Ana Sayfa Hakkımızda Hizmetler Ödüller Ekip Yayınlar Kariyer İletişim TÜRKÇEENGLISH Devin Patent — İstanbul
Veri Koruma/Yayınlar

Kişisel Verileri Koruma Kurulu Kararları — Ekim 2026: Kurumsal E-Posta ve İş İletişim Kanallarının Denetlenmesine İlişkin İlke Kararı ve 7 Ekim 2026 Tarihli İhlal Bildirimleri

Turkish Data Protection Board Decisions — October 2026: The Resolution of Principle on the Monitoring of Corporate E-mail and Work Communication Channels and the Breach Notifications of 7 October 2026
Yayım12 Ekim 2026
Okuma süresi12 dk
PDF
← Tüm Yayınlar
KategoriVeri Koruma
Yayım12 Ekim 2026
İçindekiler01Giriş02Dönemin Karar ve Duyuruları03Sonuç
Devin Law & IP

Bu konu marka ve patent vekilliğinin dışında kalır. Bu alandaki hukuki hizmetler hukuk büromuz Devin Law & IP tarafından verilir.

devinlaw.com.tr adresine git →
ÖzetSummary

Bu bilgi notunda, Kişisel Verileri Koruma Kurulunun 16 Eylül 2026 tarihli ve 2026/2035 sayılı ilke kararı ile Kurulun 7 Ekim 2026 tarihli kararlarıyla Kişisel Verileri Koruma Kurumunun internet sitesinde ilan edilen on yedi veri ihlali bildirimi aktarılmaktadır. İlke kararı 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete'de yayımlanmış, aynı tarihte Kurumun internet sitesinde duyurulmuştur. Not, 5 Ekim 2026 – 11 Ekim 2026 tarihleri arasında Kurumun internet sitesinde yayımlanan duyuruları kapsamaktadır.

01
Giriş

Kurulun 2026/2035 sayılı ilke kararı, işverenler tarafından çalışanlara tahsis edilen kurumsal e-posta hesapları başta olmak üzere işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetlenmesinde uyulması gereken usul ve esasları konu almaktadır. Kararda, Kuruma intikal eden ihbar ve şikâyetlerin incelenmesi sonucunda bu kanalların izlendiği, yazışma içeriklerine erişildiği, trafik ve log kayıtlarının incelendiği ve elde edilen verilerin disiplin süreçlerinde veya iş sözleşmesinin sona erdirilmesine ilişkin süreçlerde kullanıldığı, çalışanların ise bu faaliyetler hakkında yeterli, açık ve somut şekilde bilgilendirilmediği tespitine yer verilmiştir. Karar, işverenler bakımından dikkate alınması gereken hususları on dört başlık altında saymaktadır.

Kurul, 7 Ekim 2026 tarihinde on yedi veri ihlali bildiriminin ilan edilmesine karar vermiş, ilanlar aynı tarihte Kurumun internet sitesinde yayımlanmıştır. Bildirimlerin altısında ihlal fidye yazılımı saldırısına, üçünde veri sorumlusu sistemlerine dışarıdan erişim sağlanarak verilerin şifrelenmesine dayandırılmıştır. Yedi bildirimde ihlal, veri sorumlusunun hizmet aldığı veri işleyenin sistemlerinde gerçekleşmiştir. İlanların tamamında konuya ilişkin incelemenin devam ettiği belirtilmiştir. İlan kararlarında ihlale ilişkin bir yaptırıma yer verilmemiştir.

Kurulun kurumsal e-posta ve iş iletişim kanallarının denetlenmesine ilişkin 2026/2035 sayılı ilke kararı 8 Ekim 2026 tarihli Resmî Gazete'de yayımlanmış; Kurul, 7 Ekim 2026 tarihli kararlarıyla on yedi veri ihlali bildirimini ilan etmiştir.
02
Dönemin Karar ve Duyuruları
Kurumsal E-Posta ve İş İletişim Kanallarının Denetlenmesine İlişkin İlke Kararı

Kararın Künyesi ve Dayandığı Tespitler

İlke kararının başlığı "İşverenler Tarafından Çalışanlara Tahsis Edilen Kurumsal E-Posta Hesapları Başta Olmak Üzere, İşin Yürütülmesi Amacıyla Kullanılan İletişim Kanallarının Denetlenmesinde Uyulması Gereken Usul ve Esaslar Hakkında" şeklindedir. Kararda, kurumsal e-posta hesaplarının yalnızca bir iletişim aracı olmadığı, çalışanın mesleki ve kimi durumlarda kişisel ilişki ağına, çalışma düzenine, iletişim faaliyetlerine ve yazışma içeriklerine ilişkin kişisel verileri barındıran bir veri kaynağı niteliği taşıdığı belirtilmiştir.

