律师事务所的GDPR合规性：客户数据和保密义务

入口

律师事务所是处理个人数据最为密集和敏感的专业机构之一。律师事务所会处理客户的身份信息、联系方式、地址、授权委托书、案件档案、执法文件、健康报告、银行记录、商业文件、家庭关系信息、刑事调查文件、公司记录、员工信息、证人证词，以及大量属于第三方的个人数据。因此，律师事务所的GDPR合规性评估应比一般公司的合规流程更为谨慎。.

法律职业建立在信任之上。客户常常将最机密的信息、商业秘密、家庭问题、犯罪记录、财务信息或与个人生活相关的敏感文件委托给律师。这种信任不仅受到职业道德的保护，也受到法律义务的约束。《律师法》第三十六条规定，律师不得泄露受托人委托或在履行法律职责过程中获悉的事项。该条还规定，律师就此类事项作证须经客户同意，但即使获得同意，律师也有权拒绝作证。.

目前，律师事务所同时受到两种不同的保护机制的约束。首先，律师负有《律师法》和职业规则规定的保密义务。其次，律师负有《个人数据保护法》（第6698号）规定的合法处理和保护个人数据的义务。这两种义务并非相互替代。律师的保密义务并不免除其在《个人数据保护法》下的义务；同样，遵守《个人数据保护法》也不会减轻其保护法律秘密的义务。

律师事务所会处理哪些个人数据？

律师事务所处理的个人数据涵盖范围广泛，具体取决于案件类型。离婚案件可能包括配偶的身份信息、地址、收入水平、子女信息、银行对账单、社交媒体通信记录以及与家庭生活相关的记录。劳动纠纷案件可能涉及工资单、社保记录、雇佣期、医疗报告、证人信息以及工作场所往来信函。刑事案件可能包括证人证词、犯罪记录、电话调查报告、监控录像、通话记录、警方报告以及受害者/嫌疑人信息。.

在商业诉讼和强制执行程序中，可能需要处理公司高管的身份信息、活期账户记录、银行对账单、合同、发票、支票和本票信息、商业账簿以及公司内部往来函件。在房地产和继承案件中，则需要用到产权证、人口登记摘录、继承证书、家庭关系、房地产信息和资产数据。.

这些数据中一部分属于普通个人数据，另一部分则属于特殊类别的个人数据。例如，健康报告、犯罪记录和安全措施、生物识别数据、工会会员身份、宗教信仰、政治观点、性生活以及类似信息均属于特殊类别的个人数据。个人数据保护机构（KVKK）指出，披露特殊类别的个人数据可能导致对个人的歧视或伤害，因此需要比其他个人数据更严格的保护。.

因此，律师事务所不仅处理客户的数据，还会处理对方当事人、证人、专家证人、公司员工、家庭成员、债务人、债权人以及案件相关第三方的个人数据。正因如此，GDPR合规不应仅仅局限于“客户信息文本”。.

律师事务所是数据控制者吗？

根据土耳其《个人数据保护法》（KVKK），数据控制者是指决定个人数据处理目的和方式的人。如果律师事务所在其专业活动范围内决定处理客户档案的目的、存储系统、共享对象、保存期限以及采取的安全措施，则该律师事务所通常充当数据控制者的角色。.

然而，理论上，在某些情况下，律师事务所也可能扮演数据处理者的角色。例如，如果律师事务所在大公司既定的系统和指令范围内提供有限的数据处理服务，则应单独评估该关系的具体性质。但是，在传统的律师-客户关系中，律师作为数据控制者的角色更为突出，因为他们是独立的专业人士，负责制定案件的法律策略、评估证据并进行诉讼或执行程序。.

如果律师事务所被认定为数据控制者，其义务包括告知义务、数据安全、回应数据主体请求、在发生数据泄露时通知董事会和数据主体、规范存储和销毁流程，以及采取必要的技术和管理措施。个人数据保护机构（KVKK）指出，数据控制者有义务采取必要的技术和管理措施，以防止非法处理和访问个人数据，并确保数据的保存。.

