Avukatlık Bürosunda Rol ve Yetki: Sekreter ve Stajyer Neyi Görmeli?

Avukatlık bürosunda sekreter ve stajyer, işlerini yapmak için gereken bilgiyi görmeli, fazlasını görmemelidir. Bu, bilgi güvenliğinde "en az yetki ilkesi" olarak bilinir ve 6698 sayılı KVKK m.12'nin veri sorumlusuna yüklediği teknik ve idari tedbir yükümlülüğünün pratik karşılığıdır. Somut olarak: mali bilgiler yönetimle sınırlı tutulmalı, dosya erişimi işe göre verilmeli ve bürodan ayrılan çalışanın erişimi aynı gün kapatılmalıdır.

Bu rehberde rollerin neden ayrılması gerektiğini, hangi rolün neyi görmesinin makul olduğunu, KVKK açısından nelere dikkat edilmesi gerektiğini ve erişimin açılıp kapatılmasına dair bir kontrol listesini bulacaksınız.

En az yetki ilkesi nedir ve büroya nasıl uygulanır?

En az yetki ilkesi, her kişinin yalnızca görevini yerine getirmek için gereken verilere ve işlemlere erişebilmesi demektir. Erişim varsayılan olarak kapalıdır ve ihtiyaç doğdukça açılır; tersi değil.

Bir hukuk bürosunda bu ilkenin önemi, tutulan verinin niteliğinden gelir. Dava dosyalarında kimlik numaraları, sağlık raporları, ceza kayıtları, aile içi uyuşmazlık ayrıntıları ve ticari sırlar bulunur. Bu verilerin bir kısmı KVKK m.6 anlamında özel nitelikli kişisel veridir. Herkesin her dosyayı görebildiği bir düzende, tek bir hatalı paylaşım veya ele geçirilmiş bir hesap tüm büronun verisini açığa çıkarır.

İlkenin üç pratik sonucu

1. Rol bazlı erişim: Yetkiler kişiye tek tek değil, role göre tanımlanır.
2. İşe bağlı erişim: Bir kişiye belirli bir dosyada görev verildiğinde o dosyaya erişimi açılır.
3. Zamanla sınırlı erişim: Görev veya çalışma ilişkisi bittiğinde erişim kapanır.

KVKK m.12 büroya hangi yükümlülükleri getirir?

KVKK m.12, veri sorumlusunu kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin eden her türlü teknik ve idari tedbiri almakla yükümlü kılar. Müvekkillerinin verisini işleyen avukat ve büro, bu verilerin veri sorumlusudur.

Aynı madde, verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusunun bu durumu en kısa sürede ilgilisine ve Kişisel Verileri Koruma Kurulu'na bildirmesini öngörür. Kurul, bu bildirimin ihlalin öğrenilmesinden itibaren en geç 72 saat içinde yapılmasını kararlaştırmıştır.

İdari tedbir olarak rol ve yetki

Kurum'un yayımladığı veri güvenliği rehberinde yetki matrisi, erişim kayıtları ve görev değişikliği ile işten ayrılmada yetkilerin kaldırılması, alınması önerilen tedbirler arasında yer alır. Bu nedenle rol ve yetki düzeni yalnızca bir verimlilik tercihi değil, KVKK uyumunun bir parçasıdır.

Avukatlık mesleği açısından bir de sır saklama yükümlülüğü vardır. 1136 sayılı Avukatlık Kanunu m.36, avukatın kendisine tevdi edilen veya mesleği sebebiyle öğrendiği hususları açığa vurmasını yasaklar. Büroda çalışan personelin bu bilgilere gereğinden fazla erişmesi, sırrın korunmasını da zorlaştırır.

Hangi rol neyi görmeli?

Hangi rolün neyi görmesi gerektiği, rolün işiyle doğrudan ilgili bilgiyle sınırlanmalıdır. Aşağıdaki tablo tipik bir büro için makul bir başlangıç noktasıdır; büronuzun yapısına göre uyarlanmalıdır.

Bilgi türü	Yönetici	Avukat	Sekreter	Asistan / stajyer
Kendine atanan dosyalar	Evet	Evet	Evet	Evet
Büronun tüm dosyaları	Evet	Büro politikasına göre	Büro politikasına göre	Hayır, görevle sınırlı
Duruşma takvimi	Evet	Evet	Evet	İlgili dosyalarda
Tebligatlar	Evet	Evet	Evet	İlgili dosyalarda
Gelir-gider, ücret, tahsilat	Evet	Hayır	Hayır	Hayır
Ekip ve rol yönetimi	Evet	Hayır	Hayır	Hayır

Sekreter neyi görmeli?

Sekreterin işi genellikle evrak akışı, tebligat kontrolü, randevu ve takvim düzenidir. Bu nedenle takvim, tebligat listesi ve dosya kapak bilgilerine erişimi gerekir. Dosya içeriğindeki hassas belgelerin tamamına ve büronun mali verilerine erişimi ise çoğu durumda gerekli değildir.

Stajyer neyi görmeli?

