KVKK'nın 4 Kasım 2026 tarihli veri ihlali bildirimlerinde ihlal, şirketlerin kendi sunucularında değil hizmet aldıkları tedarikçilerde başladı. Canlı destek altyapısı üzerinden gerçekleşen bir olayda 9.882 kişi etkilendi.
Kişisel Verileri Koruma Kurulu'nun 4 Kasım 2026 tarihli kararlarıyla yayımlanan veri ihlali bildirimleri, son dönemde tekrar eden bir tabloyu bir kez daha ortaya koydu: ihlal çoğu zaman şirketin kendi sunucusunda değil, hizmet aldığı tedarikçinin sisteminde başlıyor.
Bildirimlerin en dikkat çekeni e-ticaret tarafından geldi. Kurul'un 04.11.2026 tarihli ve 2026/2438 sayılı kararıyla yayımlanan bildirime göre, D-Market Elektronik Hizmetler ve Ticaret A.Ş. (Hepsiburada) adına canlı destek (sohbet) altyapısını işleten veri işleyenin sistemlerine yetkisiz erişim sağlandı. Bildirimde etkilenen kişi sayısı 9.882 olarak belirtildi. Sızan kayıtlar 2022 yılına ait sohbet geçmişlerinden oluşuyor; ad-soyad, cep telefonu, e-posta ve adres bilgisinin yanı sıra sipariş ve kargo numaraları ile talep-şikâyet kayıtlarını içeriyor. Şirketin kendi altyapısı doğrudan hedef alınmadı.
Aynı gün yayımlanan listede konaklama ve turizm tarafından da bildirimler var: NCL (Bahamas) Ltd., Yazıcı Turizm Yatırımları ve İşletmeleri AŞ ile Yazıcı Turizm Marmaris İşletmeleri A.Ş. bildirimleri de 4 Kasım 2026'da KVKK sitesinde yayımlandı. Kurum incelemelerinin sürdüğünü belirtiyor.
Neden önemli?
6698 sayılı Kanun'un 12. maddesi, veri güvenliğini sağlama yükümlülüğünü veri sorumlusuna yüklüyor ve veri işleyenle birlikte müşterek sorumluluk öngörüyor. Yani rezervasyon motorunu, canlı destek modülünü, çağrı merkezi yazılımını ya da muhasebe entegrasyonunu dışarıdan almanız sorumluluğu devretmiyor. İhlali öğrendiğiniz andan itibaren 72 saat içinde Kurul'a bildirim yapma yükümlülüğü de sizde kalıyor.
Mali tarafı da küçük değil. 27.11.2025 tarihli Resmî Gazete'de yayımlanan %25,49'luk yeniden değerleme oranı sonrası, veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenlere 2026 yılında uygulanacak idari para cezası 256.357 TL ile 17.092.242 TL arasında değişiyor.
KOBİ tarafındaki karşılığı
Bu tablo doğrudan KOBİ'leri ilgilendiriyor, çünkü kusurun bulunduğu katman KOBİ'lerin de yoğun biçimde kullandığı katman: web sitesine eklenen hazır sohbet eklentisi, otel ve acente rezervasyon paneli, e-ticaret altyapısı, bulut muhasebe, dış destek ve uzak bağlantı uygulamaları. Çoğu işletmede bu sistemlerin hangi veriyi ne kadar süre tuttuğu bilinmiyor. Hepsiburada bildiriminde 2022 yılına ait sohbet kayıtlarının hâlâ erişilebilir durumda olması tam olarak bu sorunu gösteriyor. Tedarikçide yaşanan tek bir olay, sizin müşteri listenizin dışarı çıkması anlamına gelebiliyor.
Kamer Bilişim olarak ne öneriyoruz?
- Tedarikçi envanterinizi çıkarın. Verinizi gören her dış sistemi tek bir tabloda listeleyin: hangi veri kategorisi, hangi saklama süresi, hangi firma, hangi sözleşme. İmzalı bir veri işleyen sözleşmesi ve ihlal bildirim maddesi bulunmayan tedarikçi, denetimde doğrudan açık demektir.
- Saklama süresi uygulayın. Sohbet kayıtları, çağrı kayıtları, eski rezervasyon ve form verileri süresiz tutulmasın. Gereksiz veriyi düzenli olarak silmek en ucuz güvenlik önlemidir; sistemde olmayan veri sızmaz.
- Entegrasyon erişimlerini daraltın ve 72 saati önceden planlayın. Dış yazılımlara verilen API anahtarlarını yetki bazlı tanımlayın, kullanılmayanları iptal edin, yönetim panellerinde çok faktörlü doğrulamayı zorunlu kılın. Ayrıca bir ihlalde kimin kimi arayacağını, kayıtların nereden toplanacağını ve bildirimi kimin yapacağını yazılı bir akışa bağlayın.
Kurumunuzda tedarikçi envanteri, saklama süreleri ve entegrasyon erişim yetkilerini birlikte gözden geçirmek isterseniz iletişim sayfamızdan bize ulaşabilirsiniz. İstanbul Anadolu Yakası genelinde yerinde, diğer bölgelerde uzaktan destek veriyoruz.
Kaynak: Kişisel Verileri Koruma Kurumu (kvkk.gov.tr) veri ihlali bildirimleri, 04.11.2026 tarihli ve 2026/2438 sayılı Kurul kararı; CHIP Online ve LOG haberleri; 2026 idari para cezası tutarları için CottGroup ve Mondaq mevzuat özetleri.