保密义务与个人数据保护法（KVKK）之间的关系

在法律行业，保密义务不仅限于客户明确声明需要保密的信息。律师有义务保护其在执业过程​​中获悉的所有客户不希望披露的信息。即使案件已结案、委托关系终止或律师费关系已结束，这项义务仍然有效。.

《个人数据保护法》（KVKK）在技术和制度层面都履行了保密义务。律师仅仅不向第三方披露案件内容是不够的。还必须确保案件文件不被公开，数字文件未经加密不得共享，办公室员工不拥有无限访问权限，前员工的系统访问权限被封禁，谨慎使用电子邮件和WhatsApp等即时通讯工具，对云系统进行监控，并在发生数据泄露时遵循正确的通知流程。.

换言之，虽然保密义务包含“不得披露信息”的义务，但《个人数据保护法》（KVKK）规定，此类信息 必须依法、安全、适度地处理，并接受监督 。对于律师事务所而言，最恰当的做法是将保密义务置于其《个人数据保护法》合规体系的核心位置。

如何编写客户信息通知？

律师事务所收集个人数据时必须告知个人。信息通知应包括数据控制者的身份、处理个人数据的目的、可能将数据传输给哪些对象以及传输目的、数据收集的方法和法律依据，以及数据主体根据《个人数据保护法》（KVKK）享有的权利。KVKK管理局指出，在任何处理个人数据的情况下，都必须履行告知义务；即使数据处理基于明确同意或法律规定的其他处理条件，该义务仍然有效。.

为律师事务所制定的隐私政策不应过于笼统和抽象。仅声明“您的个人数据将用于提供法律服务”可能不足以满足需求。该政策应更具体地阐明处理目的，例如提供法律咨询、处理诉讼和强制执行程序、准备合同和申请书、评估证据、与客户沟通、管理费用和会计流程、履行法律义务以及处理职业责任流程。.

此外，数据传输必须明确说明。律师事务所可以与法院、执法机构、调解机构、专家证人、公证处、土地登记处、人口登记处、执法部门、检察机关、税务机关、律师协会、UYAP系统、财务顾问、翻译人员、咨询顾问或货运/快递服务提供商共享个人数据。但是，每次传输必须限于案件所需。个人数据保护局2026年发布的公告也强调，当发生个人数据传输时，必须在披露文件中明确说明传输目的和接收方群体。.

是否总是需要明确同意？

律师事务所并非要求所有个人数据处理活动都必须获得明确同意。事实上，对每笔交易都获得明确同意往往并非正确的法律做法。这是因为，许多法律服务范围内的数据处理活动可能基于法律依据，例如订立或履行合同、履行法律义务、确立、行使或保护权利、法律明确规定或合法利益。.

例如，处理客户的身份和联系信息对于准备诉讼申请书、建立委托代理关系以及提供法律服务至关重要。在债务追讨案件中，提交银行对账单、合同或发票可能是为了确立、行使或保护权利。在刑事案件中，处理陈述或证据文件也可能是行使辩护权所必需的。.

相比之下，律师事务所将客户数据用于新闻简报、广告、活动公告、社交媒体帖子、客户评价或成功案例等用途则需区别对待。如果将客户的姓名、案件、结果、照片或商号用于宣传目的，则必须综合考虑保密义务、广告禁令以及《个人数据保护法》。即使已获得客户的明确同意，也应从职业道德的角度进行单独评估。.

如果需要获得明确同意，则信息文本和明确同意文本必须分别准备。《关于告知义务的公告》规定，如果个人数据处理活动基于明确同意，则告知义务和获得明确同意的过程必须分开进行。.

特殊类别的个人数据和案件档案

律师事务所经常处理敏感的个人数据。例如，工伤事故案件中的伤残报告、刑事案件中的犯罪记录或定罪信息、离婚案件中的心理报告、卫生法案件中的医疗记录、劳动法案件中的工会会员信息、移民案件中的身份和健康数据，以及继承案件中的家庭和祖先信息。.

