Veri Koruma ve Uyum Bülteni – Ekim 2025
Kişisel Verilerin Korunması Hukuku, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK” veya “Kanun”) ve ikincil düzenlemeleriyle birlikte sürekli gelişen ve güncellenen bir hukuk alanıdır. Bu alandaki uygulamalar yalnızca Kanun ve ilgili yönetmeliklerle sınırlı kalmayıp; Kişisel Verileri Koruma Kurulu’nun (“Kurul”) kararları, ilke kararları ve karar özetleriyle şekillenmekte ve somutlaşmaktadır. Bu kapsamda, ilgili ay bazında hazırlanan KVKK Bültenleri, veri koruma alanındaki güncel gelişmeleri takip etmek isteyenler için bir kaynak niteliği taşımakta, güncelliği sağlamayı ve ilgilileri bilgilendirmeyi amaçlamaktadır.
Dünya genelinde siber güvenlik farkındalık ayı olarak kabul edilen Ekim ayında Kişisel Verileri Koruma Kurumu (“Kurum”) internet sitesi olan www.kvkk.gov.tr alan adlı sitede dört adet veri ihlal bildirimi ve “Ana Faaliyet Konusu Özel Nitelikli Kişisel Veri işleme Olan Veri Sorumlularının VERBİS’e Kayıt Yükümlülüğüne İlişkin İstisna Kriteri Hakkında Kamuoyu Duyurusu” yayımlanmış; Siber Güvenlik Farkındalık Ayı’na ilişkin tavsiyelerde bulunmuştur.
SİBER GÜVENLİK FARKINDALIK AYI
Ekim ayı, Avrupa Birliği’nde European Cybersecurity Month (“ECSM”) kapsamında her yıl siber farkındalık etkinliklerinin yürütüldüğü resmi farkındalık dönemidir. ECSM, Avrupa Birliği Siber Güvenlik Ajansı (“European Union Agency for Cybersecurity”, “ENISA”) ile Avrupa Komisyonu koordinasyonunda; vatandaşlar ve kurumlar için siber hijyen, iyi uygulamalar ve güncel tehditlere karşı hazırlık temalarını öne çıkarmaktadır. İlgili ay boyunca Avrupa genelinde eğitimler, seminerler, tatbikatlar ve kamuoyu etkinlikleri düzenlenmektedir.
#THINKB4UCLICK: ENISA, ECSM kapsamında “think before you click” mottosuyla, oltalama (phishing) saldırısının hâlâ en yaygın ilk sızma yöntemi olduğunu özellikle vurgulamaktadır. Yaşanan siber güvenlik vakalarının %60’lık bölümünde ilk erişimin sahte e-posta/SMS/ileti yoluyla sağlandığını, bu nedenle tıklama öncesi kontrol ve şüpheli içeriklere karşı farkındalığın kritik olduğunu hatırlatmaktadır.
Kişisel Verileri Koruma Kurumu (“Kurum”) ise siber güvenlik farkındalık ayına istinaden verdiği tavsiyelerle siber güvenlik ile kişisel verilerin korunması arasındaki doğrudan bağlantıya dikkat çekmekte ve temel siber hijyen adımlarını KVKK yükümlülükleriyle birlikte işletilmesinin üstünde durmaktadır.
VERİ İHLAL BİLDİRİMLERİ
KVKK madde 12/5 uyarınca, işlenen kişisel verilerin hukuka aykırı yollarla üçüncü kişiler tarafından elde edilmesi hâlinde; veri sorumlusu, bu durumu ilgili kişiye ve Kurul’a ivedilikle bildirmekle yükümlüdür. Anılan hüküm çerçevesinde; Kurul, gerekli görmesi hâlinde söz konusu veri ihlalini kendi internet sitesi aracılığıyla veya uygun göreceği başka yöntemlerle kamuoyuna ilan edebilmektedir. İşbu düzenleme, veri ihlallerinin etkin şekilde yönetilmesini ve ilgili kişilerin zamanında bilgilendirilmesini teminen getirilmiştir.