Kurul, bu hesapların ve diğer iletişim kanallarının denetlenmesini, işverenin iş sözleşmesinden ve yönetim hakkından kaynaklanan yetkileri ile çalışanın Anayasa'nın 20 nci ve 22 nci maddelerinde güvence altına alınan özel hayatın gizliliği, kişisel verilerin korunmasını isteme hakkı ve haberleşme hürriyeti arasında adil bir dengenin gözetilmesini gerektiren bir kişisel veri işleme faaliyeti olarak nitelendirmiştir.

Kurulun değerlendirmesi: Kararda, denetleme faaliyetlerinin 6698 sayılı Kişisel Verilerin Korunması Kanunu'nda ("Kanun") öngörülen kişisel veri işleme şartlarına ve genel ilkelere tabi olduğu, ilgili durumlarda aydınlatma ve veri güvenliği yükümlülüklerinin de yerine getirilmesini gerektirdiği belirtilmiş ve şu ifadeye yer verilmiştir: "İletişim aracının işverene ait olması veya işyerinde kullanılması, işverene çalışanların iletişim faaliyetleri üzerinde sınırsız bir denetim yetkisi sağlamamaktadır."

İş Amaçlı ve Özel Amaçlı Kullanım Ayrımı

Karara göre denetimin kapsamı belirlenirken iletişim aracının hangi amaçla tahsis edildiği ve kullanımına ilişkin kuralların neler olduğu dikkate alınmalıdır. İşveren, yönetim hakkı kapsamında işyeri iletişim araçlarının özel amaçlı kullanımına ilişkin kuralları belirleyebilir. Bu kuralların açık, anlaşılır ve çalışan tarafından bilinebilir olması gerekmektedir. Kararda, özel amaçlı kullanımın yasaklandığı durumlarda dahi işverenin denetim yetkisinin ölçülülük ilkesiyle sınırlı olduğu, iş amaçlı kullanım ile özel amaçlı kullanımın birbirinden kesin olarak ayrılamadığı hâllerde ise denetim yetkisinin kapsamının daha dar değerlendirilmesi gerektiği belirtilmiştir.

Kurul, teknik erişim yetkisi ile hukuki erişim yetkisinin birbirinden ayrılması gerektiğini ifade etmiştir. Karara göre işverenin belirli bir cihaz, oturum, ağ veya kurumsal sistem üzerinde teknik erişim imkânına sahip olması, çalışanın kişisel e-posta hesabı, kişisel anlık mesajlaşma uygulaması, sosyal medya hesabı veya benzeri özel iletişim alanlarında bulunan yazışma içeriklerine serbestçe erişebileceği anlamına gelmemektedir.

Önceden Bilgilendirme ve Aydınlatma Yükümlülüğü

Kararda, çalışanların gerçekleştirilecek denetim faaliyeti hakkında önceden bilgilendirilmiş olmasının, denetimin hukuka uygunluğunun tespitinde önem taşıyan unsurlardan biri olduğu belirtilmiştir. Kurul, Anayasa Mahkemesi içtihadında aranan bilgilendirme ile Kanun'un 10 uncu maddesinde düzenlenen aydınlatma yükümlülüğünün aynı kavramlar olmadığını ifade etmiştir. Karara göre Kanun'un 10 uncu maddesinde öngörülen unsurları içeren ve denetim faaliyetinin amacı, kapsamı ve yöntemi hakkında açık ve somut bilgi veren usulüne uygun bir aydınlatma, çalışanın denetim konusunda önceden bilgilendirilmesi şartını karşılayabilecektir.

İşveren tarafından yapılacak aydınlatmada kişisel veri işleme faaliyetinin hukuki sebebi, amacı, kapsamı ve yöntemi ile iletişim içeriklerine hangi hâllerde erişilebileceği, verilerin saklama süresi ve ilgili kişilerin Kanun'un 11 inci maddesi kapsamındaki hakları açık, anlaşılır ve somut biçimde ortaya konulmalıdır. Kararda, çalışanlara yalnızca kurumsal e-posta hesabının işveren tarafından denetlenebileceğine ilişkin genel bir bildirimde bulunulmasının, somut olayın özelliklerine göre önceden bilgilendirme bakımından yeterli olmayacağı ve aydınlatma yükümlülüğünün yerine getirildiği sonucunu kendiliğinden doğurmayacağı belirtilmiştir.

