Kişisel Verileri Koruma Kurumu Tarafından Yirmi Sekiz Adet Veri İhlal Bildirimi Yayımlandı

Kişisel Verileri Koruma Kurumu'nun resmi internet sitesinde, 16.09.2026 tarihinde 28 adet veri ihlal bildirimi kamuoyuyla paylaşılmıştır. Bildirimlerin 27'si, veri sorumlularının e-ticaret altyapısı hizmeti aldığı aynı veri işleyen nezdinde yaşanan tek bir olaya ilişkin olup tamamı 2026/2039 sayılı tek Kurul kararıyla ilan edilmiş; Canva Pty Ltd bildirimi ise ayrı bir olaya ilişkin olarak 2026/2037 sayılı kararla duyurulmuştur.

Tek bir günde bu sayıda bildirimin ilan edilmesi ve bunların tek bir tedarikçi kaynaklı olması, Kurumun veri işleyen kaynaklı ihlallere yaklaşımı ile veri sorumlularının tedarikçi seçimi ve denetimindeki özen yükümlülüğü bakımından önem taşımaktadır. Bildirimlere ilişkin özet aşağıda yer almaktadır.

Olay: Veri sorumlularının e-ticaret altyapısı hizmeti aldığı veri işleyenin sistemlerindeki bir sunucuya, kullanılan üçüncü taraf bir yazılım kütüphanesindeki güvenlik zafiyetinin istismar edilmesi suretiyle yetkisiz erişim sağlanması sonucunda ihlal gerçekleşti. İhlaller, veri işleyenin veri sorumlularına 09–11.09.2026 tarihlerinde yaptığı bildirimlerle tespit edildi (Güneş Engin bildiriminde 27.08.2026; bazı bildirimlerde tarih belirtilmemiş).

Etki: Bildirimlerin tamamına yakınında ad-soyad, e-posta adresi, telefon numarası, adres ve hash'lenmiş kullanıcı giriş/parola bilgileri etkilendi; bazılarında ayrıca sipariş bilgileri, IP, yönetim paneli hesap bilgileri ve ödeme API anahtarları yer alıyor. Etkilenen gruplar ağırlıklı olarak müşteriler, üyeler, kullanıcılar ve çalışanlar. Sayısı açıklanan bildirimlerde toplam yaklaşık 10,84 milyon kişi etkilenmiştir.

Aksiyon: Tüm bildirimlerde Kurul incelemesi devam ediyor; bir kısmında etkilenen kişi sayısı ve veri kapsamı veri işleyenden talep edilmiş durumda.

Not: Sayısı açıklanan 22 bildirimde toplam 10.843.552 kişi etkilenmiştir; beş bildirimde sayı henüz tespit edilememiştir.

28. Canva Pty Ltd (2026/2037)

Olay: Veri sorumlusunun kullandığı üçüncü taraf bir araçta yaşanan yetkisiz erişim; tehdit aktörünün veri işleyen ile olan bağlantı aracılığıyla bazı kişisel verileri dışarı aktardığı (sızdırdığı) değerlendiriliyor.

Etki: Türkiye'de yer alan 424 organizasyon/kuruluş ile ilişkili veriler etkilendi; etkilenen gerçek kişi sayısı henüz tespit edilemedi. Müşterilerin çalışanlarına ait isim, iş e-posta adresi, iş yeri konumu ve iş telefonu bilgileri ile — veri sorumlusu ile paylaşıldığı ölçüde — müşteri sipariş formları, sözleşmeler, faturalar, veri koruma anlaşmaları, ana hizmet sözleşmeleri ve rutin iş yazışmaları ihlale konu.

Aksiyon: İnceleme sürüyor; ilgili kişiler yardım merkezi ve privacy@canva.com üzerinden bilgi alabiliyor.

(i) 27 bildirimin tek bir e-ticaret altyapı sağlayıcısındaki üçüncü taraf yazılım kütüphanesi zafiyetinden kaynaklanması, KVKK md. 12/1 kapsamında veri sorumlularının veri işleyen seçiminde ve denetiminde gereken özeni gösterip göstermediğinin sorgulanacağı anlamına geliyor; tedarikçi sözleşmelerindeki güvenlik taahhütleri ve denetim hakları gözden geçirilmelidir.

(ii) Kurul, 27 bildirimin tamamını 2026/2039 sayılı tek kararla ilan etmiştir — olayın tek kaynaklı olarak ele alındığını gösteriyor. Aynı altyapıyı kullanan müvekkillerin kendi bildirim yükümlülüklerini (72 saat) değerlendirmesi önerilir.

(iii) Etkilenen kişi sayısı bakımından öne çıkanlar: Eve Kozmetik (6,26 milyon), Shaya Mağazacılık (2,3 milyon), Deniz Deniz Butik (1,27 milyon) ve Locco Elektronik (517 bin). Parolaların hash'li saklanmış olması riski azaltsa da MD5 gibi zayıf algoritma kullanan bildirimler (Valmenti) açısından ilgili kişilere bildirim ve parola sıfırlama önerisi kritik.

(iv) Canva bildirimi, yurt dışında yerleşik veri sorumlusunun Türkiye'deki kurumsal müşterilerini etkilemesi nedeniyle ayrıca takip edilmelidir; etkilenen veriler arasında sözleşme ve fatura gibi ticari belgeler de bulunuyor.