DHL AG, çalışan anketleri kapsamında hizmet aldığı veri işleyenin analiz ve raporlama ortamında kişisel veri ihlali yaşandığını bildirdi. Türkiye’de istihdam edilen 10.622 çalışanın kimlik, iletişim ve özlük verileri olaydan etkilendi. kişisel veri ihlali bildirimleri kapsamında kamuoyuna duyurulan olayın ilgili kişi grubunu çalışanlar oluşturuyor. Açıklama, kargo müşterilerinin tamamını kapsayan bir ihlal tespiti sunmuyor.
Bildirimde olayın kaynağı olarak merkezi çalışan anketlerinde kullanılan hizmet ortamına yetkisiz erişim gösteriliyor. Veri işleyen, DHL’nin bu süreç için hizmet aldığı tarafı ifade ediyor. Dolayısıyla açıklanan erişim noktası, şirketin bütün müşteri veya gönderi takip sistemleriyle aynı şey değil. Kamuoyu duyurusu, özellikle veri analizi ve raporlama ortamını işaret ediyor.
İhlalin tespit tarihi 2 Kasım 2026 olarak açıklandı. Buna karşılık yetkisiz erişimin ilk hangi gün başladığı duyuruda belirtilmiyor. Bu nedenle tespit gününü saldırının başlangıç tarihi gibi aktarmamak gerekiyor. Kişisel Verileri Koruma Kurulunun ilan kararı ise 11 Kasım 2026 tarihini taşıyor. Tespit ve kamuoyuna ilan, olayın farklı aşamalarını oluşturuyor.
Etkilenen üç veri kategorisi kimlik, iletişim ve özlük bilgileri. Özlük verileri, çalışma ilişkisi kapsamında tutulan kişisel bilgileri ifade eden geniş bir kategori. Ancak duyuruda her çalışan için hangi tekil alanların açığa çıktığını gösteren ayrıntılı bir döküm bulunmuyor. Bu nedenle maaş, banka hesabı veya belirli bir belge türünün etkilendiğini ayrıca doğrulama olmadan söylemek mümkün değil.
Açıklanan 10.622 kişi, Türkiye’de istihdam edilen çalışanlara ilişkin tespit. Bu rakamı şirketin dünya çapındaki toplam etkilenen kişi sayısı olarak değerlendirmemek gerekiyor. Aynı şekilde çalışan anketlerinin kullanıldığı ortamda yaşanan ihlali, bütün müşteri hesaplarının ele geçirildiği şeklinde genişletmek için de açıklamada dayanak bulunmuyor. Bildirimin kapsamı, belirtilen kişi grubu ve veri kategorileriyle sınırlı.
Öte yandan inceleme henüz tamamlanmış değil. Kurulun 2026/2483 sayılı kararı, veri ihlali bildiriminin kurumun internet sitesinde ilan edilmesini kapsıyor. Duyuru tek başına kesinleşmiş para cezası, bütün sorumlulukların belirlendiği karar veya teknik incelemenin sonuç raporu anlamına gelmiyor. Yetkisiz erişimin yöntemi ve etkilenen veri alanlarına ilişkin ayrıntılar için sonraki açıklamalar belirleyici olacak.
Günün Öne Çıkan Fırsatları
