DHL AG'nin merkezi olarak yürüttüğü çalışan anketleri için hizmet aldığı veri işleyenin veri analizi ve raporlama ortamına yetkisiz erişim sağlanması sonucu Türkiye'de istihdam edilen 10.622 çalışanın verileri etkilendi. 2 Kasım 2026 tarihinde tespit edilen veri ihlali, Kişisel Verileri Koruma Kurumu (KVKK) tarafından 11 Kasım 2026'da kamuoyuna ilan edildi.
Hangi veriler etkilendi
Kişisel Verileri Koruma Kurulu'na yapılan bildirime göre ihlalden etkilenen kişi grubunu çalışanlar oluşturuyor. 2 Kasım 2026'da tespit edilen olayda Türkiye'de istihdam edilen 10.622 çalışana ait kimlik, iletişim ve özlük verileri etkilendi.
Tedarikçi kaynaklı ihlal
Veri sorumlusu sıfatıyla bildirimde bulunan DHL AG'ye göre yetkisiz erişim, merkezi olarak yürütülen çalışan anketleri kapsamında hizmet alınan veri işleyenin işlettiği veri analizi ve raporlama ortamında gerçekleşti.
Kişisel Verileri Koruma Kurulu, 11 Kasım 2026 tarihli ve 2026/2483 sayılı kararıyla bildirimin Kurum internet sitesinde ilan edilmesine karar verdi. Duyuru, 6698 sayılı KVKK'nın 12'nci maddesinin 5'inci fıkrası uyarınca 11 Kasım 2026'da yayımlandı. Bu hüküm gereğince veri sorumlusu, kişisel verilerin kanuni olmayan yollarla elde edilmesi hâlinde durumu en kısa sürede ilgilisine ve Kurula bildiriyor; Kurul da gerekmesi hâlinde bu durumu ilan edebiliyor. Kurulun olaya ilişkin incelemesi devam ediyor.
Neler bilinmiyor
KVKK tarafından yayımlanan kamuoyu duyurusunda olaya ilişkin bazı teknik ve operasyonel ayrıntılar açıklanmadı:
- Çalışan anketi hizmetini sunan veri işleyen (tedarikçi) şirketin adı açıklanmadı.
- Raporlama ortamına yetkisiz erişimin nasıl sağlandığı ve ihlalin başlangıç tarihi açıklanmadı.
- Saldırganın kim olduğu ile verilerin herhangi bir ortamda yayımlanıp yayımlanmadığı açıklanmadı.
- Türkiye dışındaki DHL çalışanlarının ihlalden etkilenip etkilenmediği açıklanmadı.
Türkiye açısından
Olay, doğrudan Türkiye'de istihdam edilen 10.622 kişiyi kapsaması ve verilerin şirketin kendi sistemlerinden değil anket ve raporlama hizmeti veren tedarikçi ortamından çıkması bakımından çalışan verisi güvenliğinde tedarik zinciri boyutunu öne çıkarıyor. 6698 sayılı KVKK'nın 12'nci maddesinin 2'nci fıkrasına göre veri sorumlusu, verilerin kendi adına başka bir kişi tarafından işlenmesi hâlinde güvenlik tedbirlerinin alınmasından bu kişilerle birlikte müştereken sorumlu tutuluyor.
Kimlik ve iletişim verileri etkilenen çalışanları hedefleyen kişiselleştirilmiş oltalama girişimleri de bu tür olaylarda genel bir risk olarak değerlendiriliyor.
Kaynaklar
Kapak görseli: Mike Mozart / Wikimedia Commons, CC BY 2.0 (kırpıldı, 1200x675).
.jpg){kind=link}