Veri sorumlusu tarafından Kuruma gönderilen kişisel veri ihlali bildirimi ve diğer yazılarda özetle;
- İhlalin bir siber saldırı sonucunda meydana geldiği, şirket verilerinin bir kısmının şifrelendiği ve veri sorumlusundan fidye talep edildiği,
- İhlalin siber saldırgan/saldırganların veri sorumlusu ile iletişime geçmesi (Google Chat üzerinden) ile tespit edildiği,
- Siber saldırganın/saldırganların, sunucu ve bilgisayar masaüstüne bir not bıraktığı,
- Sunucu üzerindeki şifrelenmiş verilerin açılmasının mümkün olmadığı; backup’tan geri dönüldüğü ve sunucuların tekrar çalışır duruma getirildiği,
- Siber saldırganın/saldırganların; şirket verilerini şifrelemelerinin yanında kişisel verilere erişim sağladığı veya indirdiğine ilişkin bir tespitin bulunmadığı; veri sorumlusunun sadece şifrelemeden haberdar olduğu,
- Veri ihlali ile ilgili olarak adli makamlara suç duyurusunda bulunulduğu;
- İhlalin gerçekleştiği zaman diliminde şirket bünyesinde herhangi bir çalışanın fiziksel olarak bulunmadığı; bu durumun doğal bir sonucu olarak, söz konusu ihlalin herhangi bir çalışanı doğrudan veya dolaylı olarak etkilemediği kanaatinin veri sorumlusunca değerlendirildiği,
- İhlale konu olan sistemin, insan kaynakları departmanından ziyade, finans ve muhasebe departmanları tarafından yoğun olarak kullanılan bir sistem olduğu,
- Veri ihlaline konu olan şirketlerin grup şirketler olduğu, her bir çalışana KEP adresleri üzerinden veya elden bildirim yapıldığı
beyanlarına yer verilmiştir.
Veri sorumlusu bünyesinde gerçekleşen kişisel veri ihlalinin Kurumumuzun görev ve yetki alanı çerçevesinde incelenmesi neticesinde Kişisel Verileri Koruma Kurulunun 26/12/2024 tarihli ve 2024/2196 sayılı Kararı ile,
- Veri sorumlusu sistemlerine yapılan fidye yazılımı saldırısı sonucunda veri ihlalinin gerçekleştiği; siber saldırgan/saldırganların, veri sorumlusu sistemlerindeki verileri şifrelemelerinin yanı sıra verileri elde ettiklerini (kopyaladıklarını) de iddia ettikleri; veri sorumlusunun, verilerin elde edildiği hususunda haberi olmadığını belirttiği ancak veri sorumlusu tarafından yapılan suç duyurusuna ilişkin dava dilekçesi incelendiğinde veri sorumlusunun, verilerin siber saldırgan/saldırganlarca elde edildiği hususuna dilekçede yer verdiğinin görüldüğü,
- İhlalden etkilenen kişiler ile ilgili olarak veri sorumlusunun çelişki içeren farklı beyanlarının bulunduğu; Kurumumuza intikal eden veri ihlali bildiriminde çalışan, müşteriler/potansiyel müşterilerin ihlalden etkilendiği belirtilmiş olmasına rağmen daha sonra Kurumumuza gönderilen yazılarda;
- İhlalden sadece 388 şirket çalışanının etkilendiği, ihlalden etkilenen müşteri verilerinin kişisel veri değil ticari veri (fatura) olduğu,
- İhlalden hiçbir kişinin kişisel verisinin etkilenmediği, buna ek olarak “… İhlale konu olan sistemin, insan kaynakları departmanından ziyade, finans ve muhasebe departmanları tarafından yoğun olarak kullanılan bir sistem olduğu; bu sistemde eski çalışanlar ya da çalışan adaylarına ait verilerin yer almadığı hususunun veri sorumlusu tarafından detaylı olarak incelendiği ve tespit edildiği; ihlale konu sistemin kullanım amacının finansal veri işlemlerine yönelik olması nedeniyle, insan kaynakları departmanına ait veya eski çalışanlara ilişkin herhangi bir verinin bu sistemde bulunmadığının anlaşıldığı; söz konusu sistemin, esas itibarıyla veri sorumlusunun finansal süreçlerini destekleyen bir araç olarak işlev görmekte olduğu, içerdiği verilerin, sadece şirketin finansal verilerinden ibaret olduğu; bu kapsamda, ihlalin şirket çalışanlarını ve müşterilerini etkilemediği ve kişisel veri niteliğinde herhangi bir bilginin ihlale konu olmadığı …”
