Avukatlara Kişisel Veri Operasyonu: Verileriniz Sorgulandıysa Ne Yapmalısınız?
İstanbul merkezli bir soruşturmada 39 hukuk bürosunda arama yapıldı, 31 avukat hakkında gözaltı kararı çıkarıldı. Soruşturmanın odağında "HukukBİS" ve "AsistBİS" adlı yasa dışı sorgu panelleri var: TC kimlik no, adres, aile, SGK, GSM ve tapu bilgisi gibi 11 kategoride kişisel veri, uzaktan erişim yazılımlarıyla abonelik karşılığında sorgulanmış. Bu yazıda operasyonun ne anlama geldiğini, hangi kanun maddelerinin devreye girdiğini ve kendi verinizin bu şekilde sorgulanıp sorgulanmadığını öğrenmek istiyorsanız hangi adımları izlemeniz gerektiğini anlatıyoruz.
Verileriniz izinsiz sorgulandıysa KVKK'ya başvurma ve suç duyurusunda bulunma hakkınız var
Yasal yol: Kişisel Verileri Koruma Kurulu'na şikâyet, Cumhuriyet savcılığına suç duyurusu ve gerekiyorsa hukuk mahkemesinde tazminat davasıdır.
Risk şurada: Bu tür "panel" sistemlerini bilerek kullanan, veri satın alan veya sorgu sonucunu üçüncü kişiyle paylaşan herkes -avukat olsun olmasın- KVKK ve Türk Ceza Kanunu'nun 135-136. maddeleri bakımından sorumlu olabilir.
En kritik iki adım: önce delilinizi ve tarih bilgisini kaydedin, sonra başvurunuzu yazılı olarak yapın. Sözlü şikâyet süre ve ispat bakımından zayıf kalır.
Operasyonda ne oldu?
İstanbul Cumhuriyet Başsavcılığı Bilişim Suçları Soruşturma Bürosu koordinasyonunda yürütülen bir soruşturma kapsamında 39 hukuk bürosunda arama yapıldı ve 31 avukat hakkında gözaltı kararı çıkarıldı. Soruşturmanın odağında, kullanıcılarına vatandaşların kimlik, adres, aile, SGK ve tapu bilgilerini basit bir arama kutusuyla sunan "HukukBİS" ve "AsistBİS" adlı sorgu sistemleri yer alıyor.
İddiaya göre bu sistemler, hukuk bürolarının bilgisayarlarına AnyDesk ve TeamViewer gibi uzaktan erişim programları kurularak yönetiliyor; kullanıcı hesapları ve güvenlik doğrulama kodları merkezi olarak dağıtılıyor, erişim ise abonelik/ücret karşılığında sağlanıyordu. Bu, sıradan bir veri sızıntısından farklı olarak organize ve ticari amaçlı bir yapıya işaret ediyor.
Yasa dışı "panel" nedir, nasıl çalışır?
Kamuoyunda "sorgu paneli" olarak bilinen bu sistemler, devlet kurumlarının veri tabanlarına (nüfus, SGK, tapu, GSM operatörleri vb.) yetkisiz biçimde erişim sağlayan yazılımlardır. Kullanıcı bir T.C. kimlik numarası veya isim girer; sistem karşılığında o kişinin adresini, ailesini, telefon kaydını veya taşınmaz bilgisini birkaç saniyede listeler.
Bu paneller genellikle üç bileşenden oluşur: (1) kurumsal veri tabanlarına sızan ya da içeriden bilgi sızdıran bir kaynak, (2) bu veriyi arama kutusu hâline getiren bir yazılım katmanı, (3) abonelik ya da sorgu başına ücretlendirilen bir satış/dağıtım ağı. Bu üçüncü katman, konuyu basit bir veri ihlalinden çıkarıp kişisel verilerin ticarileştirilmesi boyutuna taşır.