Mango
Veri sorumlusu sıfatını haiz Mango T.R. Tekstil Tic. Ltd. Şti., dijital pazarlama altyapısına yönelik gerçekleştirilen siber saldırı sonucunda bazı müşteri verilerinin yetkisiz kişilerce ele geçirildiğini Kurul’a bildirmiştir. Bildirime göre ihlal, 06.10.2025 – 10.10.2025 tarihleri arasında meydana gelmiş, 10.10.2025 tarihinde tespit edilmiştir. İhlalin, Mango tarafından kullanılan dijital pazarlama e-posta sistemi platformunun API’sine erişimde kullanılan yönetici kimlik bilgilerinin sızdırılması sonucu ortaya çıktığı; bu yöntemle müşteri verilerine yetkisiz erişim sağlandığı anlaşılmıştır. Saldırının Mango’nun İspanya merkezini hedef aldığı, bu kapsamda Türkiye dâhil birçok ülkedeki müşterilerin etkilendiği belirtilmiştir.
İhlalden etkilenen kişisel verilerin ad (soyadı hariç), ülke, posta kodu, telefon numarası ve e-posta adresi olduğu; parola, finansal veri veya ödeme bilgilerine ilişkin bir ihlalin bulunmadığı ifade edilmiştir. Mango Türkiye özelinde ihlalden 4.349.620 ilgili kişinin etkilendiği Kurul’a iletilmiştir.
Mango, olayın ardından AEPD’ye (İspanyol Veri Koruma Otoritesi) bildirim yapıldığını, şirket altyapısı ve kurumsal sistemlerin saldırıdan etkilenmediğini, çevrimiçi operasyonların kesintisiz devam ettiğini duyurdu. Ayrıca müşterilere, oltalama (phishing) ve sosyal mühendislik yöntemleriyle yapılabilecek dolandırıcılık girişimlerine karşı dikkatli olmaları yönünde uyarı yapıldı.
Cleverbridge GmbH
Veri sorumlusu sıfatını haiz Cleverbridge GmbH tarafından Kurul’a iletilen bildirimde; ihlalin 10.09.2025 tarihinde gerçekleştiği ve 15.09.2025 tarihinde tespit edildiği, müşteri veri tabanına yetkisiz erişim sonucunda veri ihlali meydana geldiği, API’nin olağandışı kullanımı üzerine erişimin engellendiği belirtilmiştir. İhlalden etkilenen kişisel verilerin isim, şirket, e-posta, ödeme yöntemi, kartın son 4 hanesi, kartın son kullanma tarihi ile ürün ve faturalandırma ayrıntıları olduğu; ihlalden müşteriler ve potansiyel müşterilerin etkilendiği, toplamda 1.235 kişinin veri ihlalinden etkilendiği Kurul’a bildirilmiştir.
Haydigiy E-Ticaret Tekstil Sanayi ve Ticaret Limited Şirketi
Veri sorumlusu sıfatını haiz Haydigiy E-Ticaret Tekstil Sanayi ve Ticaret Ltd. Şti. tarafından Kurul’a iletilen bildirimde; ihlalin kesin başlangıç tarihinin henüz tespit edilemediği ancak olayın 15.10.2025 tarihinde fark edildiği belirtilmiştir. Veri sorumlusu, bazı müşterilerin ilettiği şüpheli işlem bildirimleri üzerine yaptığı incelemede bir yönetici hesabına yetkisiz erişim sağlandığını ve bu hesap üzerinden siteye kod eklendiğini tespit ettiğini bildirmiştir. İhlalden aboneler/üyeler ile müşteri ve potansiyel müşterilerin etkilendiği; ihlale konu kişisel veri kategorilerinin iletişim, lokasyon ve finans bilgileri olduğu ifade edilmiştir.
İstanbul Golf İhtisas Spor Kulübü
Veri sorumlusu sıfatını haiz İstanbul Golf İhtisas Spor Kulübü tarafından Kurul’a iletilen bildirimde; ihlalin 15.10.2025 tarihinde, veri sorumlusunun bilgisayarında fidye talebi içeren bir mesajın görülmesi üzerine tespit edildiği belirtilmiştir. Bilgisayarda yer alan dosyalar üzerinde şifreleme girişiminde bulunulduğu, ancak bu işlemin tamamlanamadığı ifade edilmiştir. İhlalden aboneler/üyeler grubunun etkilendiği; ihlale konu kişisel verilerin kimlik (T.C. No), iletişim (e-posta, cep/ofis telefonu), lokasyon (adres), özlük (medeni hal, adli sicil kaydı) ve mesleki deneyim bilgileri olduğu aktarılmıştır.