Stajyer, kendisine görev verilen dosyalarda çalışır. Araştırma, ön inceleme ve taslak hazırlığı için o dosyanın belgelerini görmesi gerekir; büronun tüm dosyalarına toplu erişimi ise gereksizdir. Staj süresi sınırlı olduğu için erişimin bitişi baştan planlanmalıdır.

Mali bilgiler neden ayrı tutulmalı?

Mali bilgiler ayrı tutulmalıdır, çünkü ücret sözleşmeleri, tahsilatlar ve büro gelir-gideri hem müvekkil açısından hem büro açısından hassas bilgilerdir ve işi yürütmek için çoğu çalışanın bunlara ihtiyacı yoktur. Bir avukatın dosyadaki masrafı bilmesi gerekebilir; büronun toplam gelirini veya meslektaşının ücret sözleşmesini görmesi gerekmez.

Av. Asistan, UYAP ve UETS verisini tarayıcı eklentisiyle otomatik aktaran, Türk avukatlar için yapay zekâ destekli büro yönetim uygulamasıdır. Uygulamada roller yönetici, avukat, sekreter ve asistan olarak tanımlıdır ve mali bilgiler (gelir-gider) yalnız yönetici rolüne açıktır; diğer roller göremez. Mali takipte avukatlık ücreti ile dosya masrafı ayrı kalemler olarak tutulur, UYAP entegrasyonu ise icra tahsilat/reddiyat ile harç ve masraf ödemelerini aktarır. Ücret ve masraf ayrımını avukatlık ücreti ve masraf takibi yazımızda ayrıntılı ele aldık.

Dosya erişimi göreve nasıl bağlanır?

Dosya erişimi göreve bağlandığında, bir kişi yalnızca kendisine atanan işin dosyasını görür; görev bittiğinde erişimin gerekçesi de ortadan kalkar. Bu yaklaşım, "herkes her şeyi görsün" ile "her dosya için tek tek izin verelim" arasında yönetilebilir bir orta yoldur.

Av. Asistan'da bir görevi bir veya birden fazla kişiye atadığınızda, atanan kişi ilgili dosyayı görür. Bu sayede stajyere bir araştırma görevi verdiğinizde, ona büronun tüm dosyalarını açmadan yalnızca o dosyada çalışma imkânı tanırsınız. Görev atama ve devir düzenini hukuk bürosunda görev dağılımı yazımızda anlattık.

Yapay zekâ kullanımında erişim

Yapay zekâ araçları da bir erişim kanalıdır. Av. Asistan yapay zekâ asistanı ilk kullanımda yurt dışı aktarım bilgilendirmesiyle açık onay ister; onay yoksa istek reddedilir. Ceza dosyalarında yapay zekâ sunucu tarafında kapalıdır, tebligat ve ekleri hiçbir koşulda yapay zekâya gitmez ve dosya bazında "yapay zekâya gönderme" işareti konabilir. Bu konuyu avukatlar için yapay zekâ ve KVKK ile müvekkil verisi maskeleme yazılarımızda ayrıntılı anlattık.

Bürodan ayrılan çalışanın erişimi nasıl kapatılır?

Bürodan ayrılan çalışanın erişimi, son iş gününde ve görevleri devredildikten hemen sonra, tüm sistemlerde birlikte kapatılmalıdır. Erişimin açık kalması, KVKK m.12 bakımından alınması gereken idari tedbirin eksik kalması anlamına gelir.

Ayrılış kontrol listesi

1. Görev devri: Açık görevler devir notuyla yeni sorumlulara atanır.
2. Büro yazılımı: Kullanıcının büro üyeliği kaldırılır veya hesabı devre dışı bırakılır.
3. E-posta ve paylaşımlı klasörler: Büro e-postası, bulut klasörleri ve ortak dosya paylaşımlarındaki erişim kapatılır.
4. Ortak şifreler: Çalışanın bildiği ortak parolalar (ör. bir ortak hesap) değiştirilir.
5. Cihazlar: Büroya ait bilgisayar, telefon ve e-imza dışındaki donanım teslim alınır; kişisel cihazlardaki büro uygulamalarından çıkış yapılır.
6. Kayıt: Hangi erişimin ne zaman kapatıldığı yazılı olarak not edilir.

E-imza ve mobil imza kişiye özeldir ve büroya ait değildir; ancak çalışanın büro adına UYAP veya UETS işlemleri yaptığı bir düzen varsa, bu işlemlerin ayrılıştan sonra kimin hesabıyla sürdürüleceği önceden planlanmalıdır.

Görev değişikliğinde de gözden geçirin

Erişim yalnızca ayrılışta değil, rol değişikliğinde de gözden geçirilmelidir. Stajyerlikten avukatlığa geçen bir kişinin yetkileri genişleyebilir; mali işlerden ayrılan bir kişinin mali erişimi ise kaldırılmalıdır.

Yetkiler ne sıklıkla gözden geçirilmeli?

Yetkiler, en az üç ayda bir ve her personel değişikliğinde gözden geçirilmelidir. Zamanla verilen tek seferlik erişimler kalıcı hale gelir; düzenli gözden geçirme bu birikimi temizler.

