Kamuoyu Duyurusu (Veri İhlali Bildirimi) – Stemline Therapeutics, Inc.
Bilindiği üzere, 6698 sayılı Kişisel Verilerin Korunması Kanununun “Veri güvenliğine ilişkin yükümlülükler” başlıklı 12 nci maddesinin (5) numaralı fıkrası “İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.” hükmünü amirdir.
Veri sorumlusu sıfatını haiz Stemline Therapeutics, Inc. tarafından Kurula iletilen veri ihlal bildiriminde özetle;
- Veri Sorumlusu’nun Alt Veri İşleyen’inden edindiği beyana göre; yetkisiz bir üçüncü kişi tarafından sesli oltalama yöntemi kullanılarak alt veri işleyenin bilgi teknolojileri personelinin kimliğine bürünüldüğü ve bu suretle çalışanlarına ait hesaplara erişim sağlanarak, saldırganın Alt Veri İşleyen’in bazı bulut uygulamalarına erişerek veri sızıntısına neden olduğu,
- Alt Veri İşleyenin, olaydan haberdar olması üzerine yetkisiz erişimi sonlandırdığının, olay müdahale prosedürlerini devreye aldığının, harici siber güvenlik uzmanlarını görevlendirdiğinin ve kolluk makamlarının bilgilendirdiğinin belirtildiği,
- Alt Veri İşleyen tarafından verileri işlenen azami kişi sayısının 18 olduğu, bununla birlikte, ihlalin kapsamı ve detayları henüz belirlenmemiş olup incelemelerin devam ettiği,
- Alt Veri İşleyen tarafından sağlık verilerinin ve genetik verilerin (yalnızca belirli mutasyonların tespiti amacıyla analiz edilen tümör hücrelerinin genomunun sınırlı bir kısmına ilişkin) takma adlandırılmış (psödonimleştirmiş) şekilde işlendiği,
- İhlalden etkilenmesi muhtemel ilgili kişi grubunun hastalar olduğu
bilgilerine yer verilmiştir.
Konuya ilişkin inceleme devam etmekle birlikte, Kişisel Verileri Koruma Kurulunun 11.11.2026 tarih ve 2026/2490 sayılı Kararı ile söz konusu veri ihlal bildiriminin Kurumun internet sayfasında ilan edilmesine karar verilmiştir.
Kamuoyuna saygıyla duyurulur.