Mevzuattaki düzenleme: Kanun'un 10 uncu maddesinin birinci fıkrasına göre veri sorumlusu veya yetkilendirdiği kişi, kişisel verilerin elde edilmesi sırasında ilgili kişilere veri sorumlusunun ve varsa temsilcisinin kimliği, kişisel verilerin hangi amaçla işleneceği, işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, kişisel veri toplamanın yöntemi ve hukuki sebebi ile 11 inci maddede sayılan diğer hakları konusunda bilgi vermekle yükümlüdür.

Açık Rıza

Kararda, iş ilişkisindeki bağımlılık hâli ve taraflar arasındaki güç dengesi dikkate alındığında, çalışanın açık rızasının kural olarak e-posta denetimi bakımından "her durumda öncelikli hukuki dayanak olarak kabul edilmesi"nin mümkün olmadığı belirtilmiştir. Açık rızaya dayanılan durumlarda rızanın özgür iradeyle verilip verilmediği somut olayın koşulları çerçevesinde ayrıca değerlendirilmelidir. Karara göre geçerli bir açık rızanın veya Kanun'da öngörülen diğer bir kişisel veri işleme şartının bulunması da işverene sınırsız bir denetim yetkisi tanımamaktadır.

Ölçülülük, Kademeli Denetim ve İçerik Denetimi

Karara göre denetim faaliyetleri, Kanun'un 4 üncü maddesinde düzenlenen genel ilkelere uygun olarak hukuka ve dürüstlük kurallarına uygun, belirli, açık ve meşru amaçlarla ve bu amaçla bağlantılı, sınırlı ve ölçülü bir şekilde yürütülmelidir. Elde edilen kişisel veriler, işleme amacı bakımından gerekli olan süreden daha uzun süreyle muhafaza edilmemelidir. Kararda denetim faaliyetlerinde kademeliliğin esas alınması gerektiği, işverenin ulaşmak istediği meşru amaca daha az müdahaleci bir yöntemle ulaşmasının mümkün olduğu hâllerde daha ağır bir denetim yöntemine başvurulmaması gerektiği ifade edilmiştir.

Kurulun değerlendirmesi: Kararda içerik denetimine ilişkin olarak, çalışana tahsis edilen e-posta ya da diğer iletişim araçlarında yer alan içeriklerin incelenmesine "kural olarak yalnızca somut şüphe veya belirli bir olayla bağlantılı meşru bir amaç bulunması halinde ve denetimin amacıyla sınırlı olacak şekilde" başvurulması gerektiği belirtilmiştir. Kararda, kapsamı belirsiz, genel ve sürekli nitelikte içerik incelemelerinden kaçınılması gerektiği ifade edilmiştir.

Özel Nitelikli Veriler, Erişim Yetkisi ve İş İlişkisinin Sona Ermesi

Kararda, içerik denetiminde incelenen içerik veya eklerinde Kanun'un 6 ncı maddesi kapsamında özel nitelikli kişisel verilerin bulunabileceğinin dikkate alınması gerektiği belirtilmiştir. Kurul, çalışanların iletişimlerinin iletişimin karşı taraflarına veya başka üçüncü kişilere ait kişisel veri de içerebileceğini, denetimin bu kişiler bakımından doğurabileceği etkilerin de göz önünde bulundurulması gerektiğini ifade etmiştir.

Karara göre bu kanallardan elde edilen verilere erişim, yalnızca bu konuda görev ve yetki verilmiş belli sayıdaki personelle sınırlandırılmalıdır. Erişim yetkileri görev tanımları doğrultusunda belirlenmeli, erişim işlemlerine ilişkin kayıtlar tutulmalı ve verilere erişen kişilerin gizlilik yükümlülükleri güvence altına alınmalıdır. İş ilişkisinin sona ermesinden sonra kurumsal e-posta hesabı ve bu hesap kapsamında elde edilmiş veya tutulmakta olan verilere ilişkin kişisel veri işleme faaliyetlerinin hukuki dayanağı ayrıca değerlendirilmelidir. Kararda, iş ilişkisinin sona ermesinin söz konusu verilerin süresiz olarak erişilebilir veya işlenebilir olduğu anlamına gelmediği belirtilmiştir.

