Veri Koruma ve Uyum Bülteni – Aralık 2025
Kişisel Verilerin Korunması Hukuku, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK” veya “Kanun”) ve ikincil düzenlemeleriyle birlikte sürekli gelişen ve güncellenen bir hukuk alanıdır. Bu alandaki uygulamalar yalnızca Kanun ve ilgili yönetmeliklerle sınırlı kalmayıp; Kişisel Verileri Koruma Kurulu’nun (“Kurul”) kararları, ilke kararları ve karar özetleriyle şekillenmekte ve somutlaşmaktadır. Bu kapsamda, ilgili ay bazında hazırlanan KVKK Bültenleri, veri koruma alanındaki güncel gelişmeleri takip etmek isteyenler için bir kaynak niteliği taşımakta, güncelliği sağlamayı ve ilgilileri bilgilendirmeyi amaçlamaktadır.
Aralık ayında Kişisel Verileri Koruma Kurumu (“Kurum”) internet sitesi olan www.kvkk.gov.tr alan adlı sitede altı adet veri ihlal bildirimi ve “Turizm ve Otelcilik Sektöründe Konaklama Hizmeti Alan Kişilerin T.C. Kimlik Belgesi Fotokopisinin Kaydedilmesi Hakkında İlke Kararı” yayımlanmıştır.
VERİ İHLAL BİLDİRİMLERİ
KVKK madde 12/5 uyarınca, işlenen kişisel verilerin hukuka aykırı yollarla üçüncü kişiler tarafından elde edilmesi hâlinde; veri sorumlusu, bu durumu ilgili kişiye ve Kurul’a ivedilikle bildirmekle yükümlüdür. Anılan hüküm çerçevesinde; Kurul, gerekli görmesi hâlinde söz konusu veri ihlalini kendi internet sitesi aracılığıyla veya uygun göreceği başka yöntemlerle kamuoyuna ilan edebilmektedir. İşbu düzenleme, veri ihlallerinin etkin şekilde yönetilmesini ve ilgili kişilerin zamanında bilgilendirilmesini teminen getirilmiştir.
Beyçelik Holding A.Ş. ve Grup Şirketleri
Veri sorumlusu sıfatını haiz Beyçelik Holding A.Ş. ve bünyesindeki grup şirketleri [1]tarafından Kurul’a iletilen bildirimlere göre; ihlalin 04.12.2025 tarihinde, grup şirketlerinden Beyçelik Gestamp Otomotiv Sanayi A.Ş.’nin sunucularına fidye yazılımı yüklenerek sistemlerin şifrelenmesi sonucunda gerçekleştiği belirtilmiştir.
Bildirime göre, saldırıya uğrayan sunuculardaki verilerin şifrelenmesi sebebiyle kişisel veri kategorilerinin ayrıştırılmasının teknik olarak bu aşamada mümkün olmadığı; ihlalden etkilenen kişi grupları ve kişi sayısının henüz tespit edilmediği, konuya ilişkin incelemelerin ise devam ettiği ifade edilmiştir.
Dem İlaç Sanayi ve Ticaret A.Ş.
Veri sorumlusu sıfatını haiz Dem İlaç Sanayi ve Ticaret A.Ş. tarafından Kurul’a iletilen bildirimde; veri sorumlusunun 07.12.2025 tarihinde fidye yazılımı saldırısına maruz kaldığı belirtilmiştir. Bildirime göre siber tehdit aktörü, yaklaşık 1 TB hacminde hassas veriyi ele geçirdiğini iddia etmektedir.
Tehdit aktörü tarafından tüm sistemlere erişildiği belirtildiğinden, ihlalden etkilenen veri kategorilerinin geniş kapsamlı olduğu; bu çerçevede kimlik, iletişim, lokasyon, özlük, hukuki işlem, müşteri işlem, fiziksel mekân güvenliği, işlem güvenliği, risk yönetimi, finans, mesleki deneyim, pazarlama, görsel ve işitsel kayıtlar, sağlık bilgileri, ceza mahkumiyeti ve güvenlik tedbirleri verilerinin de etkilenmiş olabileceği ifade edilmiştir.