Kişisel verinin kamuya açık olması (ör. bir telefon rehberinde yer almak) o veriyi başkalarının serbestçe ticari amaçla işleyebileceği anlamına gelmez; 6698 sayılı Kanun'un 5. maddesi kişisel verinin ilgili kişinin açık rızası ya da kanunda sayılan istisnalardan biri olmadan işlenemeyeceğini düzenler.
| Sorgulama türü | Kim, hangi yetkiyle yapar | Hukuki durum |
|---|---|---|
| UYAP / e-Devlet üzerinden dosya sorgusu | Taraf veya vekil, kendi dosyası için sistem üzerinden | Yasal; yetki ve amaç sınırlı |
| Adli/idari makam talebi | Mahkeme, savcılık veya yetkili idare, usulüne uygun yazıyla | Yasal; kanuni dayanak var |
| Üçüncü taraf "panel" sorgusu | Abonelik ya da ücret karşılığında herkes | KVKK ve TCK kapsamında suç |
| Uzaktan erişimle (AnyDesk vb.) toplu sorgu | Bilinmeyen operatör, kurumsal yetki olmadan | En riskli düzey; ayrıca bilişim suçu |
Hangi suçlar oluşur? KVKK ve TCK 136
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 17. maddesi, kişisel verilere ilişkin suçlar bakımından Türk Ceza Kanunu'nun 135 ila 140. madde hükümlerinin uygulanacağını açıkça belirtir. Bu noktada iki madde öne çıkar:
TCK md. 135 - Kişisel verilerin kaydedilmesi: Hukuka aykırı olarak kişisel verileri kaydeden kimse bir yıldan üç yıla kadar hapis cezası ile cezalandırılır; verinin kişinin siyasi, felsefi görüşü, ırkı, sağlığı gibi hassas nitelikte olması hâlinde ceza artırılır.
TCK md. 136 - Verileri hukuka aykırı olarak verme veya ele geçirme: Kişisel verileri, hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi iki yıldan dört yıla kadar hapis cezası ile cezalandırılır. Bir "panel" üzerinden sorgu yapıp sonucu ekran görüntüsü, mesaj veya çıktı hâlinde başka birine iletmek de bu maddeyi doğrudan ilgilendirir.
Ayrıca sorgu sisteminin kurumsal veri tabanlarına yetkisiz erişimle beslendiği durumlarda TCK md. 243 (bilişim sistemine hukuka aykırı girme) ve ilgili hükümler de gündeme gelebilir. İdari boyutta ise KVKK'nın 18. maddesi uyarınca veri güvenliği ve aydınlatma yükümlülüklerini ihlal eden veri sorumlularına Kişisel Verileri Koruma Kurulu tarafından idari para cezası uygulanabilir.
- "Sadece sorguladım, paylaşmadım" savunması yeterli değildir. TCK 136 bakımından veriyi ele geçirmek başlı başına suç oluşturur; ayrıca paylaşmak cezayı ağırlaştırabilir.
- Abonelik ücreti ödemiş olmak sorumluluğu kaldırmaz. Sistemi bilerek ve düzenli kullanan kişi, hem kullanıcı hem de -delillere göre- suç ortağı sayılabilir.
- Kamuya açık bir bilgiyi (ör. sosyal medya profili) sorgulamakla, kimlik/adres/SGK gibi korunan veri tabanlarını sorgulamak aynı şey değildir; ikincisi çok daha ağır bir hukuki risk taşır.
- Sorgu sonucunu "delil" olarak bir davada kullanmaya çalışmak da ayrı bir tartışma doğurur: hukuka aykırı elde edilen veri, Anayasa'nın 38. maddesi uyarınca genellikle hükme esas alınamaz.