Kararın Sonuç Kısmı

Kurul, sayılan yükümlülüklere uyulmadığının tespiti hâlinde somut olayın özellikleri dikkate alınarak gerekli inceleme ve değerlendirmelerin yapılacağı ve Kanun'un 18 inci maddesi hükümleri gereğince ilgili veri sorumluları hakkında işlem tesis edileceği hususunda kamuoyunun bilgilendirilmesine karar vermiştir. Kanun'un 18 inci maddesi, Kanun'da öngörülen yükümlülüklere aykırılık hâlinde uygulanacak idari para cezalarını düzenlemektedir.

Fidye Yazılımı ve Verilerin Şifrelenmesine Dayanan İhlal Bildirimleri

30 Eylül 2026 Tarihli İhlale İlişkin Dört Bildirim: Çağrı Kayıtları ve Özlük Verileri

Kurulun 07.10.2026 tarihli ve 2026/2204, 2026/2205, 2026/2206 ve 2026/2207 sayılı kararlarıyla sırasıyla PCT Yazılım Danışmanlık Telekomünikasyon Pazarlama Ticaret Anonim Şirketi, PCX Operasyon Yazılım ve Danışmanlık Hizmetleri Anonim Şirketi, Procat Teknoloji Danışmanlık Hizmetleri Anonim Şirketi ve Procatcx Operasyon Yazılım ve Danışmanlık Hizmetleri Anonim Şirketi bildirimleri ilan edilmiştir. Dört bildirimde de ihlalin veri sorumlusu sistemlerine gerçekleştirilen fidye yazılımı saldırısı neticesinde meydana geldiği, 30.09.2026 tarihinde gerçekleştiği ve aynı gün tespit edildiği belirtilmiştir.

Bildirimlere göre ihlale uğramış olabileceği değerlendirilen veriler, çalışanlara ait performans değerlendirme verileri ve özlük dosyalarındaki eski tip nüfus cüzdanı suretleri üzerinde bulunan veriler dâhil insan kaynakları özlük bilgileri, iş başvurusunda bulunmuş kişilere ait özgeçmişler ile çağrı merkezi hizmetleri kapsamındaki çağrı detay kayıtları ve çağrı ses kayıtlarıdır. Bildirimlerde kişisel verilerin dışarıya aktarıldığına ilişkin henüz bir tespitin bulunmadığı, etkilenen kişi ve kayıt sayısının henüz kesin olarak tespit edilemediği ifade edilmiştir.

Üniversite ve Perakende Sektöründen İki Bildirim

Kurulun 07.10.2026 tarihli ve 2026/2203 sayılı kararıyla ilan edilen Yıldız Teknik Üniversitesi bildiriminde, veri sorumlusunun sanallaştırma altyapısı ve üzerinde çalışan sunucuların fidye yazılımı saldırısından etkilendiği belirtilmiştir. İhlal 01.10.2026 tarihinde başlamış ve aynı gün tespit edilmiştir. Etkilenen ilgili kişi grupları öğrenci, personel ve ziyaretçilerdir. Bildirimde, mevcut kayıtlara göre ihlalden etkilenmiş olabilecek ilgili kişi sayısının yaklaşık 140.000 öğrenci ve 4.500 personel olduğu, ziyaretçilere ilişkin sayının henüz belirlenemediği ve etkilenen kişisel veri kategorilerinin belirlenemediği ifade edilmiştir.

Kurulun 07.10.2026 tarihli ve 2026/2210 sayılı kararıyla ilan edilen Monnalisa Bebek Giyim San ve Tic AŞ bildiriminde ihlalin fidye yazılımı saldırısı neticesinde gerçekleştiği, 28.09.2026 tarihinde başladığı, 29.09.2026 tarihinde sona erdiği ve 29.09.2026 tarihinde tespit edildiği belirtilmiştir. Bildirime göre saldırının hangi yöntemle ve hangi güvenlik açığından yararlanılarak gerçekleştirildiği kesin olarak belirlenememiştir. İlanda, etkilenen ilgili kişi grubunun ve kişisel veri kategorilerinin bildirimde belirtilmediği kaydedilmiştir.