İhlalden çalışanlar, kullanıcılar ve müşteriler/potansiyel müşterilerin etkilendiği, ancak etkilenen kişi sayısının henüz tespit edilemediği; konuya ilişkin araştırmaların veri sorumlusu bünyesinde devam ettiği bildirilmiştir. Ayrıca kişilerin www.demilac.com.tr veya çağrı merkezi üzerinden bilgi alabileceği belirtilmiştir.
Veri sorumlusu sıfatını haiz DMR Otomotiv Kiralama Sanayi ve Ticaret Ltd. Şti. tarafından Kurul’a iletilen bildirimde; veri sorumlusunun 07.12.2025 tarihinde fidye yazılımı saldırısına maruz kaldığı, ancak ihlalin esasen grup şirketi Dem İlaç Sanayi ve Ticaret A.Ş. nezdinde gerçekleştiği belirtilmiştir.
Siber tehdit aktörünün yaklaşık 1 TB hacminde hassas veriyi ele geçirdiği iddiasının bulunduğu olayda, tüm sistemlere erişim sağlanmış olması nedeniyle etkilenen veri kategorilerinin geniş kapsamlı olduğu; bu çerçevede kimlik, iletişim, lokasyon, özlük, hukuki işlem, müşteri işlem, fiziksel mekan güvenliği, işlem güvenliği, risk yönetimi, finans, mesleki deneyim, pazarlama, görsel ve işitsel kayıtlar, sağlık bilgileri, ceza mahkumiyeti ve güvenlik tedbirleri verilerinin etkilendiği ifade edilmiştir. İhlalden çalışanlar, kullanıcılar ve müşteriler/potansiyel müşterilerin etkilendiği, etkilenen kişi sayısının henüz tespit edilemediği ve incelemelerin devam ettiği Kurul’a iletilmiştir.
Balıkesir Uludağ Turizm Taş. İnş. Tic. Ltd. Şti.
Veri sorumlusu sıfatını haiz Balıkesir Uludağ Turizm Taş. İnş. Tic. Ltd. Şti. tarafından Kurul’a iletilen bildirimde; ihlalin 01.12.2025 – 05.12.2025 tarihleri arasında gerçekleştiği ve 06.12.2025 tarihinde tespit edildiği belirtilmiştir. Bildirime göre ihlal, portal yönetim giriş sayfasındaki yetkili kullanıcı hesabına yönelik brute-force (kaba kuvvet) saldırısı sonucunda sisteme yetkisiz erişim sağlanmasıyla gerçekleşmiş; saldırganlar şirket yöneticilerine SMS göndererek verileri ele geçirdiklerini bildirmişlerdir.
Veri sorumlusu etkilenen verilerin kimlik ve iletişim bilgileri olduğunu belirtse de saldırganların iddiasına göre veri sorumlusuna ait otobüs seferleri (kalkılan/inilen otogar, tarih, saat), otobüs seferlerindeki yolcuların kişisel verileri, SMS veri logları, tüm üyelere ait T.C. kimlik numarası, telefon numarası, ad, soyad, şifre ve üye numarası ile iş başvuru logları, çalışan bilgileri ve kayıp eşya verilerinin ele geçirildiği ifade edilmiştir.
İhlalden çalışanlar, aboneler/üyeler ve müşterilerin etkilendiği; etkilenen kişi sayısı tam olarak bilinmemekle birlikte, saldırganlar tarafından 10 milyondan fazla verinin ele geçirildiğinin iddia edildiği Kurul’a iletilmiştir.
Uludağ Elektrik Dağıtım AŞ
Veri sorumlusu sıfatını haiz Uludağ Elektrik Dağıtım A.Ş. tarafından Kurul’a iletilen bildirimde; ihlalin 05.08.2025 tarihinde gerçekleştiği ve 18.08.2025 tarihinde, dark web üzerinde tehdit aktörlerinin dosya paylaşımı amacıyla kullandığı bir platformda şirket verilerinin veri sorumlusu abonelerinin bilgilerini içeren bir veri setinin tespit edildiği belirtilmiştir.
