Kamuoyu Duyurusu (Veri İhlali Bildirimi) – Travelport International Operations Limited

Bilindiği üzere, 6698 sayılı Kişisel Verilerin Korunması Kanununun “Veri güvenliğine ilişkin yükümlülükler” başlıklı 12 nci maddesinin (5) numaralı fıkrası “İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.” hükmünü amirdir.

Veri sorumlusu sıfatını haiz Travelport International Operations Limited tarafından Kurula iletilen veri ihlal bildiriminde özetle;

• İhlalin 06.08.2026 - 07.08.2026 tarihleri arasında gerçekleştiği ve 20.08.2026 tarihinde tespit edildiği,
• İhlalin veri sorumlusunun işletmekte olduğu ViewTrip uygulamasındaki API yapılandırma hatası nedeniyle, ilgili kişilere ilişkin kayıtların kimlik doğrulama amacıyla hem PNR numarası hem de soyadının girilmesini gerektirmesi gerekirken, yalnızca rezervasyon referansı kullanılarak görüntülenebilmesi kaynaklı olduğu,
• Kimliği belirlenemeyen üçüncü bir kişinin rezervasyonlarla ilgili sınırlı kapsamda bilgiye eriştiği ve bu bilgileri potansiyel olarak elde ettiği,
• İhlalden potansiyel olarak etkilenen kişisel verilerin yolcu adı, rezervasyon (PNR) bilgileri, referans numaraları ile uçuş, otel, araç ve demiryolu güzergâh bilgileri olduğu; bazı durumlarda iletişim bilgilerinin de etkilenmiş olabileceği, ancak bunların çoğunlukla yolculara değil seyahat acentelerine ait olduğu ve etkilenen verilerin önemli bir kısmının geçmiş seyahatlere ilişkin olduğu,
• İhlalden etkilenen ilgili kişi grubunun müşteriler ve potansiyel müşteriler olduğu,
• İhlalden 73.958 kişinin etkilendiği bildirilmiş olmakla birlikte, bu sayının Türkiye’deki seyahat acenteleri tarafından oluşturulan PNR kayıtları esas alınarak hesaplandığı, sistemde kişilerin ikamet ülkesine ilişkin ayrı bir veri alanının bulunmaması ve aynı kişiye ait mükerrer rezervasyonların tespit edilememesi nedeniyle Türkiye’de ikamet eden ilgili kişi sayısının daha düşük olmasının muhtemel olduğu,

bilgilerine yer verilmiştir.

Konuya ilişkin inceleme devam etmekle birlikte, Kişisel Verileri Koruma Kurulunun 26.08.2026 tarih ve 2026/1797 sayılı Kararı ile söz konusu veri ihlal bildiriminin Kurumun internet sitesinde ilan edilmesine karar verilmiştir.

Kamuoyuna saygıyla duyurulur.