Milli İstihbarat Teşkilatı (MİT), kişisel verilerin yasa dışı yollarla sorgulanmasına ilişkin yürüttüğü çalışmalar kapsamında Ankara merkezli bir yazılım şirketine operasyon düzenledi.
MİT koordinasyonunda Siber Güvenlik Başkanlığı (SGB) ve Jandarma Genel Komutanlığı (JGK) tarafından yürütülen ortak çalışma kapsamında, sendikalara yazılım hizmeti sunduğu belirtilen Aydo Yazılım'a yönelik operasyon gerçekleştirildi.
Ankara'da şirketin iş yeri ile bazı adreslerde yapılan aramalarda bilgisayar, cep telefonu ve çeşitli dijital materyaller ele geçirildi. Operasyonda şirket sahibi ve çalışanlarının da aralarında bulunduğu 5 şüpheli gözaltına alındı.
SENDİKA YAZILIMINDA ÖZEL SORGU ARAYÜZÜ TESPİT EDİLDİ
MİT'in yürüttüğü incelemelerde, şirket tarafından bazı sendikalar için geliştirilen yazılımlara özel bir sorgulama ekranının entegre edildiği belirlendi.
Söz konusu arayüz üzerinden yalnızca sendika üyelerine ilişkin bilgilerin değil, sendika üyesi olmayan üçüncü kişilere ait verilerin de sorgulanabildiği tespit edildi.
Teknik incelemelerde ayrıca daha önce farklı kaynaklardan internete sızdığı belirtilen çeşitli veri setlerinin de sistem üzerinden sorgulanabildiği ortaya çıkarıldı.
T.C. kimlik numarasıyla yapılan sorgulamalarda kişilerin kimlik ve nüfus bilgilerine ulaşılabildiği, sistemin arka plandaki veri tabanlarında ise daha geniş kapsamlı kişisel bilgilerin yer aldığı belirlendi.
VERİ TABANINDA 18 YAŞ ALTI KİŞİLERE AİT KAYITLAR DA ÇIKTI
İncelemelerde sorgulama sisteminin, sendikalara yeni üyelerin kaydedilmesi sırasında gerekli bilgilerin tamamlanması amacıyla kullanıldığı değerlendirildi.
Ancak veri tabanlarında 18 yaşından küçük kişilere ait kayıtların da bulunması üzerine soruşturmanın kapsamı genişletildi. Ekipler, söz konusu geniş veri havuzunun hangi amaçlarla oluşturulduğu ve ne şekilde kullanıldığına ilişkin incelemelerini derinleştirdi.
VERİ KAYITLARINDA “NVİ” İBARESİ
Şirketin sunucularında yapılan teknik incelemelerde, kişisel verilerin yer aldığı bazı sistem kayıtlarında “NVİ” ibaresinin düzenli olarak kullanıldığı belirlendi.
Bu kullanımın, verilerin Nüfus ve Vatandaşlık İşleri kaynaklı olduğu izlenimi oluşturduğu değerlendirildi. Ancak yapılan teknik inceleme sonucunda söz konusu bilgilerin doğrudan Nüfus ve Vatandaşlık İşleri sistemlerinden alınmadığı tespit edildi.
ŞİRKETİN KVKK DANIŞMANLIĞI DA VERDİĞİ BELİRLENDİ
Soruşturma kapsamında şirketin faaliyetleriyle ilgili dikkat çeken bir başka ayrıntı da ortaya çıktı.
Aydo Yazılım'ın “Clock&Wise” markasıyla kurum ve kuruluşlara Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında danışmanlık hizmeti sunduğu belirlendi.
Böylece şirketin bir yandan kişisel verilerin korunmasına ilişkin danışmanlık hizmeti verirken, diğer yandan bazı sendika yazılımlarında kişisel bilgilerin sorgulanmasına imkan tanıyan bir sistem bulundurduğu tespit edildi.
DİJİTAL MATERYALLER İNCELENİYOR
Sistemin hangi sendikalar tarafından ve hangi kapsamda kullanıldığı, elde edilen kişisel verilerin hangi amaçlarla işlendiği ve veri havuzunun nasıl oluşturulduğuna ilişkin incelemelerin sürdüğü bildirildi.
Operasyonda ele geçirilen bilgisayar, cep telefonu ve diğer dijital materyaller üzerinde yapılacak incelemelerden elde edilecek yeni bulgular doğrultusunda soruşturmanın kapsamının genişletilebileceği değerlendiriliyor.