ANKARA - BHA

Kişisel Verileri Koruma Kurumu (KVKK), inceleme sürecini, söz konusu firmanın sunucularına zararlı yazılım bulaşması ve yetkisiz kişiler tarafından bazı kişisel bilgilere giriş yapılması üzerine başlattı. Yapılan araştırmalarda, sistemlerdeki belirli dosyaların şifrelendiği ve saldırganların şirkete ilişkin bazı verileri internet üzerinden kamuoyuna açtığı anlaşıldı.

Kurumun gerçekleştirdiği denetimde, bilişim altyapısının sürekli takip edilmediği, ağ trafiğindeki anormalliklerin vakitlice fark edilemediği ve zararlı yazılımlara karşı gerekli güvenlik önlemlerinin yetersiz kaldığı sonucuna varıldı.

Kurul, tespit edilen bu zafiyetlerin, kişisel verilerin korunması amacıyla icra edilmesi gereken teknik ve idari önlemlerin aksatıldığına işaret ettiğini değerlendirdi.

Alınan kararda, siber saldırının, firmanın insan kaynakları yazılım hizmetini temin ettiği üçüncü taraf bir sağlayıcıya ait kullanıcı hesabının izinsiz olarak ele geçirilmesiyle tetiklenmiş olabileceğine dikkat çekildi.

Ayrıca, veri sorumlularının, hizmet aldıkları veri işleyenlerin de kişisel verilerin emniyeti için yeterli koruma mekanizmalarını uyguladığından haberdar olmaları ve kontrol etmeleri gerektiği hususu altı çizildi.

Sızma olayında, firmaya bağlı müşterilerin ve tedarikçilerin temsilcilerine ilişkin kimlik ve iletişim detaylarının, aktif ve eski personelin kimlik, iletişim ve izin belgelerinin ve bazı sağlık kayıtlarının da zarar gördüğü belirlendi.

6698 sayılı Kişisel Verilerin Korunması Kanunu çerçevesinde yürütülen süreç neticesinde, veri güvenliği sorumluluklarına uymadığı tespit edilen firma hakkında 500 bin lira tutarında idari para cezası uygulanması kararlaştırıldı.