Söz konusu veri setinde; bir aboneye ilişkin abone numarası, ad-soyadı, kısmi adres, tüketim bilgileri, sayaç bilgileri gibi çoğu teknik veri olmakla birlikte kişisel verileri de içeren 57 farklı veri kategorisinin bulunduğu; ihlalin, şifre ve SMS doğrulama kodu ile giriş yapılabilen sisteme tehdit aktörleri tarafından hukuka aykırı yollarla erişilmesi suretiyle gerçekleştiği ifade edilmiştir.
İhlalden aboneler/üyelerin etkilendiği, etkilenen kişi sayısı tam olarak belirlenememekle birlikte sistem üzerinde 899.890 adet sorgu gerçekleştirildiği Kurul’a bildirilmiştir. İlgili kişilerin, veri ihlali ile ilgili bilgi almak için dpo@uedas.com.tr e-posta adresi üzerinden iletişime geçebilecekleri belirtilmiştir.
GRC LEGAL Yorumu: Aralık ayı içerisinde Kurul’a bildirilen veri ihlalleri incelendiğinde; siber saldırıların yalnızca verinin gizliliğini değil, aynı zamanda erişilebilirliğini de hedef alan yıkıcı yöntemlerle (fidye yazılımı/ransomware) gerçekleştirildiği ve bu saldırıların holding yapılanmaları içinde “zincirleme etki” yarattığı görülmektedir. Bu tablo, KVKK uyumunun kâğıt üzerinde kalan bir dokümantasyon süreci değil, aktif bir risk yönetimi olduğunu bir kez daha doğrulamaktadır.
Beyçelik Holding ve Dem İlaç bünyesinde gerçekleşen fidye yazılımı saldırıları, siber tehditlerin veri sorumlularını “veri kaybı” ile birlikte “operasyonel körlük” riskiyle de karşı karşıya bıraktığını göstermektedir. Özellikle verilerin şifrelenmesi nedeniyle etkilenen kişi sayısının ve veri kategorilerinin tespit edilememesi; şirketlerin yalnızca siber saldırıyı önleme değil, saldırı sonrası acil müdahale ve adli bilişim analiz kabiliyetlerini de geliştirmeleri gerektiğini ortaya koymaktadır.
Dem İlaç özelinde yaşanan ihlalin, grup şirketleri olan DMR Otomotiv ve Pharmada İlaç’ı doğrudan etkilemesi; grup şirketleri arasındaki entegre bilgi işlem altyapılarının barındırdığı riski gözler önüne sermektedir. Bu durum, grup şirketleri arasında ağ segmentasyonunun yapılmasının ve yetki matrislerinin şirket bazlı ayrıştırılmasının, krizin yayılmasını engellemek adına ne denli kritik olduğunu kanıtlamaktadır.
Balıkesir Uludağ Turizm ve Uludağ Elektrik Dağıtım A.Ş. nezdinde yaşanan ihlaller ise, hesap güvenliği ve tehdit takibi konusunda birbirini tamamlayan kritik dersler içermektedir. Balıkesir örneğindeki “kaba kuvvet” saldırısı, dış dünyaya açık panellerde Çok Faktörlü Kimlik Doğrulama (MFA) sistemlerinin zorunluluğunu ortaya koyarken; Uludağ Elektrik örneği, SMS tabanlı doğrulamanın dahi atlatılabildiği sofistike bir tehdit ortamına işaret etmektedir. Özellikle Uludağ Elektrik verilerinin Dark Web üzerinde tespit edilmesi, şirketlerin siber güvenliği yalnızca kendi iç sistemlerinde değil, siber tehdit dünyasını izleyen “Tehdit İstihbaratı” mekanizmalarıyla birlikte ele alması gerektiğini göstermektedir.
Sonuç olarak; aralık ayı tablosu, veri güvenliğinin yalnızca kurumların bilişim teknolojileri departmanına devredilecek teknik bir iş olmadığını; aksine hukuk, yönetim ve süreç sahiplerinin dahil olduğu bütüncül bir “Veri Yönetişimi” meselesi olduğunu açıkça göstermektedir. Şirketlerin siber olaylara karşı sadece teknolojik bariyerler kurması yeterli olmayıp; bu bariyerlerin hukuki dayanaklarını, çalışan farkındalığını ve denetim mekanizmalarını da eş zamanlı olarak güçlendirmeleri gerekmektedir.
