Kişisel Verileri Koruma Kurumu Tarafından Veri İhlali Bildirimlerine İlişkin 28 Adet Kamuoyu Duyurusu Yayımlanmıştır

Kişisel Verileri Koruma Kurumu (“Kurum”) tarafından veri ihlali bildirimlerine ilişkin 28 adet kamuoyu duyurusu, 16 Eylül 2026 tarihinde Kurum’un resmî internet sitesinde yayımlanmıştır.

Söz konusu veri ihlalleri, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“Kanun”) “Veri güvenliğine ilişkin yükümlülükler” başlıklı 12. maddesinin (5) numaralı fıkrası kapsamında veri sorumluları tarafından Kurum’a bildirilmiştir.

Yayımlanan veri ihlali bildirimleri toplu olarak değerlendirildiğinde özetle aşağıdaki hususlar öne çıkmaktadır:

• Veri sorumluları bakımından özellikle e-ticaret altyapısı başta olmak üzere veri işleyenler aracılığıyla gerçekleştirilen kişisel veri işleme faaliyetlerinin güvenliği, veri işleyen sistemlerinde kullanılan üçüncü taraf yazılım bileşenlerinin güvenliği ve yetkisiz erişimlere karşı alınan teknik ve idari tedbirlerin önem taşıdığı görülmektedir.
• Bildirimlerin tamamına yakınında, veri sorumlularına ait kişisel verilerin bulunduğu veri işleyen sistemlerine yetkisiz erişim sağlanması sonucunda veri ihlallerinin gerçekleştiği ve söz konusu ihlallerin büyük ölçüde veri işleyenler tarafından veri sorumlularına yapılan bildirimler üzerine tespit edildiği belirtilmiştir.
• Bildirimlerin önemli bir bölümünde, ihlallerin veri işleyen sistemlerindeki sunucularda kullanılan üçüncü taraf bir yazılım kütüphanesindeki güvenlik zafiyetinin istismar edilmesi suretiyle gerçekleştiği açıklanmıştır.
• Bu kapsamda gerçekleşen ihlallerde ağırlıklı olarak kimlik, iletişim ve işlem güvenliği verilerinin etkilendiği; ad, soyad, e-posta adresi, adres ve telefon numarasının yanı sıra hash’lenmiş parola ve kullanıcı giriş bilgilerinin de ihlalden etkilenen veriler arasında yer aldığı belirtilmiştir.
• Bazı ihlallerde mağaza yönetim paneli kullanıcı hesap bilgileri, müşteri işlem ve sipariş bilgileri, IP bilgisi ile ödeme API anahtarlarının da ihlalden etkilenen veriler arasında bulunduğu görülmüştür.
• Bazı bildirimlerde etkilenen ilgili kişi sayısının bildirim tarihi itibarıyla henüz tespit edilemediği veya veri işleyen tarafından veri sorumlusuyla paylaşılmadığı; bazı bildirimlerde ise kesin sayının ve belirli veri kategorilerinin ihlalden etkilenip etkilenmediğinin tespiti için veri işleyenden ayrıntılı bilgi talep edildiği belirtilmiştir.
• Bir bildirimde ihlalin veri sorumlusunun kullandığı üçüncü taraf bir araçta yaşanan yetkisiz erişim neticesinde gerçekleştiği ve tehdit aktörünün bazı kişisel verileri sistem dışına aktardığının değerlendirildiği; bu ihlalde çalışanlara ait iş iletişim bilgilerinin yanı sıra sipariş formları, sözleşmeler, faturalar ve diğer iş yazışmalarının da ihlale konu olduğu açıklanmıştır.
• İhlallerden başta müşteriler ve kullanıcılar olmak üzere potansiyel müşteriler, aboneler/üyeler ve çalışanlar gibi farklı ilgili kişi gruplarının etkilendiği açıklanmıştır.

Veri sorumlularının kişisel verilerin işlendiği kendi sistemlerinin güvenliğinin yanı sıra, hizmet aldıkları veri işleyenlerin sistemlerinde uygulanan güvenlik tedbirlerini de gözden geçirmeleri önem arz etmektedir. Kanun’un 12. maddesi uyarınca veri sorumlusu, kendi kurum veya kuruluşunda ve başka kurum veya kuruluşlarda işlenen kişisel verilerin korunmasını sağlamak amacıyla gerekli teknik ve idari tedbirleri almakla yükümlü olup kendi adına kişisel veri işleyen gerçek veya tüzel kişilerle ilgili olarak da gerekli tedbirlerin alınmasını sağlamakla yükümlüdür.

Veri ihlali bildirimlerinin tam metinlerine buradan ulaşabilirsiniz.

Saygılarımızla,
Zümbül Hukuk ve Danışmanlık
info@zumbul.av.tr

İnternet sitemizde bulunan her türlü bilgi ve belge Avukatlık Kanunu ve ilgili diğer mevzuat ile Türkiye Barolar Birliği’nin Avukatlık Meslek Kuralları dikkate alınarak Zümbül Hukuk ve Danışmanlık tarafından yalnızca genel bilgilendirme amacıyla hazırlanmış olup, bu yayınlarda kesinlikle reklam ve/veya ticari amaç güdülmemiştir. İnternet sitemizdeki her türlü bilgi ve belge genel geçer nitelikte olup hiçbir suretle bu yayınların eksiksiz, doğru, güncel ve güvenilir olduğu garanti ve taahhüt edilmemektedir. İnternet sitemizde yer verilen yayınlardaki bilgilerle ilgili olarak bir avukata/uzmana danışmadan söz konusu bilgi ve belgelere dayanılarak hareket edilmemelidir. İnternet sitemizdeki yayınlarda yer verilen linkler kamuya açık kaynaklardan elde edilerek yalnızca ziyaretçilerin diğer bilgi ve belgelere ulaşmasını kolaylaştırmak amacıyla bulunmaktadır. Bu linkler hiçbir şekilde link verilen kişi, kurum ve kuruluşları tavsiye ve/veya onay anlamına gelmemektedir. İnternet sitemizdeki yayınlar hiçbir şekilde hukuki danışmanlık sunulması veya internet sitemize herhangi bir suretle ulaşan ziyaretçiler ile avukat-müvekkil ilişkisi oluşturulduğu anlamına gelmemektedir. İnternet sitemizdeki tüm içerikler Zümbül Hukuk ve Danışmanlık mülkiyetindedir ve hiçbir içerik yazılı izin alınmaksızın kopyalanamaz, çoğaltılamaz ve atıf yapılmadan kullanılamaz.