Milli İstihbarat Teşkilatı (MİT) koordinesinde, Siber Güvenlik Başkanlığı (SGB) ve Jandarma Genel Komutanlığı (JGK) işbirliğiyle Ankara merkezli bir yazılım şirketine operasyon düzenlendi. Sendikalara yazılım hizmeti sağlayan şirketin geliştirdiği bazı sistemler üzerinden yasa dışı kişisel veri sorgulamaları yapıldığı iddiasıyla yürütülen soruşturma kapsamında 5 şüpheli gözaltına alındı.
MİT’in istihbari çalışmaları kapsamında, Ankara merkezli Aydo Yazılım tarafından geliştirilen bazı sendika yazılımlarına, sendika üyesi olmayan üçüncü kişilere ait bilgilere erişim sağlayan özel bir sorgu arayüzü eklendiği tespit edildi.
Şirket sahibi ve çalışanlarının da aralarında bulunduğu 5 şüpheli, düzenlenen operasyon kapsamında gözaltına alındı. Şüphelilerin ev ve iş yerlerinde gerçekleştirilen aramalarda çok sayıda bilgisayar, cep telefonu ve dijital materyale el konuldu.
Sendika yazılımına özel sorgu arayüzü
Soruşturma kapsamında yapılan teknik incelemelerde, geçmiş dönemlerde çeşitli kaynaklardan internet ortamına sızdırılan veri setlerinin söz konusu sistem üzerinden sorgulanabildiği belirlendi.
Sistemde T.C. kimlik numarası üzerinden yapılan sorgulamalarla kişilerin kimlik ve nüfus bilgilerine erişilebildiği, sistemin arka planındaki veri tabanlarında ise daha kapsamlı kişisel verilerin bulunduğu tespit edildi.
Sorgu arayüzünün, sendikalara yeni üye kaydı yapılması sırasında üyelik bilgilerinin tamamlanması amacıyla kullanıldığı belirlendi. Veri havuzunda 18 yaşından küçük kişilere ait kayıtların da bulunduğunun tespit edilmesi üzerine soruşturmanın kapsamı genişletildi.
Sistem kayıtlarında “NVİ” ibaresi
Sunucular üzerinde yapılan incelemelerde, kişisel bilgilerin tutulduğu sistem kayıtlarında “NVİ” ibaresinin sistematik şekilde kullanıldığı belirlendi.
Bu kullanımın, söz konusu verilerin Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü (NVİ) kaynaklı olduğu izlenimi oluşturduğu değerlendirildi. Ancak soruşturma kapsamında elde edilen teknik bulgular sonucunda verilerin doğrudan NVİ sistemlerinden temin edilmediği tespit edildi.
KVKK danışmanlığı da veriyordu
Soruşturma kapsamında Aydo Yazılım’ın, “Clock&Wise” adı altında kurum ve kuruluşlara Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında danışmanlık hizmeti sunduğu da belirlendi.
Şirketin bir yandan kişisel verilerin korunmasına ilişkin danışmanlık hizmeti verirken, diğer yandan sendika yazılımlarında kişisel bilgilerin sorgulanmasına imkan sağlayan bir sistem geliştirdiği tespit edildi.
Söz konusu sorgu sisteminin hangi sendikalar tarafından ve ne ölçüde kullanıldığı ile elde edilen kişisel verilerin hangi amaçlarla işlendiğine ilişkin incelemelerin sürdüğü bildirildi.
Soruşturma kapsamında el konulan dijital materyaller üzerinde yapılacak incelemeler sonucunda yeni bulgulara ulaşılması halinde soruşturmanın kapsamının genişletilebileceği belirtildi.
