KVKK Veri İhlal Bildirimleri Analizi: Genişleyen Risk Alanları ve Hukuki Yaptırımlar

Giriş: Kişisel Verileri Koruma Kurumu tarafından son zamanlarda yayımlanan ve sayısı yüzü geçmekte olan veri ihlali bildirimleri tarafımızca topluca değerlendirilmiştir. Söz konusu duyurular bir bütün olarak incelendiğinde, veri güvenliği riskinin büyük ölçüde tedarik zinciri ve dış hizmet sağlayıcılar üzerinden şekillendiği görülmektedir.

İhlaller Nasıl Gerçekleşmiştir?

İhlallerin büyük çoğunluğu (yaklaşık %70), veri sorumlularının kendi sistemlerinde değil, hizmet aldıkları veri işleyen/tedarikçi sistemlerinde gerçekleşmiştir. Çok sayıda duyuruda erişim, kullanılan üçüncü parti bir yazılım bileşenindeki (kütüphanedeki) güvenlik açığından kaynaklanmıştır. Ayrıca fidye yazılımı saldırıları önceki dönemde neredeyse hiç görülmezken dönem sonuna doğru belirgin biçimde artmıştır, bir ilan grubundaki 17 duyurunun 6'sı fidye kaynaklı olup ağırlıkla yazılım/çağrı merkezi hizmeti veren firmalar ile bir üniversiteyi etkilemiştir.

İlanlar Hangi Sektörlerde Yoğunlaşmıştır?

Ağırlık tüketiciye yönelik olmak üzere e-ticaret ve perakende tarafındadır. Özellikle tekstil/giyim ve mağazacılık ardından kozmetik-sağlık ve gıda sektörleri gelmektedir. Ekim ayındaki fidye yazılım saldırıları ile birlikte yazılım/bilişim ve kamu-eğitim gibi sektörler de etkilenmiştir.

Hangi Veriler Etkilenmiştir?

Etkilenen veriler genellikle temel iletişim ve üyelik bilgileridir (ad-soyad, e-posta, adres, telefon ve giriş/şifre bilgileri). Lokasyon, hukuki işlem, risk yönetimi, salt finansal veriler ve kimlik numarası verileri gibi veriler ise daha az etkilenmiştir. Fidye kaynaklı olaylarda ise özlük/İK (deneyim- performans) verileri, özgeçmişler ve çağrı kayıtları gibi veriler öne çıkmaktadır. Duyuruların çoğunda etkilenen kişi sayısı henüz kesinleşmemiştir.

Veri ihlal bildirimleri daha çok genel nitelikli verilerle ilgilidir ancak 9 duyuruda Kişisel Verilerin Korunması Kanunu (“KVKK”) m.6 kapsamındaki özel nitelikli verilerin de etkilendiği açıkça belirtilmiştir. Çalışan özlük dosyaları etkilendiğinden sağlık bilgileri ile ceza mahkûmiyeti/güvenlik tedbiri (adli sicil kayıtları) verileri, bir inşaat şirketi örneğinde ayrıca biyometrik ve genetik veriler ihlale konu olmuştur. Görme engelli üyelere hizmet veren firmalarda bu üyelere verilen çağrı merkezi desteği nedeniyle engellilik bilgisi verileri etkilenmiştir. Bir vize/değişim programı şirketinde ise program kapsamında adli sicil ve güvenlik soruşturması belgeleri ihlale konu olmuştur.

Sektörel Bazda Örnek Vakalar:

• Bir kozmetik perakende zinciri: Tedarikçi sunucusundaki üçüncü parti yazılım açığı istismar edilmiştir. 6,2 milyondan fazla kişi etkilenmiş olup dönemin en büyük ihlalini oluşturmaktadır.

   

• Bir tekstil/giyim e-ticaret firması: Aynı tipte tedarikçi kaynaklı açık nedeniyle yaklaşık 95 bin müşteri etkilenmiştir.

• Bir ayakkabı perakendecisi: Veri işleyen kaynaklı ihlal nedeniyle yaklaşık 354 bin kişi etkilenmiştir.

   

• Bir inşaat şirketi: Çalışan özlük verileriyle birlikte sağlık, biyometrik ve genetik veriler ihlale konu olmuştur.

   

• Çağrı merkezi/yazılım hizmeti veren bir grup şirket: Fidye yazılımı saldırısı sebebiyle çalışan özlük/performans verileri, iş başvuru özgeçmişleri ve çağrı kayıtları etkilenmiştir.

• Uluslararası bir tasarım/yazılım platformu: Üçüncü taraf bir araç üzerinden erişim ile Türkiye'de yüzlerce kurumu ilgilendiren veriler etkilenmiştir.

