Veri İhlali Kapsamında Bulundu Ne Demek? KVKK İzmir Büyükşehir İlanı

Kişisel Verileri Koruma Kurumu, 21 Ekim 2026 tarihli kamuoyu duyurusuyla İzmir Büyükşehir Belediyesi'nin Kurula ilettiği veri ihlali bildirimini ilan etti. Duyuruya göre bir kurumsal e-posta hesabına, sunucudaki bir açık yüzünden değil, önceden ele geçirilmiş bir parolayla yetkisiz erişim sağlandı. Etkilenen kişi sayısı tam olarak belirlenemedi ve inceleme sürüyor.

Kurum duyurusunda neler yer alıyor?

Kurum, internet sitesindeki duyuruda, veri sorumlusu sıfatını taşıyan İzmir Büyükşehir Belediyesi'nin kendisine bir veri ihlali bildirimi ilettiğini açıkladı. Kişisel Verileri Koruma Kurulu, 21.10.2026 tarihli ve 2026/2271 sayılı kararıyla bu bildirimin Kurumun internet sitesinde ilan edilmesine karar verdi. Duyuruda konuya ilişkin incelemenin devam ettiği de belirtiliyor.

Bu haberdeki olay anlatımı, duyurunun belediye bildiriminden aktardığı özete dayanıyor. Bağımsız bir kaynakla doğrulanmış bulgular değil, veri sorumlusunun Kurula sunduğu beyanlardır. Duyuruda olayın hangi birimde yaşandığı, belediyenin bildirimi hangi tarihte yaptığı ve ilgili kişilere ayrıca bildirim yapılıp yapılmadığı yer almıyor.

Bildirimde anlatılan olay akışı

Duyuruya göre bir kurumsal e-posta hesabından olağan dışı hacimde ileti gönderildiği 30 Eylül 2026'da fark edildi. İncelemede hesaba, e-posta sunucusundaki bir güvenlik zafiyeti nedeniyle değil, daha önce ele geçirilmiş bir parola kullanılarak girildiği anlaşıldı.

Bildirimde, yetkisiz erişim sağlanan hesaplardan ikisinin posta kutusu içeriklerinin kurum dışına aktarıldığı yazıyor. Aynı hesaplarda gelen iletileri silmeye yönelik bir kural tanımlandığı, toplu spam gönderildiği, ileti ayarlarının değiştirildiği ve mevcut yazışmaların açıldığı da aktarılıyor. E-posta imza alanına dolandırıcılık içerikli bir metin eklendiği de bildirimdeki tespitler arasında.

Hangi veriler etkilendi?

Bildirime göre ihlalden etkilenen kişisel veriler ad, soyad, e-posta adresi ve dahili telefon numarasından oluşuyor. İlgili kişi sayısı ise tam olarak belirlenemedi. Posta kutusu içeriklerinin dışarı aktarıldığı belirtildiği için, bu yazışmalarda başka bilgilerin bulunup bulunmadığı Kurul incelemesinin konusu olacak. Duyuruda bu yönde bir tespit yok.

6698 sayılı Kanun'da veri ihlali nasıl düzenleniyor?

Duyurunun dayanağı, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun veri güvenliğine ilişkin 12. maddesinin beşinci fıkrasıdır. Fıkraya göre işlenen kişisel veriler kanuni olmayan yollarla başkaları tarafından elde edilirse veri sorumlusu bunu en kısa sürede ilgili kişiye ve Kurula bildirir. Kurul gerekli gördüğünde ihlali kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir. İlan, bu fıkranın Kurula tanıdığı yetkiye dayanıyor.

Aynı maddenin birinci fıkrası, veri sorumlusunu verilerin hukuka aykırı işlenmesini ve hukuka aykırı erişilmesini önlemek, muhafazasını sağlamak için uygun güvenlik düzeyini temin eden teknik ve idari tedbirleri almakla yükümlü kılıyor. İkinci fıkra, verileri veri sorumlusu adına başka biri işliyorsa tedbirlerden veri sorumlusunun bu kişilerle birlikte sorumlu olduğunu söylüyor.

Kurul'un ihlal bildirimine ilişkin ilke kararında, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirilmesi öngörülüyor. Bu olayda bildirimin hangi tarihte yapıldığı duyuruda yer almadığı için sürenin uyulup uyulmadığı hakkında bir değerlendirme yapılamıyor.

Süreç bundan sonra nasıl işleyecek?

Kurul incelemesi sürüyor. İnceleme sonunda veri sorumlusunun yeterli teknik ve idari tedbirleri alıp almadığı, ihlali süresinde bildirip bildirmediği ve ilgili kişileri bilgilendirip bilgilendirmediği değerlendirilebilir. Kanunun 18. maddesi, veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler için idari para cezası öngörüyor. Ceza tutarları her yıl yeniden değerleniyor. Güncel rakamlar resmî kaynaktan doğrulanamadığı için burada yazılmadı.

İlanın kendisi bir yaptırım ya da kusur tespiti sayılmaz. Kurum benzer ilanları başka veri sorumluları için de yayımlıyor. Kurul'un bu dosyada bir karar verip vermeyeceği ve içeriği henüz bilinmiyor. İleride bir idari para cezası verilirse, kanunda bu tür cezalara karşı idare mahkemesine başvuru yolu bulunuyor.

İlgili kişiler ne yapabilir?

Kanun, ilgili kişilere veri sorumlusuna başvurma ve Kurula şikâyette bulunma imkânı tanıyor. Belediye ile yazışmış olan kişiler, kendilerine bir bilgilendirme gelip gelmediğini kuruma sorabilir. Bildirime göre ele geçirilen hesaplardan toplu spam ve dolandırıcılık içerikli imzalı iletiler gönderildiği için, belediye adresinden gelen beklenmedik e-postalardaki bağlantılara ve eklere dikkat etmek yerinde olur. Belediye adına gönderildiği iddia edilen şüpheli iletiler için kurumun resmî iletişim kanallarından teyit alınabilir.

Soruşturma ya da dava süreci bulunduğuna dair bir bilgi duyuruda yer almıyor. Haberdeki tüm bilgiler Kurum duyurusu ile belediyenin bildirimine dayanıyor ve kimse hakkında suç isnadı içermiyor.