Sistemlere Dışarıdan Erişimle Verilerin Şifrelenmesi

Kurulun 07.10.2026 tarihli ve 2026/2214, 2026/2215 ve 2026/2216 sayılı kararlarıyla sırasıyla Gür Grup İnşaat San.ve Tic. Anonim Şirketi, Medikalyapı Sağlık Yatırımları Anonim Şirketi ve Ortadoğu Holding Anonim Şirketi bildirimleri ilan edilmiştir. Üç bildirimde de ihlalin 03.10.2026 tarihinde başladığı ve aynı gün tespit edildiği, veri sorumlusu sistemlerine dışarıdan erişim sağlanarak verilerin şifrelendiği ve erişime kapatıldığı belirtilmiştir.

Medikalyapı ve Ortadoğu Holding bildirimlerinde etkilenen ilgili kişi grupları çalışanlar, kullanıcılar ve müşteriler; etkilenen veri kategorileri lokasyon, özlük, hukuki işlem, risk yönetimi, finans, mesleki deneyim, pazarlama ile görsel ve işitsel kayıtlar olarak bildirilmiştir. Gür Grup bildiriminde etkilenen gruplar çalışanlar ve kullanıcılar, etkilenen kategoriler lokasyon, özlük ile görsel ve işitsel kayıtlardır. Üç bildirimde de etkilenmiş olabilecek kişi sayısının tahmin edilemediği ifade edilmiştir.

7 Ekim 2026 tarihli ilanlar: fidye yazılımı ve verilerin şifrelenmesi (Kurul karar no · Veri sorumlusu · İhlalin niteliği)

  • 2026/2203 — Yıldız Teknik Üniversitesi — Fidye yazılımı saldırısı
  • 2026/2204 — PCT Yazılım Danışmanlık Telekomünikasyon Pazarlama Ticaret Anonim Şirketi — Fidye yazılımı saldırısı
  • 2026/2205 — PCX Operasyon Yazılım ve Danışmanlık Hizmetleri Anonim Şirketi — Fidye yazılımı saldırısı
  • 2026/2206 — Procat Teknoloji Danışmanlık Hizmetleri Anonim Şirketi — Fidye yazılımı saldırısı
  • 2026/2207 — Procatcx Operasyon Yazılım ve Danışmanlık Hizmetleri Anonim Şirketi — Fidye yazılımı saldırısı
  • 2026/2210 — Monnalisa Bebek Giyim San ve Tic AŞ — Fidye yazılımı saldırısı
  • 2026/2214 — Gür Grup İnşaat San.ve Tic. Anonim Şirketi — Dışarıdan erişimle verilerin şifrelenmesi
  • 2026/2215 — Medikalyapı Sağlık Yatırımları Anonim Şirketi — Dışarıdan erişimle verilerin şifrelenmesi
  • 2026/2216 — Ortadoğu Holding Anonim Şirketi — Dışarıdan erişimle verilerin şifrelenmesi
Veri İşleyen Sistemlerine İlişkin Bildirimler ve Restoran Zinciri Bildirimleri

Çağrı Merkezi ve Ses Kaydı Hizmeti Alınan Veri İşleyenler

Kurulun 07.10.2026 tarihli ve 2026/2212 sayılı kararıyla D Elektronik Şans Oyunları ve Yayıncılık A.Ş., 2026/2211 sayılı kararıyla 4 Race Teknoloji ve Yazılım A.Ş. bildirimleri ilan edilmiştir. İki bildirimde de çağrı merkezi hizmeti alınan veri işleyenin sistemlerine siber saldırı gerçekleştirildiği ve verilerin şifrelenerek erişilemez hâle getirildiği, veri işleyenin 30.09.2026 tarihinde sisteminde hizmet kesintisi yaşaması üzerine durumu tespit ederek veri sorumlusuna bilgi verdiği belirtilmiştir.

Bildirimlerde, ilk incelemelerde verilerin dışarı aktarıldığına dair bulguya rastlanmadığı, saldırganın sistemlerde bulunduğu süre ve altyapının paylaşımlı yapısı dikkate alındığında yetkisiz erişim ihtimalinin de tam olarak dışlanamadığı ve kesin sonucun adli bilişim incelemesiyle netleşeceği ifade edilmiştir. Etkilenen veriler çağrı ses kayıtları ile çağrı detay kayıtlarıdır. Bildirimlere göre ses kayıtları, görüşme içeriğine bağlı olarak doğum tarihi ve T.C. kimlik numarası gibi kimlik doğrulama bilgilerini ve işlem bilgilerini de içerebilmektedir. Bildirimlerde, görme engelli üyelere destek süreci de çağrı merkezi üzerinden yürütüldüğünden sınırlı sayıda görüşmede engellilik durumuna ilişkin beyan bulunabileceği belirtilmiştir.

