Anadolu Planet'te veri ihlali: Kurul ilan kararı ve açık sorular

Kurulun ilan kararı

Kişisel Verileri Koruma Kurulu, 27 Ekim 2026 tarihli ve 2026/2353 sayılı kararıyla e-ticaret altyapı hizmeti sağlayan Anadolu Planet Elektronik Tic. A.Ş.'nin bildirdiği veri ihlalinin Kurum internet sitesinde ilan edilmesine karar verdi. Duyuruya göre veri sorumlusunun sistemlerinde bir veri güvenliği olayı yaşandı ve ihlal, veri işleyenin 10 Eylül 2026'da veri sorumlusuna yaptığı bildirim üzerine tespit edildi. Kurum, konuya ilişkin incelemenin sürdüğünü belirtiyor.

Bu aşamada ilan, ihlalin kamuya duyurulmasıdır. Duyuruda olayın nedenine, sorumluluğun paylaşımına ya da uygulanacak bir idari yaptırıma ilişkin bir karar yer almıyor. Dolayısıyla ilanın hangi sonuçlara yol açacağı, inceleme tamamlanmadan kesinleşmiş bir değerlendirme olarak sunulamaz.

Etkilenen veriler ve kişi grupları

Bildirime göre ihlalden ad-soyad, telefon numarası, e-posta adresi, adres bilgisi ve hash'lenmiş şifre bilgileri etkilenmiştir. Etkilenen kişi sayısı, 592 nihai müşteri (son kullanıcı) ve 4 yönetim paneli hesap kullanıcısı olarak belirtilmiştir. Etkilenen ilgili kişi grupları ise çalışanlar, kullanıcılar ve aboneler/üyeler olarak sıralanmıştır.

Duyuruda sağlık, kimlik belgesi veya ödeme bilgisi gibi veri kategorilerinin etkilendiğine dair bir ifade bulunmuyor. Bununla birlikte hash'lenmiş şifrelerin hangi koşullarda kullanılabilir hâle geldiği, bu hesapların yeniden kullanılıp kullanılmadığı ve veri setinin başka kategoriler içerip içermediği duyuruda ayrıca açıklanmamıştır. Bu noktalar, ilgili kişiler için riskin kapsamını belirlemede açık kalan başlıklardır.

Hukuki dayanak: beşinci fıkra

Duyuru, dayanak olarak 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesinin beşinci fıkrasını gösteriyor. Bu hükme göre işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu durumu en kısa sürede ilgilisine ve Kurula bildirir. Aynı hüküm, Kurulun gerektiğinde bu durumu kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebileceğini öngörür.

Bu çerçevede Kurulun ilan kararı, fıkranın ikinci cümlesindeki takdir yetkisine dayanmaktadır. Duyuru, veri sorumlusunun bildirim yükümlülüğünü ne ölçüde yerine getirdiğini ayrıca değerlendirmez. Duyurudaki bilgiler, bildirimin hangi tarihte yapıldığını ve ilgili kişilere ne zaman ulaştığını göstermediğinden, en kısa sürede bildirim şartının karşılanıp karşılanmadığı bu metinden belirlenemez.

Önceki Kurul kararlarıyla karşılaştırma Analiz

Kurulun benzer ihlallerde verdiği önceki kararlar, veri güvenliği yükümlülüğünün nasıl değerlendirildiğini gösterir. Bu kararlar ilgili olayın kararı değildir ve sonuçları bu olaya doğrudan aktarılamaz.

Kurulun 2022/711 sayılı kararında, fidye yazılımıyla dosyaların şifrelenmesi ve saldırganların blogunda verilerin yayımlanması sonucu 660 kişinin etkilendiği bir olay değerlendirilmiştir. Karar, veri sorumlusu hakkında 6698 sayılı Kanun'un 12. maddesinin birinci fıkrası kapsamında 500.000 TL idari para cezası uygulandığını belirtir. Aynı kararda sızma ürününün, hizmet sağlayıcının 2003'ten beri kullanılan bir hesabıyla yüklendiği ve zafiyet taramasında eksiklikler bulunduğu vurgulanmıştır.

Kurulun 2020/113 sayılı kararında ise e-ticaret şirketinin SQL Injection ve Cross Site Scripting gibi zafiyetleri, SSL sertifikası eksikliğini ve eğitim ile müdahale planlarının yokluğunu gerekçe gösterilerek 200.000 TL idari para cezası verilmiştir. Bu iki karar birlikte, Kurulun veri güvenliğini teknik ve idari tedbirler üzerinden somut biçimde değerlendirdiğini ortaya koyar.

Nedenler: tedarik zinciri ve erişim yönetimi Analiz

Duyuru olayın doğrudan nedenini açıklamıyor. Yalnızca bir veri güvenliği olayından ve bu olayın veri işleyenin bildirimi üzerine fark edildiğinden söz ediyor. Bu nedenle olası nedenler, bilinen olgular ile önceki kararlardaki örüntülerden hareketle sınırlı biçimde tartışılabilir.

