurumu (KVKK), hukuk büroları ve avukatlar söz konusu olduğunda mesafeli bir gözlemci değil, müvekkil bilgilerinin korunması çok önemli. Doğrudan muhatap konumunda. KVKK Kurulu, günlük icra ve tahsilat süreçlerinde müvekkile ait verileri hukuka aykırı biçimde işleyen avukatlara somut ve ağır idari para cezaları uyguladı. Bu kararlar yalnızca birer emsal değil; hukuk bürosunun müvekkil verilerini nasıl işlediğine, üçüncü kişilerle paylaşıp paylaşmadığına ve aydınlatma yükümlülüklerini yerine getirip getirmediğine dair pratik bir uyarı niteliği taşıyor. 2026 yılında yürürlüğe giren güncel ceza tutarları, bu uyarının maddi boyutunu daha da ağırlaştırdı. Bu makalede, KVKK Kurulu'nun avukatlara ilişkin gerçek kararlarını ve hukuk büroları için KVKK uyumunun ne anlama geldiğini ele alıyoruz.

Pek çok hukuk bürosu KVKK'yı muhasebe ya da e-ticaret sektörlerine özgü bir yükümlülük olarak algılamaya devam ediyor; oysa Kurul kararları bu algının ne denli yanıltıcı olduğunu açıkça ortaya koyuyor. İcra avukatından aile hukukçusuna, ceza avukatından ticaret hukuku uzmanına kadar her pratik alanın müvekkil verisini yoğun biçimde işlediği gerçeği değişmiyor. Türkiye'de barolara kayıtlı 206.678 avukatın (TBB, 31 Aralık 2025) tamamı, meslek icra ettiği sürece veri sorumlusu sıfatını taşıyor. Bu sorumluluk kâğıt üzerinde kalmıyor: Kurul, sistematik denetim yerine şikayet odaklı inceleme mekanizmasıyla da olsa gerçek cezalar uyguluyor.

KVKK Avukata Nasıl Uygulanır?

Kişisel Verilerin Korunması Kanunu (6698 sayılı Kanun), kişisel verileri işleyen her gerçek veya tüzel kişiyi "veri sorumlusu" sıfatıyla yükümlülük altına alıyor. Avukatlar ve hukuk büroları bu tanımın tam içinde. Müvekkil adı, soyadı, T.C. kimlik numarası, iletişim bilgileri, banka hesap numarası, sağlık verisi, cezai sicil kaydı — hukuki hizmet sürecinde işlenen bu veriler Kanun kapsamında korunan kişisel veriler.

Veri sorumlusu olarak avukat ve büronun temel yükümlülükleri şöyle sıralanabilir:

  • Aydınlatma yükümlülüğü (Md. 10): Müvekkil, hangi verilerinin ne amaçla işlendiği, kime aktarılabileceği konusunda açık biçimde bilgilendirilmeli.
  • Veri güvenliği (Md. 12): Müvekkile ait veriler yetkisiz erişime, ifşaya veya kayba karşı teknik ve idari tedbirlerle korunmalı.
  • Amaçla sınırlılık ilkesi: Veriler yalnızca toplanma amacıyla bağlantılı kullanılabilir; farklı amaçla işlenmesi ya da üçüncü kişilere aktarılması yasal dayanak gerektirir.
  • VERBİS kaydı: Kişisel veri işleyen veri sorumluları Veri Sorumluları Sicil Bilgi Sistemi'ne kayıt olmakla yükümlü.

Bu yükümlülüklerin ihlali, KVKK'nın 18. maddesi kapsamında idari para cezası doğuruyor. Ceza miktarları her yıl yeniden değerleme oranıyla güncelleniyor; 2026 yılında tutarlar %25,49 oranında artırıldı. Avukatlık bürosunun ölçeği ceza oranını hafifletmiyor: Kurul, ihlal ağırlığını kurumun büyüklüğüne göre değil, işlenen verinin niteliğine ve ihlalin etkisine göre belirliyor. Bu durum solo avukatları da büyük büroları da eşit biçimde kapsayan ciddi bir risk anlamına geliyor.

Hukuk bürosunun müvekkil adına hareket etmesi, büronun kendi veri sorumluluğunu ortadan kaldırmıyor. Müvekkil adına dava dosyası oluşturmak, karşı taraf verilerini işlemek ya da icra sürecinde borçlu bilgilerini kullanmak — tüm bu faaliyetler büroyu "veri sorumlusu" konumuna sokuyor. Vekâlet ilişkisi, KVKK yükümlülüğünü müvekkile devretmiyor; aksine büronun bu yükümlülükleri bizzat üstlenmesini zorunlu kılıyor.