Kurulun 07.10.2026 tarihli ve 2026/2195 sayılı kararıyla ilan edilen GIG Sigorta AŞ bildiriminde, veri sorumlusunun teknolojik altyapı hizmeti, IVR kurulumu ve ses kayıtlarının arşivlenmesi konusunda hizmet aldığı veri işleyenin siber saldırıya maruz kaldığının 30.09.2026 tarihinde tespit edildiği belirtilmiştir. Bildirime göre bir günlük ses kayıt verileri şifrelenmiş, 161 adet çağrıya ilişkin ses kaydına erişim sağlanamamıştır. Etkilenen veriler müşterilere ait kimlik, iletişim ve müşteri işlem verileridir.

E-Ticaret ve Restoran Zinciri Bildirimleri

Kurulun 07.10.2026 tarihli ve 2026/2213 sayılı kararıyla ilan edilen Hüşyar Tekstil Paz. İth. İhr. San. Tic. Ltd. Şti. bildiriminde ihlalin, veri sorumlusuna ait verilerin bulunduğu veri işleyen sistemlerindeki bir sunucuya, kullanılan üçüncü taraf yazılım kütüphanesindeki güvenlik zafiyetinin istismar edilmesi suretiyle yetkisiz erişim sağlanması sonucunda gerçekleştiği belirtilmiştir. İhlal, veri işleyenin 29.09.2026 tarihinde gerçekleştirdiği bildirim üzerine tespit edilmiştir. Etkilenen veriler mağaza müşterilerinin adı, soyadı, posta adresi, e-posta adresi, telefon numarası ve saklanan şifre değerleri ile admin paneli kullanıcı hesapları ve saklanan şifre değerleridir.

Kurulun 07.10.2026 tarihli ve 2026/2200, 2026/2197 ve 2026/2198 sayılı kararlarıyla sırasıyla Smart Delivery Pizza Yemekçilik Gıda E-Ticaret Reklamcılık ve Ticaret Limited Şirketi, DDP Temizlik Pizza Gıda Sanayi ve Ticaret Limited Şirketi ve Deniz Pizza Restoranları ve Ticaret Limited Şirketi bildirimleri ilan edilmiştir. Üç bildirimde de ihlalin, veri sorumlusuna ait verilerin bulunduğu veri işleyen sistemlerine yetkisiz erişim sağlanması sonucunda gerçekleştiği ve veri işleyenin bildirimiyle tespit edildiği belirtilmiştir. Veri işleyenin bildirim tarihi Smart Delivery ve Deniz Pizza bakımından 30.09.2026, DDP bakımından 01.10.2026'dır.

Kurulun 07.10.2026 tarihli ve 2026/2199 sayılı kararıyla ilan edilen Dodo Brands International FZCO bildiriminde, veri sorumlusuna ait verilerin bulunduğu sistemlere yetkisiz erişim sağlanması sonucunda ihlalin gerçekleştiği ve 28.09.2026 tarihinde tespit edildiği belirtilmiştir. Bu dört bildirimde etkilenen ilgili kişi grupları müşteriler ve çalışanlar, etkilenen veri kategorileri kimlik, iletişim, lokasyon, müşteri işlem ve finans bilgileridir. Dört bildirimde de etkilenen ilgili kişi sayısının tespiti çalışmalarının devam ettiği ifade edilmiştir. Dodo Brands bildiriminde ilgili kişilerin Dodo Pizza mobil uygulaması üzerinden aydınlatılacağı belirtilmiştir.

