Kilitlenme olmadan hukuk bürosu yazılımını değiştirmek: AB Veri Yasası uyarınca haklarınız

Birçok hukuk bürosunun aşina olduğu bir senaryo: Yazılım artık işlevini yerine getirmiyor – muhasebe ile entegrasyon yok, müvekkil portalı sanki başka bir on yıldan kalma gibi görünüyor, destek ekibi günler yerine haftalar sonra yanıt veriyor. Değişim isteği var, ancak sonra engeller ortaya çıkıyor: on iki aylık otomatik sözleşme uzatımı, binlerce yapılandırılmamış PDF dosyasından oluşan bir “ihracat”, dört haneli rakamlara ulaşan veri taşıma teklifi. İşte tam da bu şekilde müşterileri bağlama durumu – yani “lock-in” – yıllardır sağlayıcı değişikliğine karşı en güçlü argüman olmuştur. 12 Eylül 2025 tarihinden itibaren buna karşı yasal bir denge unsuru devreye girdi: AB Veri Yasası (EU Data Act), veri işleme hizmetleri arasında geçişin nasıl gerçekleşmesi gerektiğini belirliyor – ve bulut tabanlı hukuk bürosu yazılımları genellikle tam da bu kapsamda yer alıyor. Ayrıca 30 Mayıs 2026 tarihinden itibaren Federal Ağ Ajansı, Almanya’da bu düzenlemeye uyumu denetlemektedir. Bu yazı, hukuk bürolarının artık hangi haklara sahip olduğunu, sınırların nerede olduğunu ve geçişin pratikte nasıl gerçekleştirilebileceğini açıklamaktadır. Bu yazı, somut sözleşmenin bir avukat tarafından incelenmesinin yerini almaz, ancak karar için sağlam bir çalışma temeli sunar.

Geçiş Süreci Neden Şimdiye Kadar Bu Kadar Sık Başarısız Oldu?

Üç mekanizma, hukuk bürolarını yıllardır sağlayıcılarına bağlamıştır. Birincisi, sözleşme teknikleri: uzun asgari süreler, otomatik uzatmalar, yılda bir kez kaçırılabilecek fesih süreleri. İkincisi, veri teknolojisi: Kendi dosyalarınız özel formatlarda saklanıyor ve sağlayıcının dışa aktarım olarak sunduğu veriler, başka hiçbir sistemde anlamlı bir şekilde işlenemiyor. Üçüncüsü, çıkıştaki fiyat etiketi: Verilerin dışa aktarımı, dönüştürülmesi veya sadece paylaşılması için ücretler. Sonuç, rasyonel bir durgunluktu – memnun oldukları için kalmıyorlar, kalmanın ayrılmaktan daha pahalıya mal olduğu için kalıyorlar.

Yasama organı bu modeli fark etmiştir. Data Act (2023/2854 sayılı AB Tüzüğü), VI. Bölümü ile bulut hizmetlerindeki kilitlenme etkilerini ortadan kaldırmayı ve geçişi teknik, sözleşmesel ve mali açıdan kolaylaştırmayı açıkça hedeflemektedir.

Geçiş haklarının hangi sistemler için geçerli olduğu

Kapsamda yer alanlar “veri işleme hizmetleri”dir – Veri Kanunu’nun 2. maddesinin 8. fıkrasındaki tanıma göre, bunlar, yapılandırılabilir, ölçeklenebilir ve esnek bilgi işlem kaynaklarından oluşan ortak bir havuza isteğe bağlı olarak erişim sağlayan dijital hizmetlerdir. Diğer bir deyişle: pratikte tüm bulut modelleri, yani Hizmet Olarak Yazılım (SaaS), Hizmet Olarak Platform (PaaS) ve Hizmet Olarak Altyapı (IaaS). Bulut tabanlı hukuk bürosu yazılımları, web tabanlı belge yönetimi, barındırılan e-posta çözümleri: AB’de bu tür bir hizmeti kullananlar, sağlayıcının merkezi nerede olursa olsun, geçiş hükümlerine başvurabilirler.

İki kısıtlama önemlidir. Kendi sunucu odasında çalışan klasik yerinde lisanslı yazılımlar, Yönetmelik anlamında bir veri işleme hizmeti değildir; bu durumda, hizmetten ayrılma durumunda ne olacağı yalnızca sözleşmeyle belirlenir. Ayrıca, sağlayıcı değiştirme hükümleri, yeni sağlayıcının “aynı hizmet türünü” sunmasını gerektirir – yani aynı ana amaca, aynı ana işlevlere ve aynı hizmet modeline sahip bir hizmet (Madde 2, No. 9). Ayrıca, tek bir müşteri için özel olarak hazırlanmış hizmetler ve deneme sürümleri kısmen istisna kapsamındadır.

Sağlayıcı değişikliğinde beş temel hak

Birincisi: kısa bir fesih süresi. Değişimin başlatılması için sözleşmede öngörülebilecek en uzun fesih süresi iki aydır; müşterinin rızası olmadan otomatik sözleşme uzatımlarına izin verilmez (Veri Koruma Kanunu, Madde 25). Dolayısıyla, bu yaz sözleşmesini feshedenler, sonbaharda geçiş sürecini başlatabilirler.

