Kişisel Verileri Koruma Kurulu'nun Ekim ve Kasım 2026'da ilan ettiği 26 veri ihlali bildiriminin 16'sında ihlal veri işleyende yaşandı. DHL ve Pegasus duyuruları da tedarikçi riskini gösteriyor. Veri işleyen riskini yönetmek için pratik bir kontrol listesi.
Önemli Çıkarım
Kurul'un 21 Ekim, 27 Ekim ve 4 Kasım 2026 tarihli kararlarıyla ilan edilen 26 veri ihlali bildiriminin 16'sında ihlal veri işleyende, yani tedarikçide gerçekleşti. Veri sorumlusu olarak sorumluluk sizde kalır. Tedarikçiyi seçmek, sözleşmeyi imzalamak ve denetlemek sizin işinizdir.
Son bildirimler ne gösteriyor?
KVKK'nın veri ihlali bildirimleri sayfasında Kasım 2026'da çok sayıda kamuoyu duyurusu yayımlandı. Bunlar arasında DHL, Pegasus, Air India ve Ethica Sigorta gibi kuruluşlar var. Bir sektör derlemesine göre son üç karar tarihinde ilan edilen 26 bildirimin 16'sında ihlal, veri sorumlusunun kendi sisteminde değil, hizmet aldığı veri işleyenin ortamında yaşandı.
| Duyuru | Etkilenen kişi | Not |
|---|---|---|
| DHL | 10.622 çalışan | Veri işleyenin ortamına yetkisiz erişim; ihlal 2 Kasım 2026'da tespit edildi. Kimlik, iletişim ve özlük verisi etkilendi. |
| Pegasus | 11.762 kişi | Kimlik ve iletişim verisi etkilendi. |
Bu tablo bir şeyi açıkça gösteriyor: Kurumlar kendi sistemlerini korusa bile veri, bordro, İK, çağrı merkezi, bulut ve yazılım tedarikçilerinde açıkta kalabiliyor.
Hukuki çerçeve: sorumluluk kimde?
6698 sayılı Kanun'un 12. maddesine göre veri sorumlusu, verinin kendi adına başka bir kişi tarafından işlenmesi durumunda da güvenlik tedbirlerinin alınmasından o kişiyle birlikte müştereken sorumludur. Yani "ihlal tedarikçide oldu" demek, veri sorumlusunu sorumluluktan kurtarmaz. İhlali Kurul'a ve ilgili kişilere bildirme yükümlülüğü de veri sorumlusundadır.
Veri işleyen risk kontrol listesi
- Envanter: Kişisel veriye erişen tüm tedarikçileri listeleyin. Bordro, İK yazılımı, bulut, CRM, çağrı merkezi, kargo ve BT destek firmalarını unutmayın.
- Veri minimizasyonu: Her tedarikçiye sadece işi için gereken veriyi verin. Tam veritabanı yerine gerekli alanları paylaşın.
- Sözleşme: Veri işleme sözleşmesinde güvenlik tedbirlerini, alt işleyen kullanımını, denetim hakkını ve ihlal bildirim süresini (örneğin 24 saat) yazın.
- Teknik kanıt: ISO 27001 sertifikası, sızma testi raporu veya bağımsız denetim raporu isteyin.
- Erişim kontrolü: Tedarikçinin sistemlerinize erişimi kişiye özel, süreli ve kayıtlı olsun. Ortak hesap kullanmayın.
- Yurt dışı aktarım: Tedarikçi veriyi yurt dışında işliyorsa KVKK m.9 kapsamındaki aktarım şartlarını kontrol edin.
- Çıkış planı: Sözleşme bittiğinde verinin silindiğini belgeyle doğrulayın.
Pratik öneri
Tedarikçileri risk düzeyine göre üç gruba ayırın: özel nitelikli veya büyük hacimli veri işleyenler, sınırlı veri işleyenler ve hiç kişisel veri görmeyenler. Denetim sıklığını bu gruplara göre belirleyin.
Kendi tarafınızda alabileceğiniz teknik tedbirler
Tedarikçinin sistemini doğrudan kontrol edemezsiniz. Ama tedarikçiye giden veriyi kontrol edebilirsiniz. Hangi verinin, hangi kanaldan, kime gittiğini bilmek, ihlal anında etkiyi hızlı ölçmenizi sağlar.
Moftgate nasıl yardımcı olur?
Moftgate DLP, uç noktalardan tedarikçilere e-posta, web yükleme veya USB ile giden kişisel verileri tespit eder, kayıt altına alır ve gerekirse engeller. Moftgate DSPM, kişisel verinin hangi sistemlerde durduğunu gösterir. Böylece hangi tedarikçinin hangi veriye eriştiğini kanıtla görürsünüz. Sistem kurum içinde çalışır; kayıtlar kurum dışına çıkmaz.
Stratejik Çıkarım
Veri güvenliğiniz, en zayıf tedarikçiniz kadar güçlüdür. Tedarikçi envanterini çıkarın, paylaşılan veriyi azaltın ve giden veriyi izleyin.
Moftgate Uyumluluk Ekibi, kurumların KVKK ve ISO 27001 kapsamındaki teknik tedbirlerini uygulamalarına destek verir. Bu yazı hukuki görüş değildir; kurumunuza özel durumlar için hukuk danışmanınıza başvurun.
Uygulayıcılar İçin Uzman Yanıtları
İhlal tedarikçide olduysa bildirimi kim yapar?
Kurul'a ve ilgili kişilere bildirim yükümlülüğü veri sorumlusundadır. Tedarikçi (veri işleyen), ihlali öğrendiğinde gecikmeden veri sorumlusuna haber vermelidir. Bunu sözleşmeye yazın.
Tedarikçinin ISO 27001 sertifikası yeterli mi?
İyi bir başlangıçtır ama tek başına yeterli değildir. Sertifikanın kapsamını, sizin verinizi işleyen sistemleri içerip içermediğini ve alt işleyen kullanımını kontrol edin.
Tüm tedarikçileri aynı sıklıkta denetlemeli miyim?
Hayır. Risk tabanlı yaklaşım kullanın. Özel nitelikli veya büyük hacimli veri işleyen tedarikçileri daha sık ve daha derin denetleyin.
Resmi Standartlar ve Kaynakça
- •KVKK: Veri İhlali Bildirimleri ↗(Kurul tarafından ilan edilen kamuoyu duyuruları.)
- •6698 sayılı Kişisel Verilerin Korunması Kanunu ↗(m.12: veri güvenliğine ilişkin yükümlülükler.)
- •CyberArts Pro: KVKK Veri İhlali Bildirimi — 26 İlanın 16'sı Tedarikçide ↗(26 bildirimin sınıflandırması.)
- •ShiftDelete.Net: DHL veri ihlali ↗(DHL duyurusunun ayrıntıları.)
- •Teknoblog: Pegasus veri ihlali ↗(Pegasus duyurusunun ayrıntıları.)