Avukata Kesilen 125.000 TL Ceza: İcra ve SMS Davası

KVKK Kurulu'nun avukatlara yönelik en dikkat çekici kararlarından biri, icra sürecindeki veri ihlaliyle ilgili. Bir icra avukatı, müvekkili adına tahsilat sürecini yürütürken borçlunun ağabeyi ve iş arkadaşlarının telefon numaralarına borç bilgisi içeren SMS mesajı gönderdi. Kurul, bu eylemin Kanunun 5. maddesinin 2. fıkrası kapsamında yasal dayanaktan yoksun olduğuna hükmetti: borç bilgisi bir kişisel veridir ve üçüncü kişilerle paylaşılması açık bir veri ihlali oluşturuyor. KVKK, avukata 125.000 TL idari para cezası uyguladı.

Bu kararın önemini anlamak için bağlamı doğru kurmak gerekiyor. Avukat, müvekkili adına yasal bir tahsilat süreci yürütüyor; SMS gönderimi de bu sürecin bir parçası gibi görünüyor. Ancak Kurul şu ilkeyi tescil etti: borcun varlığı ve borçlunun kimliği kişisel veridir; bu verinin üçüncü kişiye iletilmesi hukuka aykırıdır. Müvekkil adına tahsilat yapmak, Kanun'un öngördüğü veri işleme usullerini es geçmek için yeterli bir gerekçe değil. İcra avukatları başta olmak üzere tahsilat süreçlerinde üçüncü taraf iletişimi kullanan tüm büroların bu karardan çıkarması gereken pratik ders açık: üçüncü kişiye gönderilen her mesaj, veri sorumlusu olarak büronun sorumluluğunu doğuruyor.

Diğer Emsal Kararlar

KVKK Kurulu'nun avukatlara ilişkin diğer kararları da ağır mali yaptırımlar içeriyor ve ihlal tiplerinin çeşitliliğini ortaya koyuyor.

Haciz ihbarnamesi ve üçüncü kişi verisi: Bir banka avukatı, haciz ihbarnamesi gönderirken ilgili kişinin kişisel verilerini açık rıza alınmaksızın üçüncü kişilerle paylaştı. Kurul, bu eylemi KVKK kapsamında veri ihlali olarak nitelendirerek avukata 125.000 TL idari para cezası hükmetti. Haciz sürecinin yasal zorunluluğu, verilerin hukuka aykırı biçimde işlenmesini meşrulaştırmıyor.

Borç bilgisinin üçüncü kişiyle paylaşımı: Bir başka davada, borçlunun oğlunun telefon numarası hukuka aykırı biçimde işlendi ve oğluyla borç bilgisi paylaşıldı. Bu ihlal nedeniyle hükmolunan idari para cezası 200.000 TL'ye ulaştı. Kurul, aile üyesinin "yakınlığının" veri aktarımı için yasal dayanak oluşturmadığını açıkça ortaya koydu.

Bu kararların ortak mesajı şu: avukatlık faaliyeti sırasında edinilen kişisel veriler — borçlu, müvekkil, karşı taraf ya da tanık bilgileri — yalnızca hukuki temsil amacıyla ve Kanun'un öngördüğü çerçevede işlenebilir. "Müvekkili adına hareket ediyorum" savunması, veri ihlalini örtmüyor.

Emsal kararlar aynı zamanda önemli bir pratik dersi de içeriyor: Kurul yaptığı incelemede "kasıt" aramıyor. Avukat SMS'i farkında olmadan borçlunun iş yerine göndermiş, haciz ihbarnamesini standart prosedürle iletmiş olabilir. İhlalin bilinçli ya da kasıtlı olması Kurul'un ceza uygulamasında belirleyici değil; teknik ve idari tedbirleri alma yükümlülüğü ihlalin gerçekleşmesini önlemek için yeterli güvence oluşturulmadığını kanıtlıyor. Bu anlayış, büroyu "bilmiyordum" savunmasından çok "sistematik tedbirleri aldım" ispat pozisyonuna taşıyor.

