DHL veri ihlali Türkiye’de 10.622 çalışanı etkiledi

Kişisel Verileri Koruma Kurumu (KVKK), DHL AG’nin bildirdiği veri ihlalini kamuoyuna açıkladı. İhlal, DHL çalışanlarının anket verilerini analiz etmek ve raporlamak için kullanılan ortamda gerçekleşti. Kurumun duyurusuna göre Türkiye’de istihdam edilen 10.622 çalışanın kişisel verileri etkilendi. Şirketin müşterileri değil, çalışanları ihlalden etkilenen grup olarak belirtildi.

Olayın dikkat çeken yönlerinden biri, yetkisiz erişimin DHL’in kendi sistemlerinde değil, çalışan anketleri için hizmet alınan veri işleyicinin ortamında yaşanması. Verilerin işlenmesi için dış hizmet sağlayıcı kullanılması, veri sorumlusu ile bilgilerin saklandığı ya da analiz edildiği ortamın farklı olabileceğini gösteriyor. KVKK’ya bildirimi yapan taraf DHL AG olurken erişimin gerçekleştiği yer hizmet sağlayıcının işlettiği analiz ve raporlama ortamı oldu.

İhlal çalışan anketlerinin işlendiği ortamda yaşandı

DHL AG, çalışan anketlerini merkezi biçimde yürütüyor ve bu süreçte bir veri işleyiciden hizmet alıyor. Kurumun açıklamasında, yetkisiz erişimin bu hizmet sağlayıcının işlettiği veri analizi ve raporlama ortamına gerçekleştiği bildirildi. İhlalin 2 Kasım 2026’da tespit edildiği, ardından DHL AG’nin veri sorumlusu sıfatıyla KVKK’ya bildirim yaptığı aktarıldı.

Mevcut duyuru, erişimin nasıl sağlandığına veya hangi teknik güvenlik açığının kullanıldığına ilişkin ayrıntı içermiyor. Bu nedenle olayın yöntemi ya da erişimin ne kadar sürdüğü konusunda kesin bir değerlendirme yapmak mümkün değil. KVKK’nın incelemesi devam ediyor; kurum, incelemenin tamamlanacağı tarihe dair bilgi paylaşmadı.

Kimlik, iletişim ve özlük verileri etkilendi

KVKK’nın yayımladığı bilgilere göre ihlal üç veri kategorisini kapsıyor: kimlik, iletişim ve özlük verileri. Etkilenen kişiler, Türkiye’de istihdam edilen DHL çalışanları olarak tanımlandı. Açıklanan 10.622 sayısı da Türkiye’deki çalışanları ifade ediyor.

Kimlik ve iletişim bilgileri kişilerin tanımlanmasına ve kendilerine ulaşılmasına yarayan verileri kapsarken özlük verileri çalışanların iş ilişkisiyle bağlantılı bilgilerini içeriyor. Ancak kurumun duyurusunda bu kategorilerin altında hangi belirli veri alanlarının yer aldığı açıklanmadı. Bu yüzden etkilenen her çalışan için hangi bilgilerin açığa çıktığına dair daha ayrıntılı bir liste bulunmuyor.

Çalışan verileri, müşteri hesaplarından farklı bir bağlamda işleniyor olsa da kimlik ve iletişim bilgilerinin özlük verileriyle birlikte etkilenmesi, ihlalin kapsamını anlamak açısından önem taşıyor. Öte yandan duyuruda verilerin kötüye kullanıldığına, çalışanların dolandırıcılık girişimlerinin hedefi olduğuna veya ihlalin başka ülkelere yayıldığına ilişkin bir bilgi yer almıyor. Doğrulanmış tablo şimdilik Türkiye’deki 10.622 çalışan ve belirtilen üç veri kategorisiyle sınırlı.

KVKK incelemesi sürüyor

KVKK, 11 Kasım 2026 tarihli ve 2026/2483 sayılı kararıyla veri ihlali bildirimini kurumun internet sitesinde ilan etti. Duyuru 12 Kasım’da yayımlandı. İlan kararı, ihlalin kamuoyuna bildirilmesini sağlıyor; ancak olayla ilgili incelemenin tamamlandığı anlamına gelmiyor. Kurum, süreç devam ederken soruşturmanın sonucu veya olası sonraki adımlara ilişkin bir takvim açıklamadı.

Olay, çalışan anketleri gibi kurum içi süreçlerde üçüncü taraf hizmet sağlayıcılarla paylaşılan verilerin de güvenlik değerlendirmesinin parçası olduğunu hatırlatıyor. Veriyi toplayan kurum ile veriyi işleyen hizmet sağlayıcının farklı olması, sorumluluk ve erişim noktalarının izlenmesini daha karmaşık hâle getirebiliyor. DHL vakasında şu an için kesinleşen bilgiler; erişimin veri işleyicinin ortamında gerçekleştiği, ihlalin 2 Kasım’da tespit edildiği ve Türkiye’deki 10.622 çalışanın üç veri kategorisinin etkilendiği yönünde. KVKK’nın devam eden incelemesi tamamlandığında olayın kapsamına ilişkin ek bilgiler paylaşılabilir.