Veri Koruma ve Uyum Bülteni – Ağustos 2025
Kişisel Verilerin Korunması Hukuku, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK” veya “Kanun”) ve ikincil düzenlemeleriyle birlikte sürekli gelişen ve güncellenen bir hukuk alanıdır. Bu alandaki uygulamalar yalnızca Kanun ve ilgili yönetmeliklerle sınırlı kalmayıp; Kişisel Verileri Koruma Kurulu’nun (“Kurul”) kararları, ilke kararları ve karar özetleriyle şekillenmekte ve somutlaşmaktadır. Bu kapsamda, ilgili ay bazında hazırlanan KVKK Bültenleri, veri koruma alanındaki güncel gelişmeleri takip etmek isteyenler için bir kaynak niteliği taşımakta, güncelliği sağlamayı ve ilgilileri bilgilendirmeyi amaçlamaktadır.
2025 Ağustos ayında Kişisel Verileri Koruma Kurumu (“Kurum”) internet sitesi olan www.kvkk.gov.tr alan adlı sitede iki adet veri ihlal bildirimi ve “Alacaklı Vekilleri Tarafından Borçlu Olan İlgili Kişilerin Yakınlarına Ait Telefon Numaralarına Erişilmek Suretiyle Borç Bilgisinin Paylaşılmasına İlişkin Kamuoyu Duyurusu” yayımlanmıştır.
VERİ İHLAL BİLDİRİMLERİ
KVKK madde 12/5 uyarınca, işlenen kişisel verilerin hukuka aykırı yollarla üçüncü kişiler tarafından elde edilmesi hâlinde; veri sorumlusu, bu durumu ilgili kişiye ve Kurul’a ivedilikle bildirmekle yükümlüdür. Anılan hüküm çerçevesinde; Kurul, gerekli görmesi hâlinde söz konusu veri ihlalini kendi internet sitesi aracılığıyla veya uygun göreceği başka yöntemlerle kamuoyuna ilan edebilmektedir. İşbu düzenleme, veri ihlallerinin etkin şekilde yönetilmesini ve ilgili kişilerin zamanında bilgilendirilmesini teminen getirilmiştir.
Biletal İç ve Dış Ticaret Anonim Şirketi[1]
Veri sorumlusu sıfatını haiz Biletal İç ve Dış Ticaret Anonim Şirketi tarafından Kurul’a iletilen veri ihlali bildirimine göre; ihlalin 11 Ağustos 2025 tarihinde tespit edildiği bildirilmiştir. İhlal, Bilgi Teknolojileri ve İletişim Kurumu’ndan gelen yazı üzerine veri sorumlusu bilişim ekiplerince yürütülen çalışmalar sonucunda, şirketin bazı müşterilerine ait kişisel verilerin siber saldırganlar tarafından internet üzerindeki yasadışı platformlarda satışa sunulması yoluyla gerçekleşmiştir.
İhlalden müşteriler etkilenmiş olup etkilenen kişisel veri kategorilerinin kimlik, iletişim ve müşteri işlem verileri olduğu, veri ihlalinden etkilenen ilgili kişi sayısının ise yaklaşık 7.800 kişi olduğu tespit edilmiştir.
Türk Tabipler Birliği[2]
Veri sorumlusu sıfatını haiz Türk Tabipler Birliği tarafından Kurul’a iletilen veri ihlali bildirimine göre; veri sorumlusunun sistemine 8 Ağustos 2025 tarihinde belirsiz kaynaklar tarafından siber saldırı gerçekleştirildiği ve söz konusu saldırının nasıl gerçekleştiğinin henüz tespit edilemediği bildirilmiştir. Siber saldırı sonucunda, veri sorumlusunun sisteminde yer alan kayıtlı dosyalara erişildiği ve bu dosyaların silindiği anlaşılmıştır.
İhlalden etkilenen ilgili kişi gruplarının çalışanlar, kullanıcılar ve tabip odalarına kayıtlı üyeler olduğu; etkilenen kişisel veri kategorilerinin ise kimlik, iletişim, lokasyon, hukuki işlem ve işlem güvenliği olduğu tespit edilmiştir. Üye veri tabanına erişim sağlanamadığından ihlalden etkilenen ilgili kişi sayısı kesin olarak belirlenememekle birlikte, muhtemelen 107.000 kişinin etkilenmiş olabileceği değerlendirilmiştir.