2026 KVKK Ceza Tavanları: Risk Ne Kadar Büyük?

KVKK idari para cezaları her yıl yeniden değerleme oranıyla güncelleniyor. 2026 yılında tutarlar bir önceki yıla göre %25,49 artırıldı. 2026 itibarıyla geçerli ceza aralıkları şöyle:

  • Aydınlatma yükümlülüğü (Md. 10) ihlali: 5.000 – 100.000 TL
  • Veri güvenliği yükümlülüğü (Md. 12) ihlali: 15.000 – 1.000.000 TL
  • Kurul kararını yerine getirmeme: 25.000 – 1.000.000 TL
  • VERBİS kayıt yükümlülüğü ihlali (Md. 16): 20.000 – 1.000.000 TL
  • Veri ihlali bildirimi yapmama: 50.000 – 1.000.000 TL

125.000 TL ceza, veri güvenliği ihlali için belirlenen tavan olan 1.000.000 TL'nin çok altında. Kurul'un ağırlaştırıcı faktörleri — ihlalin süresi, etkilenen kişi sayısı, özel nitelikli veri içeriği — devreye sokması hâlinde ceza tavan sınırına yaklaşabilir. Hukuk büroları için bu ceza bandı küçük ya da orta ölçekli büronun yıllık gelirini kalıcı biçimde etkileyebilecek bir düzey.

Özel nitelikli kişisel veriler konusu ayrıca dikkat gerektiriyor. Sağlık verisi, cezai mahkumiyet bilgisi, biyometrik veri ve dini inanç gibi kategoriler KVKK kapsamında ayrı bir koruma altında. Aile hukuku, ceza hukuku ya da sağlık hukuku alanında çalışan avukatlar günlük işlerinde bu kategorilere sıklıkla temas ediyor. Özel nitelikli veri içeren bir ihlalde Kurul cezayı artırıcı faktörler kapsamında değerlendirebiliyor; 1.000.000 TL tavan bu davalarda gerçekçi bir risk hâline geliyor. Yazılı bir veri envanteri tutmak ve hangi dava türlerinde hangi kategorilerin işlendiğini belgelemek bu riski yönetmenin ilk adımı.

Avukat-Müvekkil İlişkisinde Veri Akışı

Hukuk bürosunun müvekkil verisiyle ilişkisi, ilk görüşmenin çok ötesine geçiyor. Görüşme notu ve vekâletname ile başlayan süreç; dava dilekçeleri, delil belgeleri, tanık bilgileri, karşı taraf iletişimi ve yargı sürecindeki tüm yazışmalarla genişliyor. Her bu belge, büronun işlediği ve güvenceye alması gereken kişisel veri kapsamında. İcra dosyasında borçlunun mal varlığı bilgisi, aile hukukunda eş ve çocuklara ait kişisel veriler, ceza hukukunda ifade tutanakları — hepsinin güvenli bir ortamda, yetkili personelin erişimiyle ve amaçla sınırlı biçimde işlenmesi gerekiyor.

Büronun veri akışını haritalamak — hangi verinin nereden geldiğini, nerede depolandığını, kime aktarılabildiğini ve ne kadar süre saklanması gerektiğini belgelemek — KVKK uyumunun omurgasını oluşturuyor. Bu haritalama, aynı zamanda olası bir Kurul soruşturmasında büronun ilk savunma hattı. Teknik ve idari tedbirler aldığını somut belgelerle ispat eden büro, yalnızca cezadan korunmakla kalmıyor; müvekkil nezdinde de güvenilir bir veri ortağı konumuna yükseliyor.

KVKK Uyumlu Büro: Pratik Adımlar

KVKK uyumu, bir kez tamamlanıp rafa kaldırılan bir proje değil; büronun günlük operasyonuna entegre edilmesi gereken sürekli bir disiplin. Hukuk büroları için en kritik uyum adımları şu başlıklar altında ele alınabilir:

Müvekkil aydınlatma metni: Her yeni müvekkil kabulünde, hangi kişisel verilerin hangi amaçla işlendiğini ve kimlere aktarılabileceğini açıklayan bir aydınlatma metni imzalatılmalı. Bu metin yalnızca yasal bir formalite değil; müvekkille kurulan veri işleme ilişkisinin belgesi.

Üçüncü kişi iletişiminde dikkat: İcra, tahsilat veya karşı taraf iletişiminde borç, kimlik veya dava bilgisi içeren mesajların kimlere gönderildiği titizlikle denetlenmeli. Kurul kararları, kurumsal hatta ya da grubu belirsiz bir numaraya gönderilen mesajların da "üçüncü kişiye açıklama" kapsamında değerlendirilebildiğini ortaya koyuyor.

Dijital arşiv ve erişim kontrolü: Müvekkil belgeleri, dava dosyaları ve iletişim kayıtları yalnızca yetkili personelin erişebildiği güvenli bir dijital ortamda tutulmalı. Fiziksel dosyalama sistemlerinde KVKK güvenlik gerekliliklerini karşılamak çok daha güç; bulut tabanlı büro yönetimi yazılımı bu alanda yapısal bir avantaj sağlıyor.