KURUL KARARI
2025/2120 sayılı Turizm ve Otelcilik Sektöründe Konaklama Hizmeti Alan Kişilerin T.C. Kimlik Belgesi Fotokopisinin Kaydedilmesi Hakkında İlke Kararı
Kurul tarafından yayımlanan 06.11.2025 tarihli ve 2025/2120 sayılı İlke Kararı ile; turizm ve otelcilik sektöründe “veri güvenliği prosedürü” gerekçesiyle sıkça başvurulan kimlik belgesi fotokopisi alma/tarama uygulamasına yönelik bağlayıcı düzenlemeler getirilmiştir.
Kararda; 1774 sayılı Kimlik Bildirme Kanunu uyarınca kolluk kuvvetlerine bildirim yapmak amacıyla misafirlerin kimlik bilgilerinin (ad, soyadı, T.C. kimlik numarası vb.) işlenmesinin hukuka uygun olduğu teyit edilmekle birlikte; kimlik belgesinin fiziken fotokopisinin alınması veya optik okuyucularla taranarak sisteme kaydedilmesinin herhangi bir yasal dayanağı bulunmadığı ve bu işlemin “veri minimizasyonu” ilkesine aykırı olduğu vurgulanmıştır.
Kurul, veri sorumlularının kimlik doğrulama işlemlerini belgeyi yalnızca fiziken inceleyerek gerçekleştirmesi gerektiğini; bu tarihe kadar arşivlenen kimlik fotokopilerinin ise Kanun’un 7. maddesi uyarınca imha edilmesi gerektiğini hükme bağlamıştır. Aksi yöndeki uygulamaların Kanun’un 18. maddesi kapsamında yaptırıma tabi tutulacağı belirtilmiştir. Konuya ilişkin detaylı hukuki değerlendirmemize ulaşmak için buraya tıklayabilirsiniz
TÜRKİYE’DEKİ GELİŞMELER
İstanbul 9. Asliye Ticaret Mahkemesi’nin E. 2025/458 K. 2025/536 sayılı ve 25.09.2025 tarihli kararıyla; bir miras davası kapsamında mahkemenin talep ettiğinden daha fazla ve güncel hesap hareketini dosyaya sunan banka aleyhine, KVKK ve Türk Medeni Kanunu’nun kişiliğin korunmasına ilişkin hükümleri uyarınca manevi tazminata hükmedildi. Karara konu olayda; mahkeme tarafından miras davası nedeniyle ilgili kişilerin geriye dönük 10 yıllık hesap hareketleri talep edilmiş, ancak banka tarafından talep sınırları aşılarak ilgililerin güncel hesap hareketleri de dosyaya sunulmuştur. Söz konusu verilerin dava dosyasından sızdırılarak bir internet sitesinde yayımlanması üzerine davacılar, “müşteri sırrı” niteliğindeki verilerin ifşa edildiği gerekçesiyle manevi tazminat talebinde bulunmuştur.
İlk derece mahkemesi ve Bölge Adliye Mahkemesi, bankanın işlemi “sehven” gerçekleştirdiği ve kastı bulunmadığı gerekçesiyle davanın reddine karar vermişse de Yargıtay, süreci veri sorumlusunun sorumluluğu açısından; bankaların birer “güven kurumu” olduğu ve KVKK m. 12 uyarınca veri güvenliğini sağlamakla yükümlü kılındığı, müşteri sırrı ve kişisel veri niteliğindeki hassas bilgilerin korunmasında bankanın gerekli özeni göstermediği, veri sorumlusu sıfatıyla bankanın, verileri koruma ve hukuka uygun işleme yükümlülüğünü ihlal ettiği kriterleri ile değerlendirmiştir.