Riskin Kapsamı Yalnızca E-ticaret Şirketleriyle Sınırlı Değildir

İhlal duyurularında e-ticaret ve perakende şirketleri öne çıkmakla birlikte ortaya çıkan riskin yalnızca bu sektörlere özgü olduğu yönündeki bir değerlendirme isabetli olmayacaktır. Müşteri verisi işlemediğini düşünen inşaat, üretim veya hizmet alanındaki şirketlerin dahi istihdam ettikleri personele ilişkin özlük verilerini işlediği göz ardı edilmemelidir. Yukarıda yer verilen inşaat şirketi örneğinde olduğu gibi sağlık, adli sicil, hatta biyometrik ve genetik veriler gibi özel nitelikli veri kategorileri de işlenebilmektedir. Bu sebeple, bir veri ihlalinin doğurabileceği hukuki sorumluluk ve idari yaptırım riski, sektör ayrımı gözetmeksizin tüm veri sorumlularını ilgilendirmektedir.

E-ticaret ve internet üzerinden faaliyet gösteren kurumlar bakımından ise tablonun daha belirgin olduğu söylenebilir. İhlallerin büyük bölümünün kurumun kendi sisteminde değil, hizmet aldığı dış altyapıda meydana gelmesi veri sorumlusunun sorumluluğunu ortadan kaldırmamaktadır aksine veri işleyen ve tedarikçilerin denetlenmesine ilişkin yükümlülüğü daha da öne çıkarmaktadır.

İstatistiki Veriler ve Tablolar

Aşağıdaki tablolar, yukarıdaki değerlendirmeye esas alınan son dönem veri ihlali bildirimlerinin istatistiki dökümünü içermektedir.

(Bir duyuruda birden fazla ilgili kişi grubu belirtilebildiğinden oranların toplamı %100'ü aşar. 13 duyuruda etkilenen grup açıkça belirtilmemiştir. Tabloda gruplar duyurularda kullanıldıkları ifadelerle (müşteri, kullanıcı, üye, abone ayrı ayrı) verilmiştir, bunların tamamı tüketiciye dönük gruplardır ve birlikte değerlendirildiğinde ihlallerin ağırlıklı olarak müşteri/tüketici verisini etkilediğini göstermektedir. Çalışan grubu ise çoğunlukla fidye yazılımı ve özlük dosyası kaynaklı ihlallerde öne çıkmaktadır.)

(109 duyuru üzerinden, bir duyuruda birden fazla veri türü olabilir. Bazı duyurular alanları tek tek sayarken bazıları KVKK veri kategorileri — kimlik, iletişim, özlük vb. — olarak belirttiğinden oranlar yaklaşıktır.)

Alınması Önerilen Tedbirler

1. Veri işleyen envanterinin çıkarılması: Hangi dış sağlayıcıların, yazılımların ve altyapıların kullanıldığı ve verinin fiilen kimler tarafından işlendiği tespit edilmelidir.

2. Tedarikçi/Veri İşleyen Sözleşmelerinin gözden geçirilmesi: KVKK m.12 kapsamında teknik/idari tedbir taahhütleri, alt-işleyen onayı, ihlal bildirim süreleri ve denetim hakkının bulunup bulunmadığı incelenmelidir.

3. Yıllık güvenlik denetimi/sızma testi talep edilmesi: Tedarikçilerden düzenli bağımsız güvenlik raporu talep edilmeli ve bu yükümlülük sözleşmeye bağlanmalıdır.

4. Üçüncü parti bileşen ve yama yönetimi: Kullanılan yazılım kütüphanelerinin envanteri çıkarılmalı ve güncellik durumu düzenli olarak takip edilmelidir.

5. Fidye yazılımına karşı dayanıklılık: Çevrimdışı/değiştirilemez yedekleme, ağ segmentasyonu ve olay müdahale planı oluşturulmalıdır.

6. Özel nitelikli veri rejiminin uygulanması: Özlük dosyalarında sağlık/adli sicil verisi tutan işverenler, KVKK m.6 ve Kurul'un ek tedbir kararları kapsamında ayrı bir güvenlik ve saklama rejimi uygulamalıdır.

Sonuç: Son dönem veri ihlalleri, veri güvenliğinin artık yalnızca kurum içi bir mesele olmaktan çıktığını veri sorumlusunun, hizmet aldığı veri işleyen ve tedarikçilerin güvenlik düzeyinden de sorumlu tutulabileceğini ortaya koymaktadır. Bu itibarla uyum çalışmalarının münferit tedbirlerle sınırlı kalmaması, tedarik zincirini de kapsayacak şekilde sürekli ve bütüncül bir yaklaşımla yürütülmesi önem taşımaktadır. Veri ihlalinin bir ihtimal olmaktan çıkıp gerçekleşme zamanının sorgulandığı bir döneme girildiği dikkate alındığında, önleyici tedbirlere ayrılacak kaynağın olası bir ihlalin doğuracağı hukuki, mali ve itibari sonuçların yanında sınırlı kalacağı değerlendirilmektedir.