KVKK EPDK

Kişisel Verilerin Korunması Kanunu’nun uygulanmasına yönelik bazı güncel gelişmeleri sizlerle paylaşmak istiyoruz.

1). Kişisel Verilerin Korunması Kanunu kapsamında Kişisel Sağlık Verileri Hakkında Yönetmelik yayınlanmıştır.

21.06.2019 günlü 30808 sayılı Resmi Gazete „de Sağlık Bakanlığının merkez ve taşra teşkilatı birimleri ile bunlara bağlı olarak faaliyet göstermekte olan sağlık hizmeti sunucuları ile bağlı ve ilgili kuruluşları tarafından yürütülen süreç ve uygulamalarda uyulacak usul ve esasları düzenlemek amacıyla Kişisel Sağlık Verileri Hakkında Yönetmelik yayınlanmıştır. “Sağlık Verilerine Avukatların Erişimi” başlıklı 10. maddesi ile “Avukatlar, müvekkilinin sağlık verilerini genel vekaletname ile talep edemezler. Müvekkiline ait sağlık verilerinin avukata aktarılması için düzenlenmiş olan vekaletnamede, ilgili kişinin özel nitelikli kişisel verilerinin işlenmesi ve aktarılmasına ilişkin açık rızasını gösteren özel bir hüküm bulunması gerekir.” düzenlemesi yapılmıştır. Yapılan düzenleme gereği avukatların “vekaletname ile sağlık verilerinin alınması özel yetki şartına” tabi tutulmuştur. “Yönetmeliğin 10. maddesinin iptali” için İstanbul Barosu tarafından dava açılmıştır.

2). Kişisel Verileri Koruma Kurulu’ndan Cathay Pasific Airway Limited’e İdari Para Cezası

Cathay Pasific Airway Limited‟e (Cathay Pasific) 550.000 TL idari para cezası verilmesine karar verdi. Kurul kararındaki detaylar şöyle:

Saldırganlar, sistemler üzerinde yatay bir şekilde hareket ederek Müşteri Sadakat Sistemi (CLS), Online İş Hizmeti Platformu (EBSP), Web Sitesi Yönetici Konsolu (iRedeem), Müşteri Bilgi Sistemi‟ne (CIS) erişim sağlamıştır. Cathay Pasific Airway Limited, 13.03.2018 tarihinde gerçekleşen ihlalden Mart 2018 tarihinde haberdar olmasına rağmen yaklaşık 2 ay sonra 07.05.2018 tarihinde ihlali tespit etmiştir.

İnceleme sonucunda;

• Yapılan ihlalin bir “güvenlik açığı olduğu” tespit edilmiştir.
• Ayrıca Şirket tarafından “gerekli denetim ve kontrollerin yapılmadığı” anlaşılmıştır.
• Erişim sağlanması, “Şirket bünyesinde bulunan donanım ve yazılımların yapılandırmalarının doğru bir şekilde yapılmadığının ve alınan güvenlik önlemlerinin yetersiz olduğunu” göstermiştir.
• 6698 sayılı Kişisel Verilerin Korunması Kanununun 12‟nci maddesinin (1) numaralı fıkrası çerçevesinde veri güvenliğini sağlamaya yönelik “gerekli teknik ve idari tedbirleri almayan” Şirket hakkında Kanunun 18‟nci maddesinin (1) numaralı fıkrasının (b) bendi uyarınca 450.000 TL idari para cezası;
• Şirket tarafından 07.05.2018 tarihinde gerçekleşen siber saldırıya ilişkin Kurula 25.10.2018 tarihinde bildirim yapılmasının, ihlalden etkilenen ilgili kişilere ise 25.10.2018 tarihinden itibaren bildirim yapmaya başlanmasının, Kanunun 12‟nci maddesinin (5) numaralı fıkrasında yer verilen “en kısa sürede” bildirimde bulunma yükümlülüğüne aykırılık teşkil etmesi nedeniyle, Kanunun 18‟nci maddesinin (1) numaralı fıkrasının (b) bendi uyarınca Şirket hakkında 100.000 TL idari para cezası verilmiştir.
  

3). Kişisel Verileri Koruma Kurulu’ndan Marriott International Inc.’e İdari Para Cezası

Marriott International Inc.‟e 1.450.000 TL idari para cezası verilmesine karar verdi. Kurul kararındaki detaylar şöyle:

2016 yılının Eylül ayında Marriottt‟un önceden halka açık ve ayrı bir konaklama şirketi olan Starwwod Hotels & Resorts Worldwide Inc.‟i devralma işlemi gerçekleştirilmiştir. Starwood otel markaları olan ve Türkiye‟de faaliyet gösteren, St. Regis, Sheraton Hotel & Resorts, Westin Hotels & Resorts, Element Hotels, Aloft Hotels, The Luxury Collection, Tribute Portfolio, Le Méridien Hotels & Resorts, Four Points by Sheraton and Design Hotels‟in veri tabanına 2014‟ten itibaren yetkisiz erişim sağlanmıştır. Devralma işleminin gerçekleşmesinden sonra da 9.11.2018 tarihinde kadar yani yaklaşık 4 yıl boyunca ihlalin varlığı fark edilememiştir.

İnceleme sonucunda;

• İhlalin yaklaşık 4 yıl sürmesinin çok ciddi bir güvenlik açığı olduğu ve Şirket tarafından “gerekli denetimlerin ve kontrollerin yapılmadığının” göstergesi olduğu kanısına varılmıştır.
• İhlalden etkilenen veriler arasında müşterilere ait “ad, soyad, posta adresi, telefon numarası, doğum tarihi, cinsiyet, pasaport numarası, Starwood Preferred Guest (SPG) hesap bilgileri, otel ödül bilgileri, otele giriş ve çıkış bilgileri, ödeme kartı numaraları ve ödeme kartı son kullanma tarihleri, rezervasyon tarihi ve iletişim tercihlerini” içeren bilgiler bulunmaktadır.
• Sistemde şifrelenmiş ödeme kartı bilgilerinin yanı sıra çok sayıda şifrelenmemiş ödeme kartı numaralarının da bulunmasının “sistemin tasarım aşamasından itibaren doğru bir şekilde planlanmadığı ve gerekli kontrollerin yapılmadığının” kanıtı olup, bu durumun ilgili kişiler açısından olumsuz etki oluşturabilecek bir güvenlik açığı olduğunu göstermiştir.
• İhlalden etkilenen müşterilere ait bilgiler arasında ülke/bölge adresi Türkiye olan yaklaşık 1.24 milyon müşteri kaydının bulunduğu, ancak aynı müşteri için birden fazla kaydın vâr olması, ihlalden etkilenen Türk müşterilerin sayısının tam olarak tespit edilememesine yol açmıştır.
• Saldırganın web sunucusuna bir komut istemi yükleyerek Starwood ağına girdiğinin tespit edilmesi ve web sunucusuna erişiminin sağlanmasından sonra, saldırgan tarafından web sunucusuna uzaktan erişim sağlayan bir truva atı (RAT) yüklenmiştir. Saldırgan, daha sonra kimlik bilgilerini toplayan ilave araçlar yüklemiş ve sonrasında Starwood ağındaki diğer cihazlara erişim sağlayabilmek için kimlik bilgilerini ve iç ağ bağlanabilirliğini kullanmıştır. “Saldırının tespit edilememesi, alınan teknik ve idari tedbirlerin yetersizliğine kanıt teşkil etmiştir.”
• Ayrıca yetkisiz erişim ve komut isteminin kurulumunu gösteren Web Olay Günlüklerinin (LOG Kayıtları) 2014 yılından itibaren kullanılmasına rağmen, “devam eden saldırının tespit edilememesi, Şirket tarafından alınması gereken teknik ve idari tedbirlerin alınmadığının göstergesidir.”
• 6698 sayılı Kişisel Verilerin Korunması Kanununun 12‟nci maddesinin (1) numaralı fıkrası çerçevesinde “veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirleri almayan” Şirket hakkında Kanunun 18‟nci maddesinin (1) numaralı fıkrasının (b) bendi uyarınca 1.100.000 TL idari para cezası;
• Şirket tarafından 08.09.2018 tarihinde tespit edilen ihlale ilişkin Kuruma 03.12.2018 tarihinde bildirim yapılmasının, ihlalden etkilenen kişilere ise 30.11.2018 tarihinden sonra bildirimde bulunulmaya başlanmasının, Kanunun 12 nci maddesinin (5) numaralı fıkrasında yer verilen “en kısa sürede” bildirimde bulunma yükümlülüğüne aykırılık teşkil etmesi nedeniyle, Kanunun 18 nci maddesinin (1) numaralı fıkrasının (b) bendi uyarınca Şirket hakkında 350.000 TL idari para cezası verilmiştir.
  