VERBİS kaydı: Kişisel veri işleyen veri sorumluları için VERBİS kaydı zorunlu. Büyük bürolar ve belirli eşiğin üzerindeki veri işleme kapasitesi olan küçük bürolar bu yükümlülüğü yerine getirmeden büyüme riski taşıyor.

Hukuk Bilgi Sistemi (HBS), büronun KVKK uyum sürecini destekleyen temel bir bileşen sunuyor: müvekkil iletişim kayıtlarının tamamını zaman damgalı biçimde arşivleyen, belge erişimini kullanıcı bazında yönetebilen ve müvekkil aydınlatma belgelerinin dijital ortamda saklanmasına olanak tanıyan bir altyapı. Bu kayıt sistemi, olası bir KVKK soruşturmasında büronun "gerekli teknik ve idari tedbirleri aldığını" somut belgelerle ispat etmesini mümkün kılıyor.

KVKK uyumu, hukuk bürosunun müvekkil güvenini korumanın ötesinde kendi hukuki ve mali güvenliğini de korumasının vazgeçilmez bir parçası. 125.000 ile 200.000 TL arasında değişen emsal cezalar, uyumsuzluğun yüksek maliyetini sayılarla ortaya koyuyor. 206.678 avukatlık rekabetçi piyasada müvekkil, kişisel verilerini teslim ettiği avukattan artık hesap sorabildiğini biliyor; KVKK uyumu bu bağlamda büro için hem yasal bir zorunluluk hem de güven inşasının somut bir aracı. Hukuk Bilgi Sistemi ile büro yönetimi altyapısını KVKK gerekliliklerine uyumlu biçimde yapılandırmak, hem müvekkili hem de büroyu koruyan en akıllı önlem.

Sıkça Sorulan Sorular

KVKK avukatları da kapsamına alıyor mu?

Evet. Avukatlar ve hukuk büroları, müvekkil verilerini işledikleri için KVKK kapsamında "veri sorumlusu" sayılıyor. Bu sıfat aydınlatma yükümlülüğü, veri güvenliği tedbirleri ve VERBİS kaydı gibi gereksinimleri beraberinde getiriyor.

Avukata kesilen 125.000 TL KVKK cezasının nedeni neydi?

Bir icra avukatı, müvekkili adına tahsilat sürecinde borçlunun ağabeyi ve iş arkadaşlarının telefon numaralarına borç bilgisi içeren SMS gönderdi. KVKK Kurulu, bu eylemi hukuka aykırı veri işleme olarak nitelendirerek 125.000 TL idari para cezası uyguladı.

2026 yılı KVKK ceza tavanı ne kadar?

2026 yılında KVKK idari para cezaları %25,49 artırıldı. Veri güvenliği ihlali için tavan 1.000.000 TL, aydınlatma ihlali için tavan 100.000 TL. VERBİS kayıt yükümlülüğü ihlali ise 20.000 ile 1.000.000 TL arasında ceza öngörüyor.

Hukuk bürosu KVKK uyumu için ne yapmalı?

Müvekkil aydınlatma metni hazırlamak, üçüncü kişi iletişiminde veri paylaşımını sınırlamak, dijital arşivde erişim kontrolü uygulamak ve gerekiyorsa VERBİS kaydı yaptırmak başlıca adımlar. Büro yönetimi yazılımı bu süreçlerin belgelenmesine ve sistematik yürütülmesine destek sağlıyor.

"Müvekkili adına hareket ediyorum" KVKK ihlalini geçerli kılar mı?

Hayır. KVKK Kurulu kararları, vekâlet ilişkisinin veri ihlalini meşrulaştırmadığını açıkça ortaya koyuyor. Avukat müvekkili adına hareket etse de müvekkil ile üçüncü kişilere ait verileri işlerken veri sorumlusu sıfatıyla KVKK yükümlülüklerini bizzat yerine getirmekle yükümlü.

Özel nitelikli kişisel veri içeren davalarda risk daha mı yüksek?

Evet. Sağlık verisi, cezai mahkumiyet bilgisi ve biyometrik veri gibi özel nitelikli kategoriler KVKK'da ayrı ve daha sıkı koruma altında. Bu verilerin hukuka aykırı işlenmesi, Kurul tarafından ağırlaştırıcı faktör olarak değerlendirilerek daha yüksek cezaya yol açabiliyor.