Kişisel Verileri Koruma Kurumu Tarafından Veri İhlali Bildirimlerine İlişkin 10 Adet Kamuoyu Duyurusu Yayımlanmıştır

Kişisel Verileri Koruma Kurumu (“Kurum”) tarafından veri ihlali bildirimlerine ilişkin 10 adet kamuoyu duyurusu, 21 Ekim 2026 tarihinde Kurum’un resmî internet sitesinde yayımlanmıştır. Söz konusu veri ihlalleri, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“Kanun”) “Veri Güvenliğine İlişkin Yükümlülükler” başlıklı 12. maddesinin (5) numaralı fıkrası kapsamında veri sorumluları tarafından Kurum'a bildirilmiştir.

Yayımlanan veri ihlali bildirimleri toplu olarak değerlendirildiğinde, özetle aşağıdaki hususların öne çıktığı görülmektedir:

Üçüncü taraf hizmet sağlayıcıların sistemlerinde meydana gelen güvenlik olayları önemli bir risk alanı oluşturmaktadır. İhlallerin bir bölümünün, veri sorumlularının hizmet aldığı veri işleyenlerin sistemlerinde kullanılan üçüncü taraf yazılım kütüphanelerindeki güvenlik zafiyetlerinden yararlanılarak gerçekleştirilen yetkisiz erişimler sonucunda meydana geldiği görülmektedir. Bu olaylarda kişisel verilerin bulunduğu sunucuların etkilenmesi, veri sorumlularının yalnızca kendi sistemlerinin güvenliğini değil, hizmet aldıkları üçüncü tarafların altyapılarından kaynaklanan riskleri de değerlendirmesi gerektiğini ortaya koymaktadır.
Fidye yazılımı saldırıları ve yetkisiz erişim, öne çıkan ihlal yöntemleri arasında yer almaktadır. Bazı bildirimlerde sunucu altyapılarına yönelik fidye yazılımı saldırıları sonucunda veri tabanı dosyalarına erişilemediği ve sistemlerin etkilendiği belirtilmiştir. Bu tür olaylar, kişisel verilerin gizliliğinin yanı sıra erişilebilirliğinin ve bütünlüğünün korunmasının da önemini ortaya koymaktadır. Özellikle kritik bilgi sistemlerinde yedekleme, iş sürekliliği ve olay müdahale mekanizmalarının etkin şekilde işletilmesi önem arz etmektedir.
Kurumsal hesapların ele geçirilmesi ve sosyal mühendislik saldırıları kişisel veri güvenliği bakımından önemli riskler oluşturmaktadır. Bazı bildirimlerde önceden ele geçirilmiş parolalar kullanılarak kurumsal e-posta hesaplarına erişim sağlandığı, bazı bildirimlerde ise çalışanların sosyal mühendislik yöntemleriyle hedef alınması sonucunda kurumsal hesapların ele geçirildiği belirtilmiştir. Bu olaylarda e-posta içeriklerinin kurum dışına aktarılması, hesap ayarlarının değiştirilmesi, dolandırıcılık amaçlı iletiler gönderilmesi ve kurumsal veri tabanlarına erişim sağlanması gibi sonuçların ortaya çıktığı görülmektedir. Bu kapsamda çok faktörlü kimlik doğrulama, erişim yetkilerinin sınırlandırılması, olağan dışı erişimlerin izlenmesi ve çalışanlara yönelik bilgi güvenliği eğitimlerinin düzenli olarak gerçekleştirilmesi önem taşımaktadır.
Bildirimlerde kimlik, iletişim ve lokasyon verilerinin yanı sıra adres bilgileri, kullanıcı giriş bilgileri, parola bilgileri, kurumsal yazışmalar, konaklama geçmişine ilişkin bilgiler ve çeşitli kayıtların etkilendiği görülmektedir. Bazı olaylarda sağlık hizmetlerinden yararlanan kişilere ait muayene, tahlil, tetkik, tanı, teşhis, reçete ve tedavi geçmişine ilişkin sağlık verilerinin; bazı olaylarda ise pasaport bilgileri ve fotoğraflar gibi kişisel verilerin ihlalden etkilenmiş olabileceği belirtilmiştir. Bu durum, ihlalin etkilerinin değerlendirilmesinde yalnızca etkilenen kişi sayısının değil, verilerin niteliğinin ve kötüye kullanılma ihtimalinin de dikkate alınması gerektiğini göstermektedir.