4). Kişisel Verileri Koruma Kurulu’ndan Clickbus Seyahat Hizmetleri Anonim Şİrketi’ne İdari Para Cezası

Kurulu‟ndan Clickbus Seyahat Hizmetleri Anonim Şİrketi‟ne 550.000 TL idari para cezası verilmesine karar verdi. Kurul kararındaki detaylar şöyle:

Amazon Web Services (AWS) tarafından internet sistemlerinden biri üzerinden zararlı bir işlem olabileceğine ilişkin Clickbus‟a uyarı yapılmıştır. AWS tarafından internet platformlar ile bağlantılı bazı şüpheli faaliyetler tespit edilmiştir. Clickbus, bilgi sistemlerinde veri güvenliğini tehlikeye sokabilecek faaliyetlerden şüphelenerek, alanında uzman adli bilişim uzmanlarının yardımları ile iç inceleme başlatmıştır.

Ön İnceleme sonucunda;

• İncelenen sunucularda bazı zararlı dosyalar bulunmuştur. Bulunan meşru kaynak kod dosyalarının Clickbus‟ın sunucularına uzaktan erişim sağlanmasına izin veren zararlı kodları içerecek şekilde modifiye edildiğini tespit etmiştir.
• Ayrıca Clickbus‟ın AWS Sisteminde yer alan LOG ve sistemler üzerinde yaptığı analiz sonrasında, Clickbus kaynaklarından veri sızıntısının 25 Eylül 2018’den 25 Kasım 2018’e kadar geçen sürede gerçekleştiği sonucuna varılmıştır.
  

İnceleme sonucunda;

• Söz konusu ihlalden Türkiye‟de yerleşik 67.519 kişinin etkilenmiştir.
• İhlalden etkilenmiş kişilerin farklı kategorilerde ve sayıda kişisel verileri arasında “kimlik bilgileri (cinsiyet, ad, soyad, T.C. kimlik numarası, doğum tarihi), iletişim bilgileri (cep telefonu ülke kodu, cep telefonu numarası, sabit hat ülke kodu, sabit hat numarası, sabit hat uzantısı/dahilisi, e-posta adresi, sms gönderi izni, ticari elektronik ileti izni), müşteri işlemleri (ödeme anahtarı, yolculuk numarası, sepet numarası, sipariş numarası, toplam tutar, seyahat türü/kullanılacak araç, kalkış/varış yer ve saati, yolcu başına ücret referans numarası, yolcu türü, oturum simgesi, hata sebebi (uygulanabilir olduğu ölçüde hangi doğrulama adımının hataya sebep verdiği), segmentler), işlem güvenliği bilgileri (ödeme bilgileri; kart üzerinde yazan isim, kart numarası, kartın son kullanma tarihindeki ay ve yıl, kart güvenlik kodu, taksit bilgisi, indirim kodu, seyahat sigortası alınıp alınmadığına ilişkin bilgi, site kullanım koşullarının kullanılma bilgisi) verilerinin varlığı” tespit edilmiştir.
• İhlalin 25 Eylül 2018‟den 25 Kasım 2018‟e kadar geçen dönemde iki ay boyunca devam etmesinin Şirket tarafından “gerekli denetimlerin ve kontrollerin yapılmadığının göstergesi” olarak kabul edilmiştir.
• İhlal, 21 Kasım 2018 tarihinde tespit edilmesine rağmen 25 Kasım 2018 tarihine kadar dört gün daha devam etmiş, Şirket tarafından alınan “idari tedbirler yeterli olmamıştır.”
• Söz konusu yetkisiz kişi veya kişilerin ayrıca “Şirketin kaynak koduna ulaşarak değişiklik yapmasının ciddi bir güvenlik açığı olmasına” sebebiyet vermiştir.
• 6698 sayılı Kişisel Verilerin Korunması Kanununun 12‟nci maddesinin (1) numaralı fıkrası çerçevesinde veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirleri almayan Şirket hakkında Kanunun 18‟nci maddesinin (1) numaralı fıkrasının (b) bendi uyarınca 450.000 TL idari para cezası;
• Şirket tarafından 21.11.2018 tarihinde tespit edilen siber saldırıya ilişkin Kurula 07.02.2019 tarihinde bildirim yapılmasının, ihlalden etkilenen ilgili kişilere ise 25.02.2019 tarihinde bildirim yapılmasının; Kanunun 12‟nci maddesinin (5) numaralı fıkrasında yer verilen “en kısa sürede” bildirimde bulunma yükümlülüğüne aykırılık teşkil etmesi nedeniyle Kanunun 18‟nci maddesinin (1) numaralı fıkrasının (b) bendi uyarınca Şirket hakkında 100.000 TL idari para cezası verilmiştir.
  