Yargıtay’ın bu tespitleri ışığında bozma kararına uyan İstanbul Asliye Ticaret Mahkemesi; talep dışı verilerin dosyaya sunulmasını kişilik haklarına saldırı olarak değerlendirmiş ve gerçek kişi davacıların her biri için 50.000 TL olmak üzere, toplamda 100.000 TL manevi tazminata hükmetmiştir. Öte yandan mahkeme, davacı tüzel kişiler yönünden yaptığı değerlendirmede; KVKK’nın koruma kapsamının yalnızca gerçek kişilere özgülenmesi ve Bankacılık Kanunu açısından ilgili şirketlerin doğrudan müşteri sıfatı taşımaması nedenleriyle tüzel kişilerin tazminat taleplerini reddetmiştir.
GRC LEGAL Yorumu: Yargıtay’ın bu emsal niteliğindeki kararı, veri sorumlularının resmi makamların taleplerini karşılarken dahi “veri minimizasyonu” ilkesinden taviz veremeyeceğini net bir şekilde ortaya koymaktadır. Bu çerçevede şirketlerin; mahkeme müzekkereleri veya resmi kurum yazışmalarına yanıt verirken, talep edilen verinin kapsamını (tarih aralığı, veri türü vb.) dikkatle analiz etmeleri ve “ihtiyaç duyulandan fazlasını paylaşmama” disiplinini kurumsal bir prosedür haline getirmeleri gerekmektedir. Aksi takdirde, iyi niyetle yapılan bir iş birliği dahi ciddi tazminat risklerine ve itibar kaybına yol açabilmektedir.
Kişisel Sağlık Verileri Hakkında Yönetmelik Değişiklikleri
03 Aralık 2025 tarihli Resmî Gazete’de yayımlanan yönetmelik değişikliği, sağlık sektöründe kişisel verilerin işlenmesi ve erişimi süreçlerinde köklü yenilikler getirmektedir. Yapılan değişikliklerle; geçmiş sağlık verilerine erişimin KVKK m. 6/3 kapsamındaki işleme şartlarına bağlanması, acil hallerde hekim erişiminin kapsamı, boşanma durumunda ebeveynlerin çocuk verilerine erişim sınırları, engelli bireylerin verilerine bakım veren erişimi ve vefat eden kişilerin sağlık verilerinin saklama süresinin 30 yıla çıkarılması gibi kritik hususlar yeniden düzenlenmiştir.
Düzenlemenin, sağlık hizmetinin kesintisiz sunumu ile veri güvenliği dengesini daha şeffaf bir zemine oturtmayı ve uygulamadaki tereddütleri gidermeyi hedeflediği görülmektedir. Konuya ilişkin detaylı çalışmamıza ulaşmak için buraya tıklayabilirsiniz.
DÜNYADAN GELİŞMELER
AB’de Dijital Mevzuat Reformu: “Dijital Omnibus” ve Sadeleştirme Tartışmaları[2]
Avrupa Komisyonu, Avrupa Birliği’nin küresel rekabet gücünü artırmak ve işletmeler üzerindeki idari yükü hafifletmek amacıyla, dijital alandaki temel düzenlemeleri (Genel Veri Koruma Tüzüğü (“GDPR”), Yapay Zekâ Yasası (“AI Act”), Veri Yasası (“Data Act”)) tek bir çatı altında revize etmeyi hedefleyen “Dijital Omnibus” teklifini sundu. Teklif, özellikle teknoloji ve veri odaklı sektörlerdeki uyum süreçlerini kolaylaştırmayı amaçlarken; AB Konseyi nezdinde Almanya, Hollanda ve Danimarka’nın başını çektiği bir grup üye devlet, mevcut teklifi yetersiz bularak düzenlemelerin çok daha kapsamlı şekilde sadeleştirilmesi gerektiğini savundu. Müzakere masasında öne çıkan ve hukuk çevrelerinde tartışılan temel değişiklik önerileri şunlardır:
Kişisel Veri Tanımının Esnetilmesi: GDPR’ın “kişisel veri” tanımının (Madde 4/1) mutlak bir yaklaşımdan ziyade “göreceli” bir yaklaşımla ele alınması; veriyi elinde bulunduran tarafın makul yollarla kişiyi yeniden teşhis etme imkânı yoksa, o verinin o kurum için kişisel veri sayılmaması önerilmektedir.