Sağlık verileri ve çocuklara ait kişisel veriler bakımından güvenlik tedbirlerinin önemi ayrıca öne çıkmaktadır. Bazı bildirimlerde sağlık hizmetlerinden yararlanan kişilere ait sağlık kayıtlarının, randevu ve faturalandırma bilgilerinin, sigorta provizyon kayıtlarının ve diğer sağlık hizmeti süreçlerine ilişkin verilerin ihlalden etkilenmiş olabileceği açıklanmıştır. Başka bir bildirimde ise çalışanlar, öğrenciler, mezunlar ve çocuklara ait pasaport kopyaları ile arşivlenmiş etkinlik fotoğraflarının ihlal kapsamında değerlendirildiği görülmektedir. Bu kapsamda, özellikle hassas nitelikteki kişisel verilerin işlendiği sistemlerde erişim kontrollerinin, veri minimizasyonu ilkelerinin ve teknik ve idari güvenlik tedbirlerinin titizlikle uygulanması önem taşımaktadır.
Veri işleyenlerin bilgi güvenliği süreçlerinin düzenli olarak değerlendirilmesi önem taşımaktadır. Üçüncü taraf yazılım kütüphanelerindeki güvenlik açıklarından kaynaklanan ihlaller, veri sorumlularının hizmet aldıkları kuruluşların bilgi güvenliği süreçlerini yalnızca sözleşme aşamasında değil, hizmet ilişkisi boyunca da değerlendirmesi gerektiğini göstermektedir. Bu kapsamda veri işleyenlerin teknik ve idari güvenlik tedbirleri, erişim yetkileri, yazılım güncelleme süreçleri, güvenlik açıklarının yönetimi, yedekleme uygulamaları ve veri ihlali müdahale prosedürlerinin düzenli olarak gözden geçirilmesi önem arz etmektedir.
Veri ihlallerinin erken tespiti ve müdahale süreçlerinin etkinliği, ihlalin etkilerinin sınırlandırılmasında kritik öneme sahiptir. Bazı olaylarda ihlallerin güvenlik izleme sistemleri tarafından oluşturulan uyarılar veya veri işleyenler tarafından yapılan bildirimler üzerine tespit edildiği görülmektedir. Bu durum, bilgi sistemlerinde olağan dışı erişimlerin izlenmesini, güvenlik kayıtlarının düzenli olarak incelenmesini ve veri sorumluları ile veri işleyenler arasında hızlı bilgi paylaşımını sağlayacak mekanizmaların oluşturulmasını gerekli kılmaktadır. Ayrıca ihlal sonrasında teknik inceleme, hukuki değerlendirme ve ilgili kişilerin bilgilendirilmesine yönelik süreçlerin koordineli şekilde yürütülmesi önem taşımaktadır.
Yedekleme ve iş sürekliliği mekanizmalarının oluşturulması, fidye yazılımı saldırılarının etkilerinin azaltılması bakımından önemlidir. Sunucu altyapılarının saldırılardan etkilenmesi ve veri tabanı dosyalarına erişilememesi, veri sorumlularının kişisel verilerin güvenliğini sağlamanın yanı sıra sistemlerin yeniden işler hâle getirilmesine yönelik hazırlıklara da sahip olması gerektiğini ortaya koymaktadır. Bu kapsamda yedeklerin güvenli ortamlarda tutulması, yedeklerden geri dönüş süreçlerinin düzenli olarak test edilmesi, sistemlerin güncel tutulması ve olay müdahale planlarının hazırlanması önem arz etmektedir.
Kanun’un 12. maddesi uyarınca veri sorumluları; kişisel verilerin hukuka aykırı olarak işlenmesini ve kişisel verilere hukuka aykırı olarak erişilmesini önlemek ve kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almakla yükümlüdür. Ayrıca veri sorumlularının, kendi adına kişisel veri işleyen gerçek veya tüzel kişiler bakımından da gerekli tedbirlerin alınmasını sağlama yükümlülüğü bulunmaktadır. Kanun’un 12. maddesinin (5) numaralı fıkrası uyarınca kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu, bu durumu en kısa sürede ilgilisine ve Kurula bildirmelidir.
21 Ekim 2026 tarihinde yayımlanan 10 veri ihlali bildirimi, kişisel veri güvenliğinin bütüncül bir yaklaşımla ele alınmasının önemini bir kez daha ortaya koymaktadır. Üçüncü taraf hizmet sağlayıcıların altyapılarının güvenliğinin değerlendirilmesi, yazılım güvenlik açıklarının giderilmesi, kurumsal hesapların korunması, sosyal mühendislik saldırılarına karşı farkındalığın artırılması, yedekleme ve iş sürekliliği mekanizmalarının oluşturulması, erişim yetkilerinin düzenli olarak gözden geçirilmesi ve veri ihlallerinin hızlı şekilde tespit edilerek gerekli bildirim süreçlerinin yürütülmesi, veri sorumlularının kişisel veri güvenliğine ilişkin yükümlülüklerinin yerine getirilmesi bakımından önem arz etmektedir.

Veri ihlali bildirimlerinin tam metinlerine buradan ulaşabilirsiniz.

Saygılarımızla,

Zümbül Hukuk ve Danışmanlık

info@zumbul.av.tr

İnternet sitemizde bulunan her türlü bilgi ve belge Avukatlık Kanunu ve ilgili diğer mevzuat ile Türkiye Barolar Birliği’nin Avukatlık Meslek Kuralları dikkate alınarak Zümbül Hukuk ve Danışmanlık tarafından yalnızca genel bilgilendirme amacıyla hazırlanmış olup, bu yayınlarda kesinlikle reklam ve/veya ticari amaç güdülmemiştir. İnternet sitemizdeki her türlü bilgi ve belge genel geçer nitelikte olup hiçbir suretle bu yayınların eksiksiz, doğru, güncel ve güvenilir olduğu garanti ve taahhüt edilmemektedir. İnternet sitemizde yer verilen yayınlardaki bilgilerle ilgili olarak bir avukata/uzmana danışmadan söz konusu bilgi ve belgelere dayanılarak hareket edilmemelidir. İnternet sitemizdeki yayınlarda yer verilen linkler kamuya açık kaynaklardan elde edilerek yalnızca ziyaretçilerin diğer bilgi ve belgelere ulaşmasını kolaylaştırmak amacıyla bulunmaktadır. Bu linkler hiçbir şekilde link verilen kişi, kurum ve kuruluşları tavsiye ve/veya onay anlamına gelmemektedir. İnternet sitemizdeki yayınlar hiçbir şekilde hukuki danışmanlık sunulması veya internet sitemize herhangi bir suretle ulaşan ziyaretçiler ile avukat-müvekkil ilişkisi oluşturulduğu anlamına gelmemektedir.