• Büro üyesi listesi güncel mi, ayrılan biri hâlâ listede mi?
• Her kişinin rolü, gerçekte yaptığı işle uyumlu mu?
• Mali bilgilere erişen kişiler yalnız yönetim mi?
• Paylaşılan parola veya ortak hesap kullanılıyor mu?
• Mobil cihazlarda ekran kilidi ve uygulama çıkışı düzenli mi?

Bu gözden geçirme, büronun genel bilgi güvenliği düzeninin bir parçasıdır. Parola, cihaz ve oltalama gibi diğer başlıkları hukuk bürosu siber güvenlik yazımızda ele aldık. Bulut ve fiziki arşiv arasındaki güvenlik farklarına ise bulut depolama ile fiziksel arşiv karşılaştırmamızda değindik.

Büro için yetki matrisi nasıl hazırlanır?

Yetki matrisi, büroda hangi rolün hangi veriye hangi düzeyde erişebileceğini gösteren basit bir tablodur. Hazırlaması birkaç saat sürer ve hem işe yeni başlayanların eğitiminde hem de olası bir veri ihlali incelemesinde başvuru belgesi olur.

1. Veri türlerini listeleyin: Dava dosyaları, müvekkil kartları, tebligatlar, duruşma takvimi, mali kayıtlar, ücret sözleşmeleri, personel bilgileri.
2. Rolleri tanımlayın: Büronuzda fiilen var olan rolleri yazın; kişi adı değil rol adı kullanın.
3. Erişim düzeyini belirleyin: Her hücreye "görür", "düzenler", "göremez" veya "yalnız atandığı dosyada" yazın.
4. Gerekçeyi not edin: Bir rolün bir veriye neden eriştiğini tek cümleyle açıklayın; gerekçe yazılamıyorsa erişim muhtemelen gereksizdir.
5. Yazılımla eşleştirin: Kullandığınız büro yazılımının rol yapısının matrisle uyuştuğunu kontrol edin; uyuşmayan noktaları idari kuralla kapatın.
6. Onaylayın ve paylaşın: Matris büro yöneticisince onaylanır ve çalışanlara duyurulur.

Yazılımın kapsamadığı alanlar

Büro yazılımı rol ayrımını kendi içinde uygular; ama e-posta kutuları, paylaşımlı klasörler, yazıcıdaki taranmış belgeler ve masadaki fiziki dosyalar onun dışındadır. Yetki matrisini hazırlarken bu kanalları da hesaba katın. Örneğin mali bilgiler yazılımda yalnız yönetime açıksa, aynı bilgilerin ortak bir klasördeki tabloda herkese açık durması bu ayrımı anlamsız kılar.

Yeni çalışanın ilk günü

Yeni bir çalışan başladığında ona önce rolüne uygun erişim tanımlanır, ardından matris ve büronun gizlilik kuralları anlatılır. Sır saklama yükümlülüğünü ve kişisel veri işleme kurallarını içeren yazılı bir taahhüt alınması da yaygın bir uygulamadır. Ek erişim gerektiğinde bu talep, gerekçesiyle birlikte yöneticiye iletilir ve kayda geçirilir. Ek erişim geçici bir işe bağlıysa, işin bitiş tarihi de aynı kayda yazılır ve o tarihte erişim yeniden daraltılır. Bu küçük disiplin, yıllar içinde biriken gereksiz yetkilerin önüne geçer.

Ayrıca okuyun: Stajyer Avukatlar İçin Büro, UYAP ve Dosya Takibi Rehberi, Hukuk Bürosunda Veri Yedekleme: 3-2-1 Kuralı ve Uygulama

Sık Sorulan Sorular

Sekreterin büronun mali bilgilerini görmesi gerekir mi?

Çoğu durumda hayır. Sekreterin işi evrak, takvim ve tebligat düzenidir. Av. Asistan'da gelir-gider bilgileri yalnız yönetici rolüne açıktır; sekreter, avukat ve asistan rolleri bu bilgileri göremez.

Stajyer büronun bütün dosyalarına erişmeli mi?

En az yetki ilkesine göre hayır. Stajyer kendisine görev verilen dosyalarda çalışmalıdır. Av. Asistan'da göreve atanan kişi ilgili dosyayı görür.

KVKK rol ve yetki düzenini açıkça zorunlu kılıyor mu?

KVKK m.12 belirli bir yazılım veya rol yapısı öngörmez; uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirleri almayı zorunlu kılar. Kurum rehberi yetki matrisi ve işten ayrılanın yetkilerinin kaldırılmasını önerilen tedbirler arasında sayar.

Ayrılan çalışanın erişimi ne zaman kapatılmalı?

Görevleri devredildikten sonra, en geç son iş gününde ve tüm sistemlerde birlikte kapatılmalıdır.

Veri ihlali olursa ne yapılmalı?

KVKK m.12 uyarınca ihlal en kısa sürede ilgililere ve Kurul'a bildirilmelidir; Kurul bu süreyi 72 saat olarak belirlemiştir. İhlalin kapsamını belirlemek için kimin neye eriştiğini bilmek, iyi kurulmuş bir rol düzeninin önemli faydasıdır.