7 Ekim 2026 tarihli ilanlar: çağrı merkezi, e-ticaret ve restoran zinciri bildirimleri (Kurul karar no · Veri sorumlusu · İhlalin niteliği)

  • 2026/2195 — GIG Sigorta AŞ — Veri işleyene siber saldırı; ses kayıt verileri şifrelenmiş
  • 2026/2197 — DDP Temizlik Pizza Gıda Sanayi ve Ticaret Limited Şirketi — Veri işleyen sistemlerine yetkisiz erişim
  • 2026/2198 — Deniz Pizza Restoranları ve Ticaret Limited Şirketi — Veri işleyen sistemlerine yetkisiz erişim
  • 2026/2199 — Dodo Brands International FZCO — Veri sorumlusuna ait verilerin bulunduğu sistemlere yetkisiz erişim
  • 2026/2200 — Smart Delivery Pizza Yemekçilik Gıda E-Ticaret Reklamcılık ve Ticaret Limited Şirketi — Veri işleyen sistemlerine yetkisiz erişim
  • 2026/2211 — 4 Race Teknoloji ve Yazılım A.Ş. — Çağrı merkezi veri işleyenine siber saldırı; veriler şifrelenmiş
  • 2026/2212 — D Elektronik Şans Oyunları ve Yayıncılık A.Ş. — Çağrı merkezi veri işleyenine siber saldırı; veriler şifrelenmiş
  • 2026/2213 — Hüşyar Tekstil Paz. İth. İhr. San. Tic. Ltd. Şti. — Üçüncü taraf yazılım kütüphanesi zafiyetiyle veri işleyen sunucusuna yetkisiz erişim
İhlal Bildirimine İlişkin Yükümlülükler

Mevzuattaki düzenleme: Kanun'un 12 nci maddesinin beşinci fıkrasına göre "İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir."

Kurulun 24.01.2019 tarihli ve 2019/10 sayılı kararı uyarınca veri sorumlusunun ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirmesi, veri işleyenin ise nezdinde gerçekleşen ihlali gecikmeye yer vermeksizin veri sorumlusuna bildirmesi gerekmektedir.

03
Sonuç

Kurulun 16 Eylül 2026 tarihli ve 2026/2035 sayılı ilke kararı 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete'de yayımlanmıştır. Kararda, kurumsal e-posta hesapları ve işin yürütülmesi amacıyla kullanılan diğer iletişim kanallarının denetlenmesinin Kanun'daki işleme şartlarına, genel ilkelere, aydınlatma ve veri güvenliği yükümlülüklerine tabi olduğu belirtilmiştir. Karar; iş amaçlı ve özel amaçlı kullanım ayrımı, teknik ve hukuki erişim yetkisinin ayrılması, önceden bilgilendirme, aydınlatmanın kapsamı, açık rıza, kademeli denetim, içerik denetimi, erişim yetkilendirmesi ve iş ilişkisinin sona ermesi konularında hususlar içermektedir. Kurul, bu yükümlülüklere uyulmadığının tespiti hâlinde Kanun'un 18 inci maddesi gereğince işlem tesis edileceğini duyurmuştur.

Kurul, 7 Ekim 2026 tarihli 2026/2195, 2026/2197, 2026/2198, 2026/2199, 2026/2200, 2026/2203, 2026/2204, 2026/2205, 2026/2206, 2026/2207, 2026/2210, 2026/2211, 2026/2212, 2026/2213, 2026/2214, 2026/2215 ve 2026/2216 sayılı kararlarıyla on yedi veri ihlali bildirimini ilan etmiştir. Bildirimlerin altısında fidye yazılımı saldırısı, üçünde veri sorumlusu sistemlerine dışarıdan erişim sağlanarak verilerin şifrelenmesi bildirilmiş, yedisinde ihlal veri işleyen sistemlerinde gerçekleşmiştir. Etkilenen ilgili kişi sayısına ilişkin bir rakam yalnızca Yıldız Teknik Üniversitesi bildiriminde yer almış, bu bildirimde sayı yaklaşık 140.000 öğrenci ve 4.500 personel olarak belirtilmiştir. İlanların tamamında konuya ilişkin incelemenin devam ettiği belirtilmiştir.

Bilgi notunun tamamıBilgi notunun iki dilli PDF sürümünü indirin.
PDF indir

İlgili yazılar

Veri KorumaKişisel Verileri Koruma Kurulu Kararları — Ekim 2026: İlgili Kişi Başvurularına Cevabın Bildirim Usulü ve 30 Eylül 2026 Tarihli İhlal Bildirimleri5 Ekim 2026Veri KorumaAvukatların KVKK Yükümlülükleri ve Veri İşleyen Kaynaklı İhlaller28 Eylül 2026Veri KorumaKişisel Verileri Koruma Kurulu Kararları — Ağustos 2026: İlke Kararları, Pazarlama Amaçlı Veri İşleme ve İşyeri Gözetimi5 Eylül 2026