Yapay Zekâ İçin Hukuki Dayanak: Yapay zekâ modellerinin eğitimi ve geliştirilmesi süreçlerinde şirketlerin, açık rıza yerine “meşru menfaat” işleme şartına dayanabilmesi için GDPR’a ek yasal netlik kazandırılması hedeflenmektedir.
Raporlama Süreçlerinin Birleştirilmesi: Bir siber güvenlik olayı veya veri ihlali durumunda, şirketlerin GDPR, NIS2 Direktifleri (Şebeke ve Bilgi Güvenliği Direktifleri) ve DORA (Dijital Operasyon Dayanıklılık Yasası) gibi farklı düzenlemeler kapsamında ayrı ayrı bildirim yapması yerine, “tek bir temas noktası” üzerinden bildirim yapmasını sağlayacak ortak bir mekanizma kurulması planlanmaktadır.
Uyum Sürelerinin Uzatılması: Yapay Zekâ Yasası (“AI Act”) kapsamındaki yüksek riskli sistemler için öngörülen uyum sürelerinin uzatılması da gündemdeki diğer önemli başlıktır.
GRC LEGAL Yorumu: Avrupa Birliği’nin dijital mevzuat reformu çalışmaları, veri koruma disiplininde “mevcut standartlar” ile “ekonomik uygulanabilirlik” arasındaki dengenin yeniden tartışmaya açıldığını göstermektedir. Özellikle kişisel veri tanımının daha “göreceli” bir perspektifle ele alınması ve yapay zekâ süreçlerinde “meşru menfaat” şartının yasal zemine oturtulması yönündeki teklifler; veri sorumluları açısından operasyonel süreçleri etkileme potansiyeli taşımakla birlikte, her somut olayda yapılması gereken hukuki değerlendirmelerin kapsamını değiştirebilir. Bu yaklaşım, mevzuata uyumu statik bir kurallar bütününden ziyade, etki analizlerinin ve denge testlerinin belirleyici olduğu dinamik bir sürece dönüştürme eğilimi taşımaktadır.
Öte yandan, GDPR, NIS2 ve DORA gibi farklı düzenlemelerden kaynaklanan bildirim yükümlülüklerinin tekilleştirilmesi girişimi, regülasyonlar arası mükerrerliğin giderilmesi bakımından teknik bir zorunluluk olarak öne çıkmaktadır. İdari süreçlerin sadeleştirilmesini hedefleyen bu model, şirketlerin kaynaklarını bürokratik işlemler yerine doğrudan risk yönetimine ayırmasına olanak tanımayı amaçlasa da farklı otoriteler arasındaki yetki paylaşımı ve koordinasyonun pratikte nasıl sağlanacağı, düzenlemenin başarısında belirleyici olacaktır. Süreç, AB’nin veri koruma seviyesini muhafaza ederek regülasyon yapısını ne ölçüde esnetebileceğini gösterecek önemli bir sınav niteliğinde olduğu söylenebilecektir.
[1] Beyçelik Holding AŞ, Bak Enerji Üretimi AŞ, Ber Enerji Üretim AŞ, BEWEN Enerji AŞ, Beyçelik Elawan Yenilenebilir Enerji Üretim AŞ, Beyçelik Gestamp Otomotiv Sanayi AŞ, Beyçelik Gestamp Şasi Otomotiv Sanayi AŞ, Beyçelik Gestamp Teknoloji ve Kalıp Sanayi AŞ, Beyçelik Sigorta Aracılık Hizmetleri Anonim Şirketi, Çelikform Gestamp Otomotiv AŞ, Gesbey Enerji Türbini Kule Üretim San. Tic. AŞ, Gescrap Turkey Metal San. Tic. AŞ, Sabaş Elektrik Üretim AŞ, Warmhaus Isıtma ve Soğutma Sistemleri San. Tic. AŞ, YGT Elektrik Üretim AŞ
[2] https://www.euractiv.com/news/councils-simplification-hawks-smell-blood-on-ripping-up-tech-rules/ E.T. 23.12.2025
https://iapp.org/news/a/eu-digital-omnibus-analysis-of-key-changes E.T. 23.12.2025