GRC LEGAL Yorumu: Siber güvenlik farkındalığının öneminin bir kez daha hatırlandığı bu dönemde, kamuoyuna yansıyan veri ihlallerine bakıldığında; API ve hesap güvenliğine bağlı yetkisiz erişimler, yönetici hesabının ele geçirilmesi ve fidye yazılımı saldırısı ile karşı karşıya kalındığı görülmektedir. Bu tablo, ilk sızma vektörleri farklı görünse de ihlallerin özünde zayıf kimlik doğrulama, yetersiz erişim kontrolleri ve siber güvenlik hazırlığının eksikliği gibi ortak paydaların bulunduğunu göstermektedir.
Bu çerçevede, KVKK m.12 kapsamında öngörülen teknik ve idari tedbirlerin yalnızca dokümantasyon düzeyinde kalmaması; güçlü kimlik doğrulama politikalarının uygulanması, tedarikçi güvenliğinin risk temelli bir yaklaşımla değerlendirilmesi, siber güvenlik olayları ve veri ihlallerine yönelik müdahale planlarının düzenli olarak test edilmesi ve çalışan farkındalığının periyodik eğitimlerle sürdürülebilir kılınması büyük önem taşımaktadır.
Bununla birlikte, 7545 sayılı Siber Güvenlik Kanunu ile getirilen yükümlülüklerin, kişisel veri koruma yükümlülükleriyle doğrudan kesiştiği görülmekte olup şirketlerin KVKK uyumunu siber güvenlik stratejilerinden ayrık değil, entegre biçimde tasarlamaları; veri koruma, bilgi güvenliği ve iş sürekliliği yönetim sistemlerini birlikte ele almaları gerekmektedir. Aksi halde, teknik sistem güvenliğini KVKK’dan, veri koruma süreçlerini de bilgi güvenliğinden bağımsız ele almak, savunma zincirinde zayıf halkalar oluşturur. Zira küçük görünen bir parola zafiyeti dahi, yalnızca veri ihlaline değil, kurumsal güvenin ve operasyonel sürekliliğin zedelenmesine yol açabilir.
TÜRKİYE’DEKİ GELİŞMELER
VERBİS Kayıt Yükümlülüğü İstisnaları Genişletildi!
Kurul’un 04.09.2025 tarihli ve 2025/1572 sayılı kararıyla, ana faaliyet konusu özel nitelikli kişisel verilerin işlenmesi olan veri sorumluları için VERBİS’e kayıt yükümlülüğüne ilişkin yeni bir istisna getirilmiştir. Buna göre, yıllık çalışan sayısı 10’dan az ve yıllık mali bilanço toplamı 10 milyon TL’nin altında olan veri sorumluları da artık VERBİS’e kayıt yükümlülüğünden muaf tutulacaktır. Böylece, daha önce yalnızca ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan küçük ölçekli veri sorumlularına tanınan istisna kapsam bakımından genişletilmiştir. İlgili kararın ardından, ise Veri Sorumluları Sicil Bilgi Sistemi (VERBİS) Kılavuzu ile Sorularla VERBİS Rehberi de bu doğrultuda güncellenmiştir.
GRC LEGAL Yorumu: Söz konusu düzenleme; özellikle muayenehaneler, diş klinikleri, eczaneler, psikolojik danışmanlık merkezleri, laboratuvarlar, görüntüleme merkezleri ve diyetisyenler gibi mikro ölçekli yapılarda idari ve mali yükün azaltılmasını hedeflemekte olup uygulamada önemli bir kolaylık sağlayacağı düşünülmektedir. Bununla birlikte, VERBİS’e kayıt muafiyetinin; veri sorumlularının aydınlatma yükümlülüğü, teknik ve idari tedbirlerin alınması, veri güvenliğinin sağlanması, saklama ve imha süreçlerinin yürütülmesi ile ilgili kişi başvurularının cevaplanması gibi KVKK kapsamındaki diğer yükümlülüklerini ortadan kaldırmadığı unutulmamalıdır.
Özel Sağlık Sigortaları Yönetmeliği’nde KVKK Değişiklikleri
20 Ekim 2025 tarihli Resmî Gazete’de yayımlanan Özel Sağlık Sigortaları Yönetmeliğinde Değişiklik Yapılmasına Dair Yönetmelik, sigorta sektöründe kişisel verilerin korunmasına ilişkin önemli yenilikler getirmektedir. Yapılan değişikliklerle; sağlık verilerinin muhafazası, saklama sürelerinin belirlenmesi, özel nitelikli kişisel veri işleme şartlarının gözetilmesi, sır saklama yükümlülüğü ve KVKK ile tam uyumun sağlanması amaçlanmaktadır. Düzenlemenin, geçtiğimiz yıl KVKK’da yapılan değişikliklerle uyumlu bir yapı oluşturmayı hedeflediği görülmektedir. Konuya ilişkin detaylı çalışmamıza ulaşmak için buraya tıklayabilirsiniz.