根据《个人数据保护法》（KVKK）第6条，特殊类别个人数据的处理须遵守更为严格的规定。现行法规规定，特殊类别个人数据的处理仅限于以下情况：获得数据主体的明确同意；法律有明确规定；数据主体希望公开数据；或为确立、行使或保护某项权利所必需。KVKK管理局对特殊类别个人数据的处理情形作出了详细解释。.

对于律师事务所而言，“为确立、行使或保护某项权利所必需”可能是一项重要的法律依据。例如，在工伤赔偿案件中，如果没有医疗报告，损害可能无法得到证实。在刑事案件中，法律文件对于行使辩护权至关重要。在家庭法案件中，心理评估报告或社会调查报告可能对监护权的确定至关重要。然而，这些数据的处理应仅限于案件所需，且不得超出必要范围。.

敏感数据的安全至关重要。此类文件不应保存在办公室所有人都能访问的文件夹中，不应随意通过未加密的电子邮件发送，不应在 WhatsApp 群组中随意共享，并且在关闭文件时应删除不必要的副本。.

UYAP、案件档案和数字档案安全

在律师事务所中，大量个人数据通过诸如UYAP（国家司法网络）、电子通知、电子签名、KEP（注册电子邮件）、数字档案、云存储、办公软件和电子邮件账户等系统进行处理。这些系统为法律实践提供了便利；然而，它们也带来了严重的数据安全风险。.

UYAP密码、电子签名设备、移动签名信息、KEP账户和办公邮箱地址仅限授权人员使用。实习生、秘书或办公室工作人员如需查阅文件，其访问权限应仅限于相关任务，并受到监控。离职员工对电子邮件、云服务、UYAP集成、文件跟踪软件和办公电脑的访问权限应立即终止。.

数字档案应采用基于文件夹的权限控制。敏感文件，例如刑事案件、家庭法律档案、医疗报告、公司商业机密和个人银行对账单等，应仅限相关律师和必要人员访问。将文件存储在“所有人均可访问的公共文件夹”中，从数据安全角度来看存在风险。.

备份固然重要。然而，至关重要的是要检查备份文件的存储位置、是否加密、访问权限以及是否存储在国外服务器上。如果使用云存储服务，还应评估该服务提供商的数据安全和国际数据传输方面的保障措施。.

电子邮件、WhatsApp 和客户沟通

在法律实践中，与客户的沟通通常通过WhatsApp、电子邮件和电话进行。虽然这些沟通渠道便捷实用，但在数据安全方面必须谨慎使用。当客户的身份证件、护照照片、房产证、医疗报告、银行对账单、刑事案件档案文件或私人信件等信息通过WhatsApp发送时，这些数据会面临诸多风险，例如设备安全问题、备份问题、屏幕截图问题、误发给其他人以及第三方平台访问问题。.

律师事务所应尽可能使用公司邮箱地址、安全的文件共享系统、加密连接和限时访问链接。发送机密或高度敏感文件时，文件应加密，解密密钥应通过独立渠道发送，并进行验证以确保收件人身份正确。客户文件不应分散保存在个人手机中；应根据事务所政策将其转移到集中、安全且可审计的档案库中。.

对于律师事务所而言，向“错误收件人”发送电子邮件的风险非常严重。将诉状、医疗报告或刑事案件档案发送给错误的客户可能导致违反保密义务和《通用数据保护条例》(GDPR) 的相关规定。因此，在发送邮件之前，必须进行收件人核实、附件核实和主题核实。.

律师事务所员工、实习生和外部服务提供商

GDPR合规并非仅仅取决于律师的行为。秘书、实习律师、辅助人员、会计、IT顾问、翻译、专家、货运/快递人员、档案服务提供商，甚至清洁人员都可能接触到个人数据。因此，必须建立一套内部授权和保密制度。.

应要求办公室员工和实习生签署保密协议，明确其对特定文件的访问权限，并对其进行个人数据和保密方面的培训。与翻译人员、顾问、外部律师、财务顾问或技术专家等第三方合作时，应以书面形式记录数据共享的目的及其保密义务。.

当个人数据由数据控制者代表其处理时，数据控制者可能与其他方共同承担采取必要措施的责任。个人数据保护机构（KVKK）也指出，数据控制者与代表其处理数据的各方共同承担采取必要措施的责任。.

