Bir yazılım firması tarafından kişisel verilerin hukuka aykırı şekilde erişime açıldığı iddiasına ilişkin

TBMM ESİTLİK ve DEMOKRASİ PARTİSİ v'Ö 1 O c-, GRUP BAŞKANLIĞI •'V" ’sSy:.. :1.d2M Tanîı: TÜRKİYE BÜYÜK MİLLET MECLİSİ BAŞKANLIĞINA 49 6 0 2 Aşağıdaki sorulanının, Ulaştırma ve Altyapı Bakanı Abdulkadir Uraloğlu tarafından Anayasanın 98 ve îç Tüzüğün 96. ve 99. Maddeleri gereğince yazılı olarak cevaplandırılmasını arz ederim. Ceylan AKÇA CUPOLO Diyarbakır Milletvekili Gündelik yaşamı kolaylaştmrken diğer yandan tüm kişisel verileri açık birer hedefe dönüştüren e-Devlet altyapısındaki MERNİS, e-Nabız ve UYAP gibi devasa veri tabanlannın güvenliği, zaman zaman tartışmaya açılmaktadır. Sistemlere yönelik yetkisiz erişimler olup olmadığı, güvenlik protokollerinin yetersiz olup olmadığı ve özel şirketler dahil tüzel kişilere tanınan veri erişim yetkilerinin sınırları, bu smırlann ihlali durumunda sistemin erken uyan verip vermediği konularındaki ciddi şüpheler ise varhğmı korumaya devam etmektedir. Tam da bu endişelerin gölgesinde. Nüfus ve Vatandaşlık îşleri ibaresinin yanıltmak amacıyla dahi olsa kullanıldığı bir veri sızıntısı skandali güne damgasını vurmuştur. 16 Eylül 2026 tarihinde Milli İstihbarat Teşkilatı koordinesinde, Siber Güvenlik Başkanlığı ve Jandarma Genel Komutanlığı iş birliğiyle Anicara merkezli Aydo Yazılım firmasına düzenlenen siber casusluk operasyonunda şirket sahibi ve çalışanlarının da aralarında yer aldığı 5 şüpheli gözaltına alındığı basma yansımıştır. Habere göre; yapılan incelemelerde, firmanm geliştirdiği bazı sendika yazılımlarına gizli bir sorgu arayüzü ekleyerek üçüncü kişilere ait kimlik ve nüfus verilerini yasa dışı biçimde erişime açtığı ve bu veri tabanlarında 18 yaşından küçük çocuklara ait bilgilerin de yer aldığı tespit edilmiştir. Ayrıca sunucularda verilerin Nüfus ve Vatandaşlık îşleri kaynaklı olduğunu düşündürmek amacıyla NVÎ ibaresinin kullanıldığı ancak verilerin doğrudan resmi sistemlerden çekilmediğinin saptandığı da ifade edilmiştir. Aydo Yazılım; bir yandan Clock&Wise adı altında Kişisel Verilerin Korunması Kanunu danışmanlığı verirken diğer yandan kişisel veri sızıntısına imkan sağlayan bu yapıyı işlettiği anlaşılmıştır. Aydo Yazılım firmasmm web sitesinde 2 milyondan fazla kişinin verisinin tutulduğu, 500 binin üzerinde mobil kullanıcı olduğu görümnektedir. Şirketin referanslarında; Bayındır Memur-Sen, Bem-Bir-Sen, Birlik Haber-Sen, Büro Memur-Sen, Sağhk-Sen, Sağlık Mil- Sen, SES (Sağlık ve Sosyal Hizmet Emekçileri Sendikası), Toç Bir-Sen ve Ulaştırma Memur-Sen’e üye, muhasebe, evrak takibi ile mobil uygulama hizmetleri sağlandığı yer almaktadır. Diyanet-Sen ve Eğitim-Bir-Sen’e bu hizmetlerin yanı sıra KVK danışmanlığı (Eğitim-Bir-Sen’e ek olarak seçim modülü ve demirbaş takibi). Öz Orman-İş Sendikası’na ise üye, muhasebe, evrak takibi ve KVK danışmanlığı verildiği görülmektedir. Eğitim-îş, Eğitim-Sen ve Enerji Bir-Sen’e üye ve muhasebe takibi; Türk Harb-İş Sendikası ile Hürriyetçi Eğitim Sen’e üye, muhasebe ve evrak takibi; Kültür Memur-Sen, Kültür Sanat ‘ Sen ve Tüm Bel-Sen’e üye takibi; Yeni Sendika’ya üye takibi ve mobil uygulama; Emekli Memur-Sen’e ise dijital kimlik hizmeti sunulmaktadır. Aynca şirket 175’in üzerinde firmaya KVKK danışmanlığı verdiğini belirtirken, kurum ve kuruluşlar bazında TSK Eğitim Vakfı’na yurt otomasyonu, Sadri Alışık Kültür Merkezi’ne öğrenci takip sistemi, Akbak Çocuk Hastalıklan Merkezi’ne hastane otomasyonu. Steril Med Medical’a ISO yönetim yazılımı ve 4 Sigma firmasına KVKK yazılımı ile süreç yönetimi hizmeti sattığı aktarılmaktadır. Bu bağlamda; 1. Aydo Yazılım'm sunucularında kaç farklı veri tabanı tespit edilmiştir? 2. Gizli sorgu arayüzü hangi tarihte sisteme eklenmiştir? Arayüzü kimin geliştirdiği tespit edilmiş midir? 3. Arayüz üzerinden toplam kaç sorgu gerçekleştirilmiştir? Sorgulann hangi kullanıcılar tarafından yapıldığı tespit edilmiş midir? Sorgulann tamamı kayıt altına alınmış mıdır? 4. Verilerin hangi sunucularda tutulduğu belirlenmiş midir? Verilerin şifrelenmiş olarak tutulup tutulmadığı incelenmiş midir? 5. Sisteme dışandan erişim sağlandığına dair bulgu var mıdır? Verilerin başka bir sunucuya veya bulut hizmetine aktarılıp aktanimadığı belirlenmiş midir? 6. İnceleme yalnızca Aydo Yazılımla mı sımrlıdu? 7. Aynı altyapıyı kullanan diğer sendika yazılımlarında da benzer açıkların bulunup bulunmadığı araştırılmış mıdır? 8. Türkiye'de sendikalar tarafından kullanılan üçüncü taraf yazılımlar için asgari siber güvenlik standartlan belirlenmiş midir? 9. Böyle bir olayın başka yazılım şirketlerinde de yaşanmasını önlemek için zorunlu güvenlik denetimi getirilecek midir?