Avukatlar için meslek ve disiplin riski
Avukatların büyük çoğunluğu mesleğini KVKK'ya ve meslek kurallarına tam uyumlu biçimde icra etmektedir; bu operasyon münferit bir grup hakkındaki iddiaları konu almaktadır. Ancak konu, tüm büroların kendi veri işleme süreçlerini gözden geçirmesi için de bir hatırlatmadır. Bir avukatlık bürosunun böyle bir sisteme -bilerek veya bilmeyerek- abone olması hâlinde iki ayrı sorumluluk katmanı doğabilir: cezai sorumluluk (yukarıdaki TCK maddeleri) ve meslekî disiplin sorumluluğu (Avukatlık Kanunu ve ilgili baronun meslek kuralları uyarınca disiplin soruşturması, kınamadan meslekten çıkarmaya kadar giden yaptırımlar).
Vekâlet ilişkisi, avukata müvekkilinin dava dosyasıyla sınırlı bilgiye erişim hakkı verir; bu yetkiyi dosya dışı, ücretli bir sorgu sistemiyle genişletmek vekâlet amacını aşar ve ayrıca kişisel verilerin işlenmesinde ölçülülük ilkesine (KVKK md. 4) aykırılık oluşturur.
- Sorgulamayı yalnızca yetkili kanaldan yapın. UYAP, e-Devlet veya resmî yazışma dışında hiçbir üçüncü taraf sorgu sistemi kullanmayın.
- Vekâletle sınırlı kalın. Sorguladığınız veri, elinizdeki dosya ve vekâletnameyle doğrudan ilgili olmalıdır.
- VERBİS ve envanter yükümlülüğünüzü güncel tutun. Hangi veriyi, hangi amaçla, ne kadar sakladığınızı belgeleyin.
- Aydınlatma metni sunun. Müvekkilinize hangi verisinin hangi amaçla işlendiğini yazılı olarak bildirin.
- Uzaktan erişim yazılımlarını denetleyin. Ofis bilgisayarınızda tanımadığınız bir AnyDesk/TeamViewer oturumu varsa derhâl kaldırın ve şifrelerinizi değiştirin.
- Şüpheli teklifleri reddedin. "Her türlü kişiyi bulur, adresini veririz" diyen ücretli servisler büyük olasılıkla hukuka aykırıdır.
- Aldığınız veriyi amacı dışında saklamayın veya paylaşmayın. Dosya kapandığında saklama süresi sona eren veriyi imha edin.
- Şüpheli bir durumla karşılaşırsanız bildirin. Barolarına ve Kişisel Verileri Koruma Kurumuna bilgi vermek, hem kamuyu korur hem de kendi hukuki durumunuzu güçlendirir.
Verileriniz sorgulandı mı, nasıl anlarsınız?
Bu tür panellerin en rahatsız edici yanı, sorgulanan kişinin genellikle bundan hiç haberinin olmamasıdır. Kesin bir "sorgulandım mı" sorgusu yapan kamuya açık bir araç bulunmasa da, aşağıdaki belirtiler şüphenizi güçlendirebilir: tanımadığınız kişilerin adresinizi veya yakınlarınızın bilgilerini bilmesi, bir icra takibi ya da husumetli bir tarafın sizi normalde ulaşamayacağı hızda bulması, ya da doğrudan bir avukatlık bürosunun sürecinizle ilgisi olmayan bir bilgiyi öğrenmiş olması.
Şüpheniz varsa ilk adım, KVKK'nın 11. maddesinde düzenlenen "öğrenme hakkınızı" kullanmaktır: ilgili veri sorumlusuna (avukat, büro veya kurum) yazılı başvuruda bulunarak kişisel verilerinizin işlenip işlenmediğini, işlenmişse amacını ve kime aktarıldığını sorabilirsiniz.
KVKK'ya başvuru: öğrenme ve şikâyet hakkı
Kural olarak KVKK'nın 13. maddesi, Kurul'a şikâyetten önce ilgili veri sorumlusuna yazılı başvuru yapılmasını ve 30 gün içinde cevap beklenmesini öngörür. Ancak somut olayda veri, zaten hukuka aykırı yollarla ele geçirilmiş bir "panel" üzerinden sorgulanmışsa ve veri sorumlusunun kimliği/adresi belirsizse, doğrudan Kişisel Verileri Koruma Kurulu'na şikâyet ya da Cumhuriyet savcılığına suç duyurusunda bulunmak da mümkündür.