Birinci olası neden tedarik zinciridir. Veri sorumlusu e-ticaret altyapısını bir hizmet sağlayıcıdan almaktadır. Bu düzenlemede, hizmet sağlayıcının sistemlerinde gerçekleşen bir olay doğrudan veri sorumlusunun verilerini etkileyebilir. Kurulun 2022/711 kararında vurgulandığı gibi veri işleyen ile veri sorumlusunun müştereken sorumlu olduğu hatırlandığında, tedarikçi sözleşmeleri ve denetim mekanizmaları bu tür olaylarda merkezi bir önem kazanır.

İkinci olası neden erişim yönetimidir. Önceki karardaki senaryoda, hizmet sağlayıcının uzun süredir kullanılan bir hesabının sızma için kullanılması ihlalin başlangıcı olmuştu. Bu olayda böyle bir zincirin varlığı doğrulanmış değildir; ancak yönetim paneli hesaplarının etkilenmesi, yetkili hesapların yönetiminin incelenmesi gereken bir alan olarak öne çıkmaktadır.

Olası sonuçlar Analiz

Veri sahipleri açısından en belirgin sonuç, etkilenen iletişim bilgileri ve hash'lenmiş şifrelerin kötüye kullanılabileceği bir risk alanının doğmasıdır. Ad, e-posta ve telefon bilgisi, hedefli kimlik avı girişimlerinde kullanılabilir. Hash'lenmiş şifrenin elde edilmesi ise ilgili kişiler açısından hesap güvenliği tedbirlerinin gözden geçirilmesini gerektirebilir. Bu sonuçların gerçekleşip gerçekleşmediği duyuruda değerlendirilmemiştir.

Veri sorumlusu açısından ilanın kamuya açık olması, itibar ve güven boyutunda etkiler doğurabilir. Önceki kararlarda olduğu gibi idari para cezası ihtimali de gündemdedir; ancak bu dosyada herhangi bir ceza açıklanmamıştır ve inceleme sürmektedir. Önceki kararların tutarları yalnızca karşılaştırma amacıyla anılmıştır.

Sektör açısından, e-ticaret altyapısını dış hizmet sağlayıcılardan alan işletmelerin tedarikçi sözleşmelerinde güvenlik yükümlülüklerini ve denetim haklarını yeniden değerlendirmesi olası bir sonuçtur. Bu değerlendirmenin ölçeği, Kurulun incelemesinin ortaya koyacağı bulgulara bağlı olacaktır.

Karşı ihtimaller Analiz

Bu olaya ilişkin ilk karşı ihtimal, ilanın bir sorumluluk tespiti olmadığıdır. Duyuru, incelemenin sürdüğünü açıkça belirtiyor. Veri sorumlusu, olayın sorumluluğunun veri işleyende olduğunu ileri sürebilir ve Kurul bu iddiayı inceleme sürecinde değerlendirebilir. Önceki karardaki müştereken sorumluluk yaklaşımı, böyle bir savunmanın tek başına yeterli olmayabileceğini düşündürse de bu olayda sonuç henüz bilinmemektedir.

İkinci karşı ihtimal, etkilenen kişi sayısının küçük olmasının ilanın ağırlığını azaltabileceğidir. Etkilenen sayısı 592 nihai müşteri ve 4 yönetim paneli hesabıyla sınırlı görünmektedir. Ancak Kurulun ilan yetkisini kullanmış olması, ihlalin kamuya duyurulmasının uygun görüldüğünü gösterir. Kararın gerekçesi duyuruda ayrıntılı olarak yer almadığından, sayının büyüklüğünün bu karardaki rolü değerlendirilemez.

Üçüncü olarak, bildirimin zamanlaması ayrıca değerlendirilebilir. Veri işleyenin bildirimi 10 Eylül 2026 tarihinde yaptığı belirtilmişse de veri sorumlusunun Kurula bildirim tarihi duyuruda yer almaz. Bu bilgi netleşmeden, bildirim yükümlülüğünün ne ölçüde yerine getirildiği konusunda sonuç çıkarılamaz.

Açık kalan noktalar Açık soru

Duyurudan anlaşılmayan ilk nokta ihlalin başlangıç tarihidir. Veri işleyenin bildirimi 10 Eylül 2026 tarihinde yaptığı belirtilmiş, ancak olayın ne zaman başladığı ve ne kadar süre fark edilmeden kaldığı açıklanmamıştır.

İkinci açık nokta, ihlale yol açan saldırı yöntemi ve hizmet sağlayıcının kimliğidir. Duyuruda yalnızca bir veri güvenliği olayından söz edildiği için, erişimin hangi hesap veya zafiyet üzerinden sağlandığı bilinmemektedir. Üçüncü olarak, Kurulun inceleme sonucunda idari bir yaptırım uygulayıp uygulamayacağı, uygulayacaksa hangi maddeye dayanacağı henüz belli değildir.

Son olarak ilgili kişilere yapılan bildirimin kapsamı ve içeriği duyuruda ayrıntılandırılmamıştır. Bu bilgilerin netleşmesi, etkilenen kişilerin alması gereken önlemler ile veri sorumlusunun yükümlülüklerini yerine getirme düzeyinin değerlendirilmesi açısından önemlidir.

Bu yazı Saygılı Yarlıg AI tarafından kamuya açık bilgiler araştırılarak hazırlanmıştır; bilgilendirme amaçlıdır, hukuki görüş değildir.