KVVK, AstraZeneca Türkiye'nin veri ihlaline uğradığını duyurdu

Hangi veriler sızdı?
KVKK'den açıklama
Yorumlar

Yusuf Akbaş

Teknoloji Editörü

KVVK, AstraZeneca Türkiye'nin veri ihlaline uğradığını duyurdu

Türkiye’de veri sızıntıları yaşanmaya devam ediyor. Bu defa İngiliz sağlık şirketinin müşterilerinin verileri sızdı. Kişisel Verileri Koruma Kurumu (KVKK), AstraZeneca’da veri ihlali yaşandığını duyurdu.

Yurt dışında son yıllarda Covid-19 aşısıyla adından söz ettiren AstraZeneca’nın Covid-19 aşısı ülkemizde kullanıma sunulmadı. Türkiye’de kardiyovasküler, renal ve metabolik hastalıklar, onkoloji, solunum ve immünoloji ilaçları satılıyor.

KVKK’nin açıklamasına göre AstraZeneca’nın web sitesinde tarayıcının “kaynağı görüntüle” özelliğini kullanarak adayların kişisel bilgileri görülebiliyordu. İş başvurusu yapan 981 kişinin kişisel verileri bu yöntemle herkes tarafından görüntülenebildi.

Hangi veriler sızdı?

AstraZeneca Türkiye’ye iş başvurusu yapan kişilerin ülke, isim, e-posta, telefon numarası, maaş beklentisi, mevcut maaş bilgisi, var ise “AstraZeneca” ile önceki iş ilişkisi bilgisi, vize durumu, mevcut veya önceki işveren ile ilgili kısıtlayıcı maddelerin ayrıntıları sızdı.

KVKK'den açıklama

"Bilindiği üzere, 6698 sayılı Kişisel Verilerin Korunması Kanununun “Veri güvenliğine ilişkin yükümlülükler” başlıklı 12 nci maddesinin (5) numaralı fıkrası “İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.” hükmünü amirdir.

Veri sorumlusu sıfatını haiz AstraZeneca İlaç Sanayi ve Ticaret Limited Şirketi tarafından Kurula iletilen veri ihlal bildiriminde özetle;

Çalışan adaylarının, “AstraZeneca”daki açık pozisyonlara başvurabilmelerini sağlayan, veri işleyen (Workday Limited) sisteminde ihlal gerçekleştiği,
Bir adayın kendi hesabına giriş yapmadan iş başvurusu gönderebilmesi için Workday’in, kullanıcı oturumuna ilişkin verileri izlemek adına bir JavaScript değişkeni kullandığı, bu değişkenin HTML kaynağına dahil edildiği, değişkenin değerinin, harici kariyer sitesi için HTML kaynağını inceleyen, örneğin tarayıcının "Kaynağı Görüntüle" özelliğini kullanan kullanıcılar tarafından görülebilir hale geldiği,
Bahse konu durumdan dolayı, 13 Temmuz 2022 saat 23:53 (İstanbul saati) ila 14 Temmuz 2022 saat 05:32 arasında ve/veya 20 Temmuz 2022 saat 22:06 ila 1 Ağustos 2022 saat 23:15 arasında iş başvurusu yapan çalışan adaylarının kişisel verilerinin kısa süreliğine erişilebilir hale geldiği,
İhlalin 31 Temmuz 2022 tarihinde tespit edildiği,
İhlalden etkilenen kişi grubunun çalışan adayları olduğu,
İhlalden tahmini 981 kişinin etkilendiği,
İhlalden etkilenen kişisel verilerin; ülke, isim, e-posta, telefon numarası, maaş beklentisi, mevcut maaş bilgisi, var ise “AstraZeneca” ile önceki iş ilişkisi bilgisi, vize durumu, mevcut veya önceki işveren ile ilgili kısıtlayıcı maddelerin ayrıntıları olduğunun tahmin edildiği, buna ek olarak, çalışan adaylarının veri işleyen sistemi üzerinden gönüllü olarak da kişisel URL, iş deneyimi, eğitim, dil, yetenekler ve özgeçmiş verilerini sağlayabildiği

bilgilerine yer verilmiştir.

Konuya ilişkin inceleme devam etmekle birlikte, Kişisel Verileri Koruma Kurulunun 11.08.2022 tarih ve 2022/831 sayılı Kararı ile söz konusu veri ihlali bildiriminin Kurumun internet sayfasında ilan edilmesine karar verilmiştir."