Kurul uygulamasında şikâyet süresi, ihlali öğrenmeden itibaren 30 gün ve her hâlde işlemden itibaren 6 ay ile sınırlıdır; bu nedenle şüphelendiğiniz anda harekete geçmek önemlidir.
Şikâyet ederseniz hangi kapılar çalınır?
| Başvuru yolu | Neyi hedefler | Olası sonuç |
|---|---|---|
| Veri sorumlusuna yazılı başvuru | Öğrenme hakkının kullanılması | Bilgi/belge verilmesi, veri işlemenin açıklanması |
| Kişisel Verileri Koruma Kurulu | Hukuka aykırı veri işleme şikâyeti | İdari para cezası, verilerin silinmesi/işlemenin durdurulması |
| Cumhuriyet başsavcılığı | TCK 135/136 kapsamında suç duyurusu | Soruşturma açılması, iddianame düzenlenmesi |
| İlgili baro | Avukatlık meslek kuralı ihlali | Disiplin soruşturması ve yaptırımı |
Şikâyetinizi güçlendirmek için verinizin nasıl ele geçirilmiş olabileceğine dair somut bilgiyi (hangi kişi/büro, hangi tarih, hangi veri), varsa yazışma veya mesaj kayıtlarını ve olayı öğrendiğiniz tarihi net biçimde belirtin. Belirsiz veya süresi geçmiş başvurular incelemeye alınmayabilir.
Suç duyurusu ve tazminat
Cezai süreçten bağımsız olarak, kişisel verilerinizin hukuka aykırı işlenmesi kişilik haklarına saldırı teşkil eder. Türk Medeni Kanunu ve Türk Borçlar Kanunu hükümleri uyarınca, uğradığınız maddi zararın tazmini yanında manevi tazminat talep edebilirsiniz. KVKK'nın 14. maddesi de Kurul kararlarının, ilgilinin genel hükümlere göre tazminat hakkını saklı tuttuğunu belirtir.
Tazminat davası açmadan önce olayı belgelemeniz -mümkünse noter tespiti veya somut yazışma kayıtlarıyla- ispat yükünü kolaylaştırır. Ceza soruşturmasındaki bulgular da (toplatılan sunucular, sorgu kayıtları) hukuk davanızda delil olarak kullanılabilir.
Başvuru ve şikâyet dilekçenizi UDF ile hazırlayın
KVKK'ya şikâyet, veri sorumlusuna başvuru veya Cumhuriyet başsavcılığına suç duyurusu dilekçeleriniz genellikle .udf formatında hazırlanır ya da UYAP üzerinden bu formatta iletilir; size gelen tebligat evrakı da çoğunlukla aynı uzantıyla gönderilir.
UDF dosyası açma
Savcılıktan veya mahkemeden gelen .udf ekini program kurmadan tarayıcıda açın, gerekirse PDF olarak kaydedin.
UDF dosyasını aç → Dilekçenizi yazınUDF dosyası oluşturma
KVKK başvuru, şikâyet veya suç duyurusu dilekçenizi tarayıcıda yazın, UYAP uyumlu .udf dosyası olarak indirin. Kurulum gerekmez.
UDF oluşturmaya başla →Adım adım: UDF dosyası nasıl açılır · UDF dosyası nasıl oluşturulur · avukata sor
Sık sorulan sorular
Verilerimin bu tür bir panelde sorgulanıp sorgulanmadığını nasıl öğrenebilirim?
Kamuya açık, kendiliğinden sorgulama imkânı veren resmî bir araç yoktur. Şüpheniz varsa ilgili kişi ya da kuruma KVKK'nın 11. maddesi kapsamında yazılı başvuru yaparak verinizin işlenip işlenmediğini sorabilir, soruşturma kapsamında elde edilen kayıtlara ilişkin bilgi için savcılığa başvurabilirsiniz.
KVKK'ya şikâyette bulunmadan önce ne yapmalıyım?
Elinizdeki somut bilgiyi (tarih, kişi/kurum, hangi veri) yazılı hâle getirin, mümkünse ilgili yazışma ve mesaj kayıtlarını saklayın. Veri sorumlusu belirliyse önce ona yazılı başvuru yapmanız, belirli değilse veya olay suç niteliğindeyse doğrudan Kurul'a veya savcılığa başvurmanız mümkündür.
Avukatım bu sistemlerden birini kullanmışsa ne olur?
Somut delillere göre hem cezai soruşturmaya hem de bağlı olduğu baro nezdinde disiplin soruşturmasına konu olabilir. Müvekkil olarak siz de vekâlet ilişkisini sona erdirme ve durumu barosuna bildirme hakkına sahipsiniz.
Şikâyet için bir süre sınırı var mı?
Kurul uygulamasında ihlali öğrenmeden itibaren 30 gün, her hâlde işlem tarihinden itibaren 6 ay içinde şikâyet edilmesi gerekir. Suç duyurusu ve tazminat davalarında ise ayrı zamanaşımı süreleri uygulanır; bu nedenle gecikmeden hareket etmek önemlidir.
Sadece "T.C. kimlik no ile sorgulama" yapmak bile suç mu?
Yetkisiz bir sistem üzerinden başka bir kişinin korunan kişisel verisini (adres, aile, SGK kaydı vb.) elde etmek, TCK'nın 136. maddesi kapsamında "ele geçirme" fiilini oluşturabilir. Kanuni yetkiniz veya ilgilinin açık rızası yoksa, sorguyu yalnızca yapmış olmak dahi risk taşır.
Barolara şikâyet ile KVKK şikâyeti aynı anda yapılabilir mi?
Evet. Baroya şikâyet meslekî disiplin sürecini, Kurul'a şikâyet idari süreci, savcılığa suç duyurusu ise cezai süreci başlatır. Bu üç yol birbirinden bağımsızdır ve aynı olay için birlikte kullanılabilir.
Özet
İstanbul'da 39 hukuk bürosuna yönelik operasyon ve 31 avukat hakkındaki gözaltı kararı, "HukukBİS" ve "AsistBİS" gibi yasa dışı sorgu panellerinin ne denli yaygınlaşabildiğini gösterdi. Bu sistemler üzerinden kimlik, adres, aile, SGK ve tapu gibi verilerin ticari amaçla sorgulanması, KVKK'nın 17. maddesi atfıyla Türk Ceza Kanunu'nun 135 ve 136. maddeleri kapsamında suç oluşturur; ayrıca avukatlar için ayrı bir meslekî disiplin riski doğurur. Verilerinizin bu şekilde sorgulanmış olabileceğinden şüpheleniyorsanız önce delilinizi kaydedin, ardından veri sorumlusuna, Kişisel Verileri Koruma Kurulu'na veya doğrudan Cumhuriyet savcılığına yazılı başvurunuzu yapın; süre sınırlarını kaçırmayın.
Bilgilendirme: Bu yazı genel hukuki bilgilendirme amacıyla hazırlanmıştır ve hukuki danışmanlık niteliği taşımaz. Anılan operasyon hakkındaki isnatlar henüz kesinleşmiş yargı kararına konu olmayıp soruşturma aşamasındadır; herkes suçu sabit oluncaya kadar masum sayılır. Somut olayınızda izlenecek yol, elinizdeki delillere ve olayın koşullarına göre değişebilir; başvuru veya şikâyetinizi hazırlamadan önce bir avukata danışmanızı öneririz.