hususlarının veri sorumlusu tarafından beyan edildiği ancak bilindiği üzere 6698 sayılı Kişisel Verilerin Korunması Kanununda (Kanun) yer alan kişisel verinin tanımı gereği tüzel kişiye ait bir verinin herhangi bir gerçek kişiyi belirlemesi ya da belirlenebilir kılması halinde bu verilerin de Kanun kapsamında koruma altında olduğu, bu kapsamda bahse konu dokümanların (müşteri bilgilerini içerir dokümanlar) gerçek kişiyi belirli veya belirlenebilir kılan herhangi bir veriyi içerip içermediğinin tespit edilmesinin gerekli olduğu; veri sorumlusunun, bahse konu dokümanların (ihlale konu dokümanlar) örneklerini kendisinden talep edilmesine rağmen Kurumumuza sunmadığı; çalışanlara ait kişisel veriler ile ilgili olarak ise veri sorumlusunun, veri ihlali bildiriminde bahsettiği çalışan verilerinin ihlalden etkilendiği hususundaki beyanlarının (aynı zamanda dava dilekçesinde de çalışan verilerinin ihlalden etkilendiği belirtilmiştir) aksini gösterecek tevsik edici belgeleri Kurumumuza sunamadığı, tüm bu durumlara ek olarak kendisinden talep edilmesine rağmen Kişisel Veri İşleme Envanteri’nin bir örneğini Kurumumuza göndermediği (veri ihlali bildirimde bahse konu envanterin ihlal öncesinde hazırlandığı belirtilmiştir),
- İhlalden etkilenen kişisel veriler/kişisel veri kategorileri ile ilgili olarak;
- Kurum kayıtlarına intikal eden veri ihlali bildirimine göre; ihlalden etkilenen kişisel veri kategorilerinin kimlik, iletişim, lokasyon, özlük, hukuki işlem, müşteri işlem, fiziksel mekân güvenliği, işlem güvenliği, risk yönetimi, finans, mesleki deneyim, pazarlama, görsel ve işitsel kayıtlar olduğu, ihlalden etkilenen özel nitelikli kişisel veri kategorilerinin kılık ve kıyafet, sağlık bilgileri, biyometrik veri, ceza mahkûmiyeti ve güvenlik tedbirleri olduğu,
- Kurum kayıtlarına intikal eden yazıya göre; ihlalden etkilenen kişisel verilerin çalışanlara ait maaş bilgisi, banka hesap bilgisi, bordro bilgisi, çalışma bilgileri, kimlik bilgileri, erişim bilgileri, pasaport bilgileri olduğu, müşterilere ait şifrelenen verilerin fatura bilgileri olduğu ve kişisel veri niteliğinde değil ticari veri olduğu,
- Kurum kayıtlarına intikal eden yazıya göre ise; veri ihlalinden herhangi bir kişisel verinin etkilenmediği
hususlarının veri sorumlusu tarafından belirtildiği, bahse konu beyanların çelişkiler içerdiğinin görüldüğü; veri sorumlusunun, sadece çalışanlara ilişkin etkilenen verileri gösterir tevsik edici belgeleri Kurumumuza sunduğu; bahse konu belgeler incelendiğinde de çalışanlara ait çok sayıda farklı kategoride kişisel verinin (özel nitelikli kişisel veri kategorisinde yer alan veriler dahil olmak üzere) bulunduğunun görüldüğü; müşterilere ilişkin herhangi bir kişisel verinin ihlale konu olmadığı beyanını tevsik edici belgelerin (ihlale konu doküman örnekleri, Kişisel Veri İşleme Envanteri örneği vb.) Kurumumuza sunulamadığı,
- Veri sorumlusunun, hem ihlalden etkilenen kişiler ve kişisel veriler ile ilgili olarak hem de ihlalin tespit tarihi ile ilgili olarak çelişkili beyanlarda bulunduğu; ihlal öncesinde aldığını belirttiği teknik ve idari tedbirlerin birçoğu için tevsik edici belgeleri Kurumumuza sunmadığı,
