Ankara'da sendika verileri operasyonu: KVKK soruşturması başlatıldı

Ankara Cumhuriyet Başsavcılığı Siber Suçlar Bürosu, sendika üyelik işlemleri sırasında toplanan milyonlarca kişinin kimlik, iletişim ve adres bilgilerinin izinsiz işlenip üçüncü şahışlarla paylaşıldığı iddiası üzerine kapsamlı bir soruşturma başlattı. Savcılık talimatıyla Polis Özel Harekat ve Siber Suçla Müşcadele Şube Müdürlüğü ekipleri, bu sabah Ankara'nın Çankaya, Yenimahalle ve Keçiören ilçelerinde bulunan 15 farklı adreste eşzamanlı operasyon gerçekleştirdi.

Yazılım firmaları ve sendika merkezleri hedefte

Operasyon kapsamında; sendikalara üyelik yazılımı ve veri barındırma hizmeti veren üç teknoloji firmasının merkezi ile iki büyük sendikanın genel merkezi arandı. Araştırmacılar, sunuculardan kopyaladıkları log kayıtları ve veritabanı yedeklerini inceleyerek, üye verilerinin sigorta acenteleri, siyasi danışmanlık firmaları ve telemarketing şirketlerine satılıp satılmadığını tespit etmeyi hedefliyor. Gözaltına alınan 12 şüpheli arasında yazılım firması yetkilileri, sendika idari kadrosu üyeleri ve veri işleme sorumluları yer alıyor.

KVKK 'ex officio' soruşturma açtı

Kişisel Verileri Koruma Kurumu (KVKK), savcılığın operasyona geçmesiyle paralel olarak, 6698 sayılı Kanun'un 12 ve 13. maddeleri çerçevesinde veri sorumlularının veri güvenliği yükümlülüklerini ihlal edip etmediğini incelemek üzere 'ex officio' (resen) soruşturma kararı aldı. Kurum yetkilileri, sendika yönetimlerinin 'veri sorumlusu' sıfatıyla aldıkları onay metinlerinin kapsamının aşılıp aşılmadığını, veri işleme bildirimlerinin güncel tutulup tutulmadığını ve teknik/organizasyonel tedbirlerin alınıp alınmadığını denetleyeceklerini belirtti.

Savcılık kaynaklarının aktardığına göre, el geçirilen belgelerde üye listesinin para karşılığı aktarıldığını gösteren e-posta yazışmaları ve banka havale dekontları bulundu. Soruşturma, veri ihlalinin boyutuna bağlı olarak 6698 sayılı Kanun'un 17. ve 18. maddeleri uyarınca idari para cezalarının yanı sıra, Türk Ceza Kanunu'nun 136. maddesi gereğince hapis cezası gerektiren 'Kişisel Verileri Kayıt Dışı İşleme' suçuna da genişletilebilir.

Milyonlarca üye etkilenebilir

İlgili sendikaların toplam üye sayısının 2 milyondan fazla olduğu öğrenildi. Uzmanlar, TC kimlik numarası, telefon, e-posta ve işveren bilgisi içeren bu veri setlerinin dolandırıcılık, kimlik hırsızlığı ve hedefli kimlik avı (spear phishing) saldırılarında kullanım riskine dikkat çekti. KVKK, veri ihlali tespit edilirse ilgili kişilerin en geç 72 saat içinde haberdar edilmesi gerektiğini hatırlattı.