5). Kişisel Verileri Koruma Kurulu tarafından Pizza Restaurantları A.Ş. (Domino’s Pizza) Hakkında Kamuoyu Duyurusu (Veri İhlali Bildirimi) Yayınlandı.

KVKK‟nın “Veri Güvenliğine İlişkin Yükümlülükler” başlıklı 12‟nci maddesinin (5) numaralı fıkrasında “ İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirmelidir. Ayrıca Kurul, gerekmesi halinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntem ile ilan edebilir.” hükmü yer almaktadır.

Veri sorumlusu sıfatını haiz olan Pizza Restaurantları A.Ş.‟ye (Domino‟s Pizza) ait dominos.com.tr internet sitesine giriş ve site üzerinden pizza veya diğer ürün siparişleri için kullanılan, müşterilerin kendileri tarafından belirlenen “kullanıcı adı ve şifrenin sızdığına” ilişkin bir şüphe olmuştur.

İnceleme Sonucunda;

• Yapılan teknik inceleme sonucunda 5225 adet müşteriye ait kullanıcı adı ve şifre deneme yolu ile (brüte-force attack) üçüncü kişiler tarafından “hukuka aykırı olarak erişildiği tespit edilmiş ve internet ortamında paylaşıldığı” ortaya çıkmıştır.
• İhlalden etkilenen verilerin “kimlik, iletişim, internet sitesi girişi için kullanılan kullanıcı adı ya da e-posta adresi ve şifresi, hediye pizza ve indirim hakkı olup olmadığı bilgilerinin sızdırıldığı” tespit edilmiştir.
• İlgili kişilerin dominoskvk@dominospizza.com.tr e-posta adresine veri ihlali ile ilgili bilgi almak için iletişime geçilebileceği belirtilmiştir.
  

Konu ile ilgili inceleme devam etmektedir. Kişisel Verileri Koruma Kurulu, 01.07.2019 tarih ve 2019/190 sayılı Kararı ile söz konusu veri ihlalinin Kurumun internet sayfasında ilan edilmesine karar vermiştir.

Enerji Piyasası Düzenleme Kurumu; LPG sektörünün tanıtılması ve LPG sektörüne yatırım yapmak isteyenleri bilgilendirme amacıyla “Türkiye LPG Piyasası Yatırımcı Rehberi’ni” yayınladı.

Enerji Piyasası Düzenleme Kurumu; ülkemizde LPG sektörünün tanıtılması ve LPG sektörüne yatırım yapmak isteyen özellikle yabancı yatırımcılara yol göstermesi amacıyla “Türkiye LPG Piyasası Yatırımcı Rehberi’ni” yayınladı. Rehberde Türkiye’nin temel iktisadi görünümü ve enerji kullanımına ilişkin istatistiki bilgilere değinilerek, LPG sektörünün yapısı ve lisanslandırma süreçleri hakkında bilgiler de verildi. Hazırlanan rehberin ülkemizde LPG sektöründe yatırım yapmak isteyen yerli ve yabancı yatırımcılar için yol gösterici olması bekleniyor. Yayınlanmış olan rehber, LPG piyasasının işleyişini anlatma, lisanslandırma, fiyat oluşumu gibi sektörel bilgileri de barındırıyor. LPG piyasasıyla ilgilenen bütün sektör temsilcilerinin ve yatırımcılarının yayınlanmış olan bu rehberden yararlanması bekleniyor.

Türkiye LPG Piyasası Yatırımcı Rehberi‟ne ulaşmak için https://www.epdk.org.tr/Detay/Icerik/3-0-176-1002/lpgyatirimci-rehberi linkini ziyaret edebilirsiniz.