GRC LEGAL Yorumu: 2025 yılı Ağustos ayında Kurul’a bildirilen veri ihlalleri, hem özel sektör şirketlerinin hem de meslek örgütlerinin farklı siber tehdit senaryoları ile karşı karşıya olduklarını göstermektedir.
Biletal İç ve Dış Ticaret A.Ş.’deki ihlal, özellikle tüketici odaklı hizmet sunan şirketlerde siber güvenlik açıklarının yalnızca teknik bir zafiyet değil, doğrudan müşteri güveni ve marka itibarı üzerinde yıkıcı etkilere yol açabileceğini ve siber saldırıların çoğu zaman ekonomik kazanç motivasyonu ile gerçekleştirildiğini ortaya koymaktadır.
Türk Tabipler Birliği’ne yönelik gerçekleştirilen saldırıda ise belirsiz kaynaklardan gelen siber saldırı sonucunda sistemde yer alan kayıtlı dosyalara erişilmesi ve bu dosyaların silinmesi değerlendirildiğinde; özellikle meslek örgütleri ve sivil toplum kuruluşlarının da yüksek hacimli kişisel veri işlemeleri sebebiyle siber saldırganların hedefi haline gelebildikleri görülmektedir.
Sonuç olarak; her iki ihlal, farklı sektörlerde faaliyet gösteren kuruluşların siber tehditler karşısında ne derece savunmasız kalabileceğini gözler önüne sermektedir. Tüketici odaklı şirketler için müşteri güveni, meslek örgütleri için ise kurumsal bütünlük ve üyelik ilişkileri ciddi risk altına girmektedir. Bu nedenle; veri güvenliği, yalnızca iç sistemlere yönelik teknik önlemlerle değil, aynı zamanda kurumsal risk yönetimi, olay müdahale planları ve düzenli siber güvenlik testleri ile bütüncül bir yaklaşımla ele alınmalıdır.
KAMUOYU DUYURUSU
20.08.2025 tarihinde Kurum tarafından “Alacaklı Vekilleri Tarafından Borçlu Olan İlgili Kişilerin Yakınlarına Ait Telefon Numaralarına Erişilmek Suretiyle Borç Bilgisinin Paylaşılmasına İlişkin Kamuoyu Duyurusu” yayımlanmıştır.
Duyuruda, alacaklı vekillerinin borçlu kişilerin yakınlarının telefon numaralarına ulaştığı ve borçlunun adı, soyadı ile borç bilgilerini arama veya kısa mesaj yoluyla paylaştığı yönünde şikâyetler bulunduğu ifade edilmiştir.
Kurum, açık rıza ya da kanuni bir işleme şartı olmaksızın borçlu yakınlarının iletişim bilgilerinin elde edilmesi ve bu yolla borç bilgilerinin paylaşılmasının Kanun’a aykırılık teşkil edebileceğini değerlendirmiştir. Bu tür işlemler, somut olayın özelliklerine göre idari para cezası yaptırımına konu olabilecektir.
Bu çerçevede; alacaklı vekillerinin mesleki faaliyetlerinde hem borçluya hem de yakınlarına ait kişisel verilerin işlenmesinde Kanun hükümlerine uygun hareket etmeleri gerektiği Kurum tarafından önemle hatırlatılmıştır.
GÜNCELDE NELER OLUYOR?
Anayasa Mahkemesi Genel Kurulu, 20.03.2025 tarihli kararında (Cem Özberk, B. No: 2020/15944), başvurucunun sağlık bilgilerini içeren raporun rızası olmaksızın annesine verilmesi nedeniyle Anayasa’nın 20. maddesinde güvence altına alınan kişisel verilerin korunmasını isteme hakkının ihlal edildiğine hükmetmiştir.
