KVKK Kurulu NCL (Bahamas) ve Yazıcı Turizm Şirketlerinin Veri İhlali Bildirimlerini İlan Etti

Kişisel Verileri Koruma Kurulu, 4 Kasım 2026 tarihli kararlarıyla NCL (Bahamas) Ltd., Yazıcı Turizm Yatırımları ve İşletmeleri AŞ ile Yazıcı Turizm Marmaris İşletmeleri A.Ş.’nin veri ihlali bildirimlerinin Kurum internet sitesinde ilan edilmesine karar verdi. NCL için etkilenmiş olabilecek kişi sayısı en fazla 2.392; Yazıcı şirketlerinde sayı henüz belirlenmedi ve üç dosyada da inceleme sürüyor.

Künye

NCL (Bahamas) Ltd. Bildirimi

Duyuruya göre rezervasyon yönetiminde kullanılan bir web uygulamasındaki güvenlik açığı yetkisiz kişilerce kullanıldı. Müşterilere ait ad, e-posta adresi, doğum tarihi ve rezervasyon numarası bilgilerine erişildi. Yetkisiz kişilerin bu bilgilerle müşterilere sahte (oltalama) e-postalar gönderdiği anlaşıldı. Şirket bu e-postalardan 10 Ekim 2026’da haberdar oldu, 12 Ekim 2026’da yaptığı incelemede bağlantılı olduğu değerlendirilen zararlı faaliyetleri tespit etti. Etkilenmiş olabilecek kişi sayısı en fazla 2.392. Kurul kararı 4 Kasım 2026 tarihli ve 2026/2437 sayılıdır; ilgili kişiler şirketin çağrı merkezinden bilgi alabilir.

İki Yazıcı Turizm Bildirimi

Yazıcı Turizm Yatırımları ve İşletmeleri AŞ bildiriminde ihlalin 26 Ekim 2026’da tespit edildiği, Yazıcı Turizm Marmaris İşletmeleri A.Ş. bildiriminde ise 25 Ekim 2026’da tespit edildiği belirtiliyor. İkisinde de veri sorumlusuna ait verilerin bulunduğu sistemlere yetkisiz erişim sağlandığı, etkilenen veri kategorilerinin kimlik, iletişim ve müşteri işlem bilgileri olduğu ve etkilenen kişi sayısının henüz belirlenmediği yazıyor. Kurul kararları sırasıyla 2026/2442 (Yatırımları ve İşletmeleri) ve 2026/2441 (Marmaris) sayılıdır. İlgili kişiler Yatırımları ve İşletmeleri için pkisiