Kişisel Verileri Koruma Kurumu Duyurusu: Sağlık Kuruluşunda Veri İhlali

Kişisel Verileri Koruma Kurumu (KVKK), 21 Ekim 2026'da yayımladığı kamuoyu duyurusuyla DNC Sağlık Hizmetleri AŞ'nin Kurula ilettiği veri ihlali bildirimini ilan etti. Duyuruya göre Ankara Çankaya'da sağlık hizmeti sunan özel bir sağlık kuruluşunun sunucusunda fidye notu görüldü ve veri tabanı dosyalarına erişilemedi. Kurul, ilanı 21.10.2026 tarihli ve 2026/2282 sayılı kararıyla verdi.

KVKK duyurusunda neler yer alıyor?

Kurumun açıklamasına göre ihlali tespit eden taraf, veri sorumlusu sıfatıyla bildirimde bulunan DNC Sağlık Hizmetleri AŞ oldu. Şirketin bildirimine göre 2026 yılının Ekim ayında bilişim personeli, sunucu ekranında Türkçe yazılmış bir fidye notu fark etti. Aynı anda veri tabanı dosyalarına erişilemediği anlaşıldı. Duyuruda ihlalin gün ve saati yer almıyor.

Duyuruda veri sorumlusunun Ankara Çankaya'da sağlık hizmeti sunan özel bir sağlık kuruluşu olduğu belirtiliyor. İhlalden hizmet alan hastalar, hasta yakınları, şirket personeli ve iş ortaklarının etkilendiği ifade ediliyor.

Hangi veriler etkilendi?

Şifrelenen sunucudaki kişisel veriler, Kurum duyurusunda dört başlık altında sıralandı:

• Kimlik verileri: ad, soyad ve T.C. kimlik numarası
• İletişim verileri: telefon numarası, adres ve e-posta adresi
• Özel nitelikli kişisel veriler olarak sağlık verileri: muayene, tahlil, tetkik, tanı, teşhis, reçete ve tıbbi tedavi geçmişine ilişkin kayıtlar
• Finansal veriler: randevu kayıtları, faturalandırma ve SGK ya da özel sigorta provizyon kayıtları

Sunucu veri tabanı şifrelendiği için kesin kişi ve kayıt sayısı ilk aşamada belirlenemedi. Verilerin üçüncü kişilerce görüntülenip görüntülenmediği ya da dışarı aktarılıp aktarılmadığı duyuruda yer almıyor. Fidye saldırısına ilişkin bilgiler, şirketin Kurula yaptığı bildirime dayanıyor. Bağımsız bir teknik doğrulama ya da başka bir resmî açıklama bulunmuyor.

Hukuki çerçeve: 6698 sayılı Kanun'un 12. maddesi

Duyuru, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesinin beşinci fıkrasına dayanıyor. Bu hükme göre işlenen kişisel veriler kanuni olmayan yollarla başkalarınca elde edilirse veri sorumlusu bunu en kısa sürede hem ilgilisine hem de Kurula bildirmek zorunda. Kurul da gerekli görürse ihlali kendi internet sitesinde veya uygun bulduğu başka bir yöntemle ilan edebiliyor. Bu duyuru, ikinci yetkinin kullanıldığını gösteriyor.

Aynı maddenin ilk fıkrası, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini önleyecek ve muhafazasını sağlayacak uygun güvenlik düzeyini temin etme yükümlülüğü getiriyor. Bunun için gerekli teknik ve idari tedbirlerin alınması gerekiyor. İnceleme sürecinde Kurul'un bu tedbirlerin yeterli olup olmadığına bakması beklenebilir. Ancak duyuruda şirketin tedbirleri hakkında bir değerlendirme yok. Kurul incelemesinin sonucu da açıklanmadı.

Kanun, veri güvenliği yükümlülüklerine aykırılık için 18. maddede idari para cezası öngörüyor. Bu duyuruda bir yaptırım kararı yok. Cezanın gündeme gelip gelmeyeceği, inceleme tamamlandıktan sonra Kurul'un değerlendirmesine bağlı. Güncel ceza tutarları resmî kaynaktan doğrulanamadığı için burada yazılmıyor.

Benzer bir ilan uygulaması daha önce de görüldü

Kurum, aynı sektörde fidye yazılımı kaynaklı bir ihlali 9 Eylül 2026'da da ilan etmişti. O duyuru, 2026/1980 sayılı Kurul kararına dayanıyordu. Dolayısıyla sağlık alanındaki ihlallerin kamuoyuna duyurulması Kurul'un son aylardaki uygulamasıyla uyumlu görünüyor.

Süreç bundan sonra nasıl işleyecek?

Duyuruda inceleme devam ediyor deniyor. Genel usulde şu adımlar beklenir:

• Kurul, veri sorumlusundan ek bilgi ve belge isteyebilir.
• İhlalin kapsamı, etkilenen kişi sayısı ve alınan önlemler netleşir.
• Veri sorumlusu, etkilenen kişilere bildirimini yapar ve Kurula ek bilgi sunar.
• Gerekirse Kurul, idari yaptırım yönünde karar verir.

Fidye saldırısının faillerine ilişkin ceza soruşturması ayrı bir süreçtir. Bu konuda şu ana kadar açıklanmış bir bilgi yok. Şirketin ve kişilerin sorumluluğu konusunda kesin bir sonuç da yok. Masumiyet karinesi ve hukuki sürecin tamamlanması bekleniyor.

Hastalar ve yakınları ne yapabilir?

Duyuruda etkilenen kişilere yönelik ayrı bir çağrı ya da başvuru kanalı belirtilmiyor. İlgili kişilerin, hizmet aldıkları kuruluştan kendilerine yapılacak bildirimi beklemesi ve bu bildirimde yer alacak bilgileri dikkatle okuması yerinde olur. Kişiler, veri sorumlusuna başvurarak verilerinin etkilenip etkilenmediğini sorabilir. KVKK'nın internet sitesinde ilgili kişinin hakları ve başvuru yolları anlatılıyor. Sağlık hizmetinden doğan hak talepleri ve hasta hakları konusunda ayrıca sağlık hukukuna ilişkin uyuşmazlıklarda hukuki destek alınabilir.

Kimlik, iletişim ve sağlık bilgilerinin birlikte etkilenmesi, kişilerin kendi hesaplarında ve iletişim kanallarında şüpheli mesajlara karşı dikkatli olmasını gerektiriyor. Kurum ve şirket tarafından yapılacak yeni açıklamalar, ihlalin gerçek boyutunu ortaya koyacak.