DÜNYADAN GELİŞMELER
İKEA’ya Kamera Yerleşimlerinden Dolayı Para Cezası
Avusturya Veri Koruma Otoritesi, bir IKEA mağazasında kullanılan dokuz kameradan oluşan gözetim sisteminin; müşteri hareketlerini geniş bir alanda ve ödeme noktalarındaki PIN girişleri de dâhil olmak üzere gereğinden fazla şekilde kaydetmesi nedeniyle, ilgili şirketin Avrupa Birliği Genel Veri Koruma Tüzüğü (“General Data Protection Regulation” – “GDPR”) m.5/1-a, m.5/1-c ve m.6/1 hükümlerini ihlal ettiğine karar vererek 1.500.000 € tutarında idari para cezası uygulamıştır.
Soruşturma, anonim bir şikâyet üzerine başlatılmış olup, kayıtların Mart 2022 – Mayıs 2022 döneminde tutulduğu ve bu süreçte yaklaşık 637 müşterinin PIN girişlerinin görüntülendiği tespit edilmiştir. Otorite, gözetimin amaçla orantılı olmadığını, veri minimizasyonu ilkesine aykırı şekilde hareket edildiğini ve geçerli bir hukuki işleme şartının bulunmadığını belirlemiştir. Ayrıca, gözetim alanlarının yüksek yoğunluklu kamusal geçiş bölgelerini de kapsaması eleştiri konusu olmuştur.
Şirket; itirazında, kayıtların bir kısmının kişisel veri niteliği taşımadığını, güvenlik amacının ağır bastığını ve cezanın orantısız olduğunu ileri sürmüşse de İdare Mahkemesi itirazı yalnızca iki kameranın konumlandırılması yönünden haklı bulmuş ve diğer yedi kamera bakımından ihlalin devam ettiğine hükmetmiştir.
Mahkeme, gözetim amacıyla daha hafif müdahale imkânlarının mevcut olmasına rağmen sürekli ve geniş açılı izleme tercih edilmesini ölçüsüzlük; şirketin bilinen sorunları haftalarca gidermemesini ise “ağır ihmal” olarak nitelendirmiştir.
Fransa Veri Koruma Otoritesi’nden Gizli Kameralar Kullanan Şirkete Ceza
Fransa Veri Koruma Otoritesi (“CNIL”), depo alanlarına duman dedektörü biçiminde gizlenmiş ve ses kayıt özelliği bulunan kameralar yerleştiren bir perakende şirketine, çalışanların kişisel verilerini hukuka aykırı şekilde işlemesi nedeniyle 100.000€ tutarında idari para cezası uygulanmasına karar verdi.
Bir çalışanın şikâyeti üzerine başlatılan inceleme sonucunda, depo alanlarına kurulan mikrofonlu beş gizli kameranın birkaç hafta boyunca çalışanların görüntü ve ses kayıtlarını aldığı tespit edildi. Çalışanların cihazları fark ederek sökmesi ve SD kartlara ulaşması üzerine şirket CNIL’e veri ihlali bildiriminde bulundu.
Şirket savunmasında, kameraların hırsızlık riskini analiz etmek amacıyla “test kurulumu” kapsamında kullanıldığını, çalışan takibi amacı taşımadığını, mikrofon özelliğinden haberdar olmadığını ve sistemin “gizli kamera” olarak değerlendirilmemesi gerektiğini ileri sürdü. Ancak CNIL, bu savunmaları yerinde görmedi. CNIL kararında aşağıda yer alan tespitler öne çıktı;
- Gizli kamera kurulumu, veri minimizasyonu ve şeffaflık ilkelerine aykırıdır.
• Ses kaydı alınması, ölçülülük ilkesini açık şekilde ihlal etmektedir.
• Veri Koruma Görevlisi’nin (DPO) sürece zamanında dahil edilmemesi, GDPR m.38/1 hükmünün ihlali niteliğindedir.
• Çalışanların bilgilendirilmemesi nedeniyle adil işleme ve şeffaflık ilkeleri ihlal edilmiştir.
• Gizli kamera kullanımı, Avrupa İnsan Hakları Mahkemesi içtihatları uyarınca yalnızca istisnai ve geçici hallerde mümkündür.