İkincisi: bağlayıcı bir geçiş süresi. Değişim ilke olarak 30 gün içinde gerçekleştirilmelidir. Yalnızca sağlayıcının teknik nedenlerle bunun mümkün olmadığını gerekçelendirmesi halinde süre yedi aya kadar uzatılabilir (Madde 25, 4. fıkra). Bu sürecin tamamı boyunca hizmetin kesintisiz devam etmesi ve BT güvenliğinin korunması gerekir.

Üçüncüsü: eksiksiz ve kullanışlı bir veri aktarımı. Sağlayıcı, aktarılabilir tüm verileri ve dijital varlıkları yaygın, makine tarafından okunabilir bir formatta teslim etmek zorundadır. SaaS ve PaaS hizmetlerinde, sağlayıcı ayrıca açık arayüzleri ve ilgili belgeleri ücretsiz olarak sunmak zorundadır (Madde 30). Daha önce binlerce ayrı PDF dosyasından oluşan bir “dışa aktarma” seçeneği sunulan kullanıcılar, artık yapılandırılmış veriler talep edebilir.

Dördüncüsü: Geçiş öncesinde ve sırasında şeffaflık. Sağlayıcılar, geçişle ilgili prosedürler, yöntemler ve formatlar hakkında bilgi vermeli ve veri yapıları ile standartları içeren bir çevrimiçi kayda atıfta bulunmalıdır (Madde 26); tüm taraflar, iyi niyetle işbirliği yapmakla yükümlüdür (Madde 27).

Beşincisi: sınırlı – ve yakında kaldırılacak – geçiş ücretleri. 12 Ocak 2027 tarihine kadar, yalnızca indirimli ve gerçek maliyetleri karşılayan ücretler talep edilebilir ve bu ücretler sözleşme imzalanmadan önce şeffaf bir şekilde açıklanmış olmalıdır. 12 Ocak 2027 tarihinden itibaren veri aktarım ücretleri tamamen yasaklanacaktır (Madde 29).

Bu hüküm mevcut sözleşmeler için de geçerli mi?

Evet. VI. Bölüm’deki geçiş hükümleri 12 Eylül 2025 tarihinden itibaren geçerlidir – bu tarihten önce imzalanmış sözleşmeler için de geçerlidir. Anlaşmaya varılan daha uzun süreler veya fesih süreleri, yasal geçiş hakkına engel teşkil etmez. Bu durum, VI. Bölüm’ü IV. Bölüm’deki veri maddelerine ilişkin suistimal denetiminden ayıran bir noktadır: IV. Bölüm’deki hükümler, eski sözleşmeler için ancak 12 Eylül 2027 tarihinden itibaren geçerlidir; tabii ki bu sözleşmelerin süresi belirsizse veya çok uzun bir kalan süresi varsa.

Bir ince nokta daha var: Veri aktarımı işleminin kendisi ücretsiz olmak zorundayken, başlangıç maliyetlerinin amortismanı için erken fesih tazminatları ilke olarak yasak değildir – ancak bunlar sözleşme öncesinde açıkça belirtilmeli ve gizli aktarım ücretleri olmamalıdır. Belirli bir maddenin bu gerekliliğe uygun olup olmadığı, her bir vaka için ayrı ayrı incelenmelidir.

Hakları uygulayan kurumlar: DADG ve Federal Şebeke Ajansı

Data Act bir AB yönetmeliğidir ve doğrudan geçerlidir; ancak bu yönetmelik, yetkili kurumlar ve yaptırımlar konusunda düzenleme yapmamaktadır. Almanya, Veri Yönetmeliği Uygulama ve Yürütme Kanunu (DADG) ile bu boşluğu doldurmuştur: Federal Meclis (Bundestag) bu kanunu 26 Mart 2026 tarihinde kabul etmiş, kanun 30 Mayıs 2026 tarihinde yürürlüğe girmiştir. Merkezi denetim makamı Federal Ağ Ajansı’dır; bu kurum, hizmet sağlayıcı değişikliğine ilişkin düzenlemeleri de açıkça denetlemekte ve bir şikayet portalı hazırlamaktadır. Kişisel verilerin söz konusu olduğu durumlarda, Federal Veri Koruma ve Bilgi Özgürlüğü Komiseri de devreye girer. Operatör değiştirmeyi engelleyen operatörler için yasa, önemli para cezaları öngörmektedir; hukuk büroları ayrıca sözleşmeye dayalı hak taleplerine de dayanabilir.

Pratikte bu şu anlama gelir: Bir operatörle hizmetten ayrılma konusunda anlaşmazlık yaşayanlar, hemen dava açmak zorunda değildir. Yasal yükümlülüğe atıfta bulunmak – ve Federal Ağ Ajansı’na şikayette bulunma olasılığı – bile birçok müzakereyi değiştirir.

