Sendika çalışanları ve üyeler, kullandıkları yazılımların arka planında kişisel verilerinin nasıl işlendiğini artık daha dikkatli sorguluyor. Milli İstihbarat Teşkilatı koordinesinde yürütülen bir soruşturma, sendikalara yazılım hizmeti veren Ankara merkezli bir şirketin sistemine yönelik operasyonla sonuçlandı. Şirket sahibi ve çalışanlarından oluşan beş kişi gözaltına alındı. Ev ve iş yerlerinde yapılan aramalarda çok sayıda bilgisayar, cep telefonu ve dijital materyal toplandı. Operasyonun, sendikaların yıllardır kullandığı üyelik ve aidat takip sistemlerine duyulan güveni sarsması bekleniyor. Gözaltı kararlarının ardından şirketin diğer müşterilerinin de benzer bir risk taşıyıp taşımadığı sorusu gündeme geldi.
Siber Güvenlik Başkanlığı ile Jandarma Genel Komutanlığının ortak çalışmasıyla yürütülen soruşturmada, şirketin geliştirdiği bazı sendika yazılımlarına özel bir sorgu arayüzü eklendiği belirlendi. Bu arayüz üzerinden sendika üyesi olmayan üçüncü kişilere ait bilgilere erişilebildiği tespit edildi. İncelemeler, geçmiş dönemlerde farklı kaynaklardan internet ortamına sızdırılan veri setlerinin de aynı sistem üzerinden sorgulanabildiğini gösterdi. Sisteme T.C. kimlik numarası girildiğinde kişinin kimlik ve nüfus kayıtlarına ulaşılabiliyordu; bunun ötesinde, arka planda çalışan veri tabanları çok daha geniş bir kişisel bilgi yığınını barındırıyordu. Bu durum, sistemin basit bir üyelik takip aracı olmanın çok ötesinde bir veri havuzuna dönüştüğünü ortaya koydu. Teknik ekipler, sorgu ekranının hangi yetki seviyesiyle açıldığını ve bu ekrana kimlerin erişebildiğini de mercek altına aldı.
Sorgu sisteminin asıl olarak sendikalara üye eklenmesi sırasında üyelik bilgilerinin tamamlanması için kullanıldığı ortaya çıktı. Ancak veri tabanlarında 18 yaşından küçük kişilere ait kayıtların da bulunması, soruşturmanın seyrini değiştirdi. Bu durum, geniş kapsamlı veri havuzunun hangi amaçlarla kullanıldığı sorusunu gündeme getirdi. Yetkililer, incelemelerin bu yönde derinleştirildiğini açıkladı. Çocuk yaştaki kişilerin verilerinin sistemde ne şekilde yer aldığı ise henüz netlik kazanmadı. Bu kayıtların sisteme nasıl girdiği, veli onayı olmadan işlenip işlenmediği ve ne kadar süreyle saklandığı soruları yanıt bekliyor.
Sunucularda yapılan teknik incelemeler, sistem kayıtlarında “NVİ” ibaresinin sistematik biçimde kullanıldığını gösterdi. Bu kullanım, ilk bakışta verilerin Nüfus ve Vatandaşlık İşleri kaynaklı olduğu izlenimini oluşturuyordu. Fakat elde edilen bulgular, söz konusu verilerin doğrudan ilgili kurumun sistemlerinden alınmadığını ortaya koydu. Kayıtlardaki bu ibarenin hangi amaçla ve nasıl kullanıldığı, soruşturmanın odak noktalarından biri haline geldi. Uzmanlara göre bu tür bir etiketleme, verinin gerçek kaynağını gizlemeye veya sorgulayan kişide resmi bir kaynaktan alındığı izlenimini uyandırmaya yönelik olabilir.
Şirketin faaliyet alanının yalnızca yazılım geliştirmeyle sınırlı olmadığı anlaşıldı. Aydo Yazılım’ın “Clock&Wise” adı altında kurumlara Kişisel Verilerin Korunması Kanunu kapsamında danışmanlık hizmeti verdiği tespit edildi. Bir yandan kişisel verilerin korunmasına dönük danışmanlık yapan şirketin, diğer yandan sendika yazılımlarında kişisel bilgilerin sorgulanmasına imkân tanıyan bir yapı kurması, soruşturmanın en çarpıcı başlıklarından biri olarak kayıtlara geçti. Güvenlik kaynakları, şirketin müşteri portföyünde hangi kurumların bulunduğunun ve verilerin kimlerle paylaşıldığının araştırıldığını belirtti. Danışmanlık hizmetinin verildiği kurumlarla yazılım müşterileri arasındaki örtüşme, soruşturmacıların özellikle üzerinde durduğu bir başlık olarak öne çıkıyor.
Gözaltına alınan beş şüphelinin ifade süreçleri sürüyor. El konulan dijital materyallerin incelenmesiyle sistemin kaç kişiyi kapsadığının ve verilerin ne kadar süreyle tutulduğunun belirlenmesi amaçlanıyor. Soruşturma, siber casusluk iddiaları çerçevesinde yürütülüyor; şüpheliler hakkındaki suçlamalar henüz mahkeme önüne taşınmadı. Sürecin ilerleyen aşamalarında, verilerin yurt içinde mi yoksa yurt dışındaki sunucularda mı saklandığı sorusunun da yanıtlanması bekleniyor.