Başvurucu, 2010 yılında tedavi gördüğü süreçte düzenlenen raporun, 2016 yılında izni dışında annesine verildiğini ve annesi ile arasında husumet/çıkar çatışması bulunduğunu ileri sürmüştür. Mahkeme, hasta yakınlarının bilgilendirilmesinin ancak istisnai hâllerde ve belirli koşullar çerçevesinde mümkün olabileceğini, somut olayda ise bu sınırların aşıldığını tespit etmiştir. Başvurucunun 2010 yılında aldığı tedaviye ilişkin belgelerin altı yıl sonra ve rızası olmaksızın üçüncü kişiye verilmesinin gerekli olup olmadığının tartışılmadığı, belgenin doğrudan verilmesini zorunlu kılacak acil veya istisnai bir nedenin ortaya konulmadığı ve daha az müdahaleci alternatiflerin değerlendirilmediği belirtilmiştir.
Mahkeme, söz konusu işlemin başvurucunun kişisel verileri ve özel hayatı üzerindeki etkilerinin anayasal güvenceler kapsamında yeterince ele alınmadığını, bu nedenle kişisel verilerin korunmasına yönelik pozitif yükümlülüklerin yerine getirilmediğini değerlendirerek ihlal kararı vermiştir.
- İstanbul 14. Asliye Ticaret Mahkemesi’nin Pay Sahibinin Bilgi Alma Hakkına İlişkin Kararı[3]
İstanbul 14. Asliye Ticaret Mahkemesi’nin 26.06.2025 tarihli ve E. 2024/501, K. 2025/517 sayılı kararı, pay sahibinin bilgi alma ve inceleme hakkı ile kişisel verilerin korunması ve ticari sırların muhafazası arasındaki dengenin nasıl sağlanması gerektiğine ilişkin önemli tespitler içermektedir.
Somut olayda, azınlık pay sahibi bir ortak, Türk Ticaret Kanunu m. 437 kapsamında bilgi alma hakkının ihlal edildiğini ileri sürerek dava açmıştır. Talep edilen bilgiler arasında; şirketin mali verileri, yöneticilere yapılan ödemeler, seyahat ve temsil giderleri, KVKK uyum belgeleri ve gelecek dönem yatırım planları yer almaktadır. Davalı şirket ise bazı taleplerin ticari sır niteliğinde olduğunu ve davacının rakip şirkette faaliyet gösterdiği savunmasını ileri sürmüştür.
İlgili mahkeme, bilgi alma hakkının, pay sahiplerinin şirket işleyişini denetleyebilmeleri ve haklarını bilinçli şekilde kullanabilmeleri için tanınmış temel bir hak olduğunu, bu hakkın Anayasa ile güvence altına alınan mülkiyet hakkı kapsamında değerlendirildiğini vurgulamıştır.
KVKK m. 5/2-(f) hükmü uyarınca “bir hakkın tesisi, kullanılması veya korunması” amacıyla gerekli kişisel veri işleme faaliyetlerinin hukuka uygun olduğu belirtilmiş; pay sahipliği haklarının kullanımına yönelik gerekli bilgilerin sağlanmasının meşru bir veri işleme sebebi teşkil ettiği ifade edilmiştir. Bununla birlikte, kişisel verilerin korunmasının tamamen göz ardı edilemeyeceği, veri minimizasyonu ilkesi çerçevesinde mümkün olduğunda anonimleştirilmiş veya pozisyon bazlı bilgi verilmesi gerektiği belirtilmiştir.
Şirket menfaatlerini korumak amacıyla bilgi taleplerinin son üç yıl ile sınırlandırılması makul bulunmuş, davacının rakip şirkette çalışması dikkate alınarak gerçekten ticari sır niteliği taşıyan ve anonimleştirme yoluyla dahi açıklanamayacak bilgilerin kapsam dışında bırakılması kararlaştırılmıştır. Öte yandan, şirketin KVKK uyum durumuna ilişkin bilgi taleplerinin ise şeffaflık ilkesi gereği hukuka uygun olduğu kabul edilmiştir.
[1] İlgili veri ihlali, 14 Ağustos Tarihinde 2025 Kurum’un internet sitesinde yayımlanmıştır.
[2] İlgili veri ihlali, 14 Ağustos Tarihinde 2025 Kurum’un internet sitesinde yayımlanmıştır.
[3] https://emsal.uyap.gov.tr/# (İstanbul 14 ATM, E. 2024/501 K. 2025/517 T. 26.06.2025)