- Veri sorumlusu tarafından veri ihlali sonrasında özel nitelikli kişisel veriler için güvenli şifreleme/kriptografik anahtarlar kullanılması için çalışmalara başlanıldığı belirtilmiş olup, bahse konu tedbiri ihlal öncesinde almayan veri sorumlusunun kişisel verilerin korunmasına ilişkin ortaya çıkabilecek risklerin ve tehditlerin belirlenmesi noktasında eksikliklerinin bulunduğunun görüldüğü; kişisel veri güvenliğine ilişkin mevcut risk ve tehditlerin belirlenmesine ilişkin örnek bir yaklaşımın Kişisel Verileri Koruma Kurulu tarafından yayımlanan Kişisel Veri Güvenliği Rehberi’nde (Teknik ve İdari Tedbirler) yer alan “1. Mevcut Risk ve Tehditlerin Belirlenmesi başlığı altında “Kişisel verilerin güvenliğinin sağlanması için öncelikle veri sorumlusu tarafından işlenen tüm kişisel verilerin neler olduğunun, bu verilerin korunmasına ilişkin ortaya çıkabilecek risklerin gerçekleşme olasılığının ve gerçekleşmesi durumunda yol açacağı kayıpların doğru bir şekilde belirlenerek buna uygun tedbirlerin alınması gerekmektedir. Bu riskler belirlenirken; a) Kişisel verilerin özel nitelikli kişisel veri olup olmadığı, b) Mahiyeti gereği hangi derecede gizlilik seviyesi gerektirdiği, c) Güvenlik ihlali halinde ilgili kişi bakımından ortaya çıkabilecek zararın niteliği ve niceliği dikkate alınmalıdır. Bu risklerin tanımlanması ve önceliğinin belirlenmesinden sonra; söz konusu risklerin azaltılması ya da ortadan kaldırılmasına yönelik kontrol ve çözüm alternatifleri; maliyet, uygulanabilirlik ve yararlılık ilkeleri doğrultusunda değerlendirilmeli, gerekli teknik ve idari tedbirler planlanarak uygulamaya konulmalıdır.” ifadeleri ile vurgulandığı,
- Veri ihlaline sebep olan güvenlik açığının ne olduğu hususunda veri sorumlusu tarafından Kurumumuza bilgi/belge sunulmadığı (kendisinden bu hususta bilgi talep edilmesine rağmen) ve bu konuda önemli bilgiler içerebilecek log kayıtlarına da ulaşılamadığı (şifrelenmiş olduğu belirtilmiştir) hususları dikkate alındığında veri sorumlusunun kişisel veri güvenliğinin takip ve kontrolü konusunda eksikliklerinin olduğunun görüldüğü,
- Veri sorumlusu tarafından ihlal öncesinde güvenlik açığı testinin yaptırıldığı belirtilmiş olsa da ilgili güvenlik açığı testinde olumsuz bir bulgu bulunamamasına rağmen siber saldırgan/saldırganların ihlale konu sisteme erişebilmeleri, sistemden veri çıkarabilmeleri ve sistemi kullanılmaz hale getirmek adına şifreleme yapabilmelerinin bahse konu test yapılırken yeterli özenin gösterilmediğini ve testin kapsamının güvenlik zafiyetlerini tespit etme noktasında yetersiz kaldığını gösterdiği,
- İşletme dışından iş kaynaklarına erişmek isteyen kullanıcılar için kullanıcı girişlerine iki faktörlü oturum doğrulama aşaması eklenmesi tedbirinin ancak ihlalden sonra hayata geçirildiği; kullanıcı girişlerini daha güvenli hale getirebilecek ve yetkisiz erişim riskini azaltabilecek bir tedbirin ihlal öncesinde alınmadığı,
- Siber saldırgan/saldırganlarca gerçekleştirilen fidye yazılımı saldırısı sonucunda veri sorumlusu da dahil olmak üzere 9 şirketin verilerinin ihlalden etkilenmesinin, sistemler arasındaki ağ segmentasyonunun uygun bir şekilde yapılmadığını gösterdiği
hususları dikkate alındığında, Kanunun 12 nci maddesinin (1) numaralı fıkrasında yer alan “Veri sorumlusu; kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı olarak erişilmesini önlemek, kişisel verilerin muhafazasını sağlamak, amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.” hükmü çerçevesinde veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirleri almayan veri sorumlusu hakkında Kanunun 18 inci maddesinin (1) numaralı fıkrasının (b) bendi uyarınca 250.000 TL idari para cezası uygulanmasına karar verilmiştir.