Altı adımda sorunsuz geçiş

Yasal çerçeve bir taraf, organizasyon ise diğer taraf. Altı adımın işe yaradığı kanıtlanmıştır.

Birincisi: Durum tespiti yapmak. Hukuk bürosu hangi bulut hizmetlerini kullanıyor, hangi veriler nerede bulunuyor, hangi sözleşme süreleri geçerli? Bu harita olmadan geçiş planlanamaz – ve süre hesaplanamaz.

İkincisi: Sözleşmeyi yasa ile karşılaştırarak okumak. Fesih süresi, ücretler, veri aktarım taahhütleri: Sözleşmede yazanlar ile Veri Kanunu’nun zorunlu kıldıkları yan yana değerlendirilmelidir. Aradaki fark, müzakere marjını oluşturur.

Üçüncüsü: Geçişi yazılı olarak bildirin ve bilgileri talep edin. Prosedürler, formatlar, arayüz belgeleri – sağlayıcı bunları sunmak zorundadır. Süreler bildirimin yapıldığı andan itibaren başlar, bu nedenle her adımı belgelendirin.

Dördüncüsü: Fesih işleminden önce bir test aktarımını talep edin. Format, eksiksizlik, meta veriler, belge ekleri, geçmiş – verilerin hedef sisteme ulaşıp ulaşmadığını ancak test gösterir. Test aktarımı yapılmadan gerçekleştirilen bir geçiş, körü körüne bir adımdır.

Beşincisi: Geçiş aşamasını aktif olarak yönetin. Paralel çalışmayı planlayın, 30 günlük süreyi gerçekçi bir şekilde değerlendirin, geçiş sürecini kaydedin. Yeni sağlayıcıyı erken aşamada sürece dahil edenler, her iki tarafın da işbirliği yükümlülüğünden yararlanır.

Altıncı olarak: Süreci düzgün bir şekilde sonlandırın. Başarılı bir geçişin ardından eski sağlayıcıdan verilerin silinmesini talep edin ve bunu belgelendirin – işleme görevinin sona ermesiyle birlikte, verilerin saklanmasına ilişkin veri koruma hukuku kapsamındaki gerekçe de ortadan kalkar. Yeni aracı seçerken nelere dikkat edilmesi gerektiğini, Hukuk Bürosunda Yeni Araçlar İçin Kontrol Noktaları başlığı altında derledik; Hukuk Bürosu Yazılımı Karşılaştırması'ndaki kriterler ise karar verme sürecinde yardımcı olacaktır.

Hukuk Bürolarının Bilmesi Gereken Sınırlar

Dürüst bir değerlendirme için dört noktaya değinmek gerekir. Birincisi, SaaS’ta işlevsel eşdeğerlik hakkı yoktur: İşlevsel eşdeğerlik sağlama yükümlülüğü yalnızca IaaS sağlayıcıları için geçerlidir; hukuk bürosu yazılımını değiştirenler, yeni sağlayıcıdan verilerini alırlar, aynı sistemi almazlar. İkincisi, sağlayıcının ticari sırları korunmaya devam eder – geçiş, başkalarının teknik bilgisinin ifşa edilmesi gereken noktada sona erer. Üçüncüsü, AB düzeyinde “Dijital Omnibus” ile Data Act’ta da değişiklikler öngören bir yasama süreci devam etmektedir; bu henüz yürürlükte olan bir yasa değildir, gelişmeleri takip etmek gerekir. Dördüncüsü, yönetmelik henüz yenidir: “uygun” veya “haksız gecikme olmaksızın” gibi terimler, ancak uygulamalar ve yetkililerin gelecekteki kılavuzları ile anlam kazanacaktır. Tartışmaya girenler, kısmen yeni bir alanda hareket ediyorlar.

Sonuç

Hukuk bürosunda hizmet sağlayıcısının değiştirilmesi uzun süredir tek taraflı bir oyundu: Veriler hizmet sağlayıcısında, süreler sözleşmede, risk ise müşterideydi. AB Veri Yasası, kısa fesih süreleri, kullanışlı veri aktarım hakkı, açık arayüzler ve Ocak 2027’den itibaren geçiş ücretlerinin kaldırılmasıyla dengeleri değiştirdi. Değişimi düşünenler, yeni hakları bir dipnot olarak değil, planlamanın temeli olarak ele almalıdır: Envanter, sözleşme incelemesi, deneme amaçlı veri aktarımı, geçiş aşaması, sorunsuz sonlandırma. Jurono gibi dijital hukuk bürosu platformları, verileri ve süreçleri başından itibaren taşınabilir kalacak şekilde düzenlemeye yardımcı olabilir; sözleşme ve veri koruma mevzuatına ilişkin inceleme ise hukuk bürosunun sorumluluğundadır. Hukuk bürosunuzda yapılandırılmış dijital iş akışlarının nasıl olabileceğini öğrenmek isterseniz, jurono.eu adresinde daha fazla bilgi bulabilirsiniz.