MİT koordinasyonunda Siber Güvenlik Başkanlığı ve Jandarma Genel Komutanlığı tarafından Ankara merkezli Aydo Yazılım’a operasyon düzenlendi. Şirketin geliştirdiği bazı sendika yazılımlarına, sendika üyesi olmayan kişilerin bilgilerini de sorgulamaya imkân veren bir arayüz eklendiği ileri sürüldü. Şirket sahibi ile dört çalışanı gözaltına alınırken, hangi sendikaların sistemden yararlandığı ve verilerin hangi amaçlarla kullanıldığı araştırılıyor.
Milli İstihbarat Teşkilatı (MİT), sendikalara üye takip ve otomasyon hizmetleri sağlayan Ankara merkezli Aydo Yazılım şirketine yönelik operasyon gerçekleştirdi.
MİT koordinasyonunda, Siber Güvenlik Başkanlığı ile Jandarma Genel Komutanlığı tarafından yürütülen çalışma kapsamında şirket sahibi ve çalışanlarından oluşan beş şüpheli gözaltına alındı.
Ankara’daki ev ve iş yerlerinde yapılan aramalarda çok sayıda bilgisayar, cep telefonu, veri depolama cihazı ve dijital materyale el konuldu. Materyaller üzerindeki teknik incelemelerin sürdüğü bildirildi.
Sendika yazılımlarına özel sorgu arayüzü iddiası
MİT’in istihbari çalışmaları sonucunda, Aydo Yazılım tarafından geliştirilen bazı sendika yazılımlarına özel bir sorgu arayüzü eklendiği öne sürüldü.
Söz konusu arayüzün yalnızca sendika üyelerinin değil, sendika üyesi olmayan üçüncü kişilerin bilgilerine de erişilmesine imkân sağladığı iddia edildi.
İlk incelemelerde, geçmiş yıllarda çeşitli kaynaklardan internete sızdırılan veri setlerinin bu sistem üzerinden sorgulanabildiği belirlendi. T.C. kimlik numarasıyla yapılan sorgulamalar sonucunda kişilerin kimlik ve nüfus bilgilerine ulaşılabildiği, sistemin arka planındaki veri tabanlarında ise daha geniş kapsamlı kişisel verilerin bulunduğu ileri sürüldü.
Üyelik bilgilerinin tamamlanmasında kullanıldığı belirlendi
Soruşturma kapsamında sorgu sisteminin, sendikalara yeni üye eklenmesi sırasında eksik üyelik bilgilerinin tamamlanması amacıyla kullanıldığı tespit edildi.
Veri tabanlarında 18 yaşından küçük kişilere ait kayıtların da bulunduğunun belirlenmesi üzerine incelemenin kapsamı genişletildi. Yetkililer, geniş veri havuzunun nasıl oluşturulduğunu, kimler tarafından kullanıldığını ve elde edilen bilgilerin başka kişi ya da kurumlara aktarılıp aktarılmadığını araştırıyor.
Sistem kayıtlarındaki “NVİ” ibaresi inceleniyor
Şirkete ait sunucularda yapılan incelemelerde, kişisel bilgilerin bulunduğu sistem kayıtlarında “NVİ” ibaresinin sistematik biçimde kullanıldığı bildirildi.
Bu ibarenin, verilerin Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü kaynaklı olduğu izlenimi yarattığı; ancak teknik incelemelerde bilgilerin doğrudan kurumun sistemlerinden alınmadığının belirlendiği aktarıldı.
Verilerin hangi sızıntılardan elde edildiği ve farklı veri kümelerinin tek bir sorgu sistemi altında birleştirilip birleştirilmediği araştırılıyor.
Bir yandan KVKK danışmanlığı verdi
Soruşturmada dikkat çeken bir başka ayrıntı ise Aydo Yazılım’ın “Clock&Wise” markası altında kurum ve kuruluşlara Kişisel Verilerin Korunması Kanunu kapsamında danışmanlık hizmeti vermesi oldu.
Şirketin bir taraftan kişisel verilerin korunması, KVKK uyumu ve bilgi güvenliği alanlarında hizmet sunduğu, diğer taraftan geliştirdiği bazı sendika yazılımlarında üçüncü kişilere ait bilgilerin sorgulanmasına olanak sağladığı iddia edildi.
Şirket, internet sitesinde sendika üye takip sistemleri, dijital kimlik, evrak takibi, personel takibi ve mobil uygulama hizmetleri verdiğini belirtiyor. Yine şirketin kendi sayfasında, 25’ten fazla sendikaya hizmet verildiği ve geliştirilen sistemlerin 2 milyondan fazla kişiyi kapsadığı bilgisi yer alıyor. Bu rakamların soruşturma konusu veri tabanının kapsamını gösterip göstermediği ise henüz bilinmiyor.
Hangi sendikaların kullandığı araştırılıyor
Operasyonun ardından en önemli başlıklardan biri, sorgu arayüzünün hangi sendikaların yazılımlarında bulunduğu ve bu sendikalar tarafından ne ölçüde kullanıldığı oldu.
Şu ana kadar soruşturma kapsamında herhangi bir sendikanın adı resmî olarak açıklanmadı. Aydo Yazılım’ın bir sendikaya yazılım sağlamış olması, o sendikanın soruşturma konusu sorgu sistemini kullandığı anlamına gelmiyor.
Yetkililer; yapılan sorguların kullanıcı kayıtlarını, erişim tarihlerini, sorgulanan kişi sayısını ve kişisel verilerin hangi amaçlarla işlendiğini incelemeyi sürdürüyor.
Sendika üyelerinin kişisel verileri açısından kritik soruşturma
Sendika üyeliği bilgisi, kişilerin çalışma yaşamları ve örgütlenme tercihleriyle doğrudan bağlantılı olması nedeniyle özel nitelikli kişisel veri kapsamında bulunuyor. Bu nedenle soruşturma, yalnızca yasa dışı veri sorgulama iddiaları açısından değil, sendika üyelerinin kişisel bilgilerinin korunması bakımından da önem taşıyor.
El konulan dijital materyallerden elde edilecek bulgular doğrultusunda yeni gözaltıların olabileceği ve soruşturmanın genişletilebileceği belirtiliyor.
Şirket yetkililerinin suçlamalara ilişkin açıklaması henüz kamuoyuna yansımadı. Gözaltına alınan kişiler hakkındaki suçlamalar yargılama sonucunda kesinleşmiş değil.