律师有VERBİS义务吗？

关于律师事务所，最常被问到的问题之一是VERBİS注册。个人数据保护委员会于2020年4月22日发布的编号为2020/315的决定指出，根据《律师法》第1136号执业的律师属于数据控制者，无需在数据控制者登记处注册。.

然而，这一点至关重要：免除VERBİS注册义务并不意味着免除《个人数据保护法》（KVKK）的全部规定。即使律师事务所未在VERBİS注册，其在信息告知、数据安全、合法处理个人数据、回应数据主体请求、数据泄露通知以及规范存储和销毁流程等方面的义务仍然有效。.

因此，“律师无需遵守VERBİS规定，因此无需提交KVKK文本”的说法是错误的。律师事务所必须确保其作为数据控制者的活动符合KVKK的规定；他们只需单独评估自身是否符合VERBİS注册的豁免条件即可。.

客户文件的存储和销毁

律师事务所通常会将文件保存多年。这其中有其合理原因：职业责任、诉讼时效、可能出现的律师-客户关系纠纷、费用索赔、案件档案的重新开启、结案后处理的需要，以及存档义务等等，这些都是文件需要保存特定期限的原因。.

然而，这并不意味着所有客户档案都可以无限期且不受监管地保存。《个人数据保护法》（KVKK）的基本原则之一是，个人数据的保存期限应仅限于实现其处理目的所必需的期限。因此，律师事务所必须根据档案类型确定保存期限。案件档案、执行档案、咨询档案、合同草案、授权委托书、会计凭证、身份证复印件、健康报告和临时工作证明等档案的保存期限并不相同。.

纸质文件应保存在上锁的档案柜中，以防止未经授权的访问。电子文件应存储在加密的、基于备份的系统中，并限制访问权限。过期和不必要的副本、草稿、重复扫描件、从 WhatsApp 下载的文档以及个人设备上残留的文件都应定期清理。.

律师事务所如何管理数据主体申请？

案件中的委托人、对方当事人、证人或第三方均可根据《个人数据保护法》（KVKK）提出数据主体申请。这些人员可能希望了解其哪些数据正在被处理、要求更正不准确的数据、查询其数据已被传输至哪些对象，或在符合条件的情况下要求删除数据。.

律师事务所必须认真评估此类申请。个人数据保护申请不应成为获取其他客户秘密或诉讼策略的途径。例如，当对方当事人申请询问“贵所存有关于我的哪些文件？”时，必须综合考虑律师-客户保密原则、辩护权、司法程序以及权利的确立/使用/保护等问题。.

因此，律师事务所应制定专门的程序来处理数据主体提出的申请。必须核实申请人的身份，确定申请范围，考虑案件当事人及保密义务，并及时作出答复，且答复必须具有法律依据。个人数据保护机构（KVKK）规定，数据控制者必须尽快完成数据主体的申请，最迟不得超过三十天。.

如果发生数据泄露，律师事务所应该怎么做？

律师事务所的数据泄露可能以多种方式发生，包括计算机被盗、电子邮件帐户被劫持、未经授权使用 UYAP（国家司法网络）或电子签名信息、将客户文件发送给错误的人、WhatsApp 备份中的数据泄露、云文件夹变为可公开访问、前雇员继续访问文件或物理文件丢失。.

根据土耳其《个人数据保护法》（KVKK），如果他人通过非法手段获取了已处理的个人数据，数据控制者有义务尽快通知数据主体和相关机构。数据泄露通知对律师事务所而言尤为重要，因为泄露的数据不仅可能包含个人数据，还可能包含机密信息和诉讼策略。.

因此，一旦怀疑发生数据泄露，律师事务所应迅速采取以下步骤：确定泄露是否仍在进行中、阻止访问、识别受影响的文件、确定哪些个人数据已被泄露、进行客户保密风险分析、保护证据，并评估是否需要通知董事会和相关方。即使泄露事件看似轻微，其影响也可能十分重大，尤其涉及刑事案件、医疗报告、商业秘密或家庭法律档案等敏感内容时。.

律师事务所最常犯的GDPR错误

律师事务所最常犯的错误是认为《个人数据保护法》（KVKK）只适用于大型公司。然而，即使是小型律师事务所也可能处理非常敏感的客户数据。即使规模较小，数据敏感性也可能很高。.

第二个误区是将VERBİS豁免解读为豁免《个人数据保护法》（KVKK）。律师或许可以豁免VERBİS注册，但他们在信息告知、数据安全和合法处理方面的义务仍然有效。.

第三个错误是将客户文件分散存储在 WhatsApp、个人邮箱和个人电脑等不同位置。这会增加数据泄露的风险。.

第四个错误是给予办公室员工和实习生无限制的文件访问权限。每位员工应该只能访问与其工作职责相关的文件。.

第五个错误是将纸质文件暴露在外。将客户文件放在候诊室、会议室、打印机附近或秘书办公桌上，都会对保密性和遵守GDPR法规构成风险。.

第六个错误是没有撤销离职员工对电子邮件、云服务、文件管理软件和办公电脑的访问权限。离职员工的访问权限应在当天终止。.

第七个错误是在分享客户评价或案件结果时，没有同时考虑明确同意、保密和禁止广告宣传等问题。.

第八个错误是缺乏文件保留和销毁政策。并非所有文件都应该无限期保存；不必要的副本应该安全销毁。.

律师事务所 GDPR 合规性检查清单

为遵守土耳其《个人数据保护法》（KVKK），律师事务所必须首先明确其处理哪些个人数据。客户、对方当事人、证人、员工、实习生、顾问、供应商和访客的数据必须分别进行区分。.

其次，应向客户和数据主体准备信息通知。这些通知应明确说明数据处理的目的、法律依据、数据传输的接收群体以及可用的补救途径。.

第三，应制定内部办公室保密政策。律师、实习生和员工应清楚自己可以访问哪些文件；所有员工都应承诺遵守保密原则。.

第四，必须落实数字安全措施。强密码、双因素身份验证、定期备份、加密磁盘、授权矩阵、防病毒软件、安全云服务、访问日志以及删除已注销用户等措施都不可忽视。.

第五，必须确保实体档案的安全。文件应存放在上锁的柜子中，待销毁的文件不应随意丢入垃圾桶；应采用安全的处置方法。.

第六，应制定数据泄露应急预案。预案应预先明确在诸如邮件发送错误、设备丢失、账户被盗或文件丢失等情况下，由谁负责处理。.

第七，应与外部服务提供商签订包含保密和数据安全条款的合同。应明确规定与翻译人员、财务顾问、IT专家、档案管理公司、软件供应商和咨询顾问的数据安全事宜。.

结论

对于律师事务所而言，遵守《个人数据保护法》（KVKK）不仅仅是遵守法律条文；它相当于数字时代对信任和保密义务的履行，而信任和保密正是律师职业的精髓所在。客户将最敏感的个人信息、家庭秘密、商业文件、犯罪记录、医疗报告或资产记录等托付给律师。保护这些信息既源于《律师法》规定的保密义务，也源于《个人数据保护法》规定的数据安全义务。.

《律师法》第36条禁止律师披露其在执业过程​​中获悉的信息。而《个人数据保护法》（KVKK）则对律师事务所就此类信息的收集方式、处理目的、共享对象、存储期限以及保护措施等方面规定了具体义务。.

因此，律师事务所应准备客户信息通知、单独制定需要明确同意的流程、更严格地保护敏感个人数据、确保国家司法网络 (UYAP) 和数字档案的安全、谨慎使用电子邮件和 WhatsApp 分享信息、为办公室员工和实习生制定保密程序、确定文件保留和销毁期限，并建立在发生数据泄露时能够迅速采取行动的系统。.

总之，遵守《个人数据保护法》（KVKK）的律师事务所不仅能降低行政罚款的风险，还能为客户提供值得信赖、符合道德规范、符合公司原则且可持续的法律服务。法律实践中的保密性不应仅仅停留在口头上的职业原则，而必须通过技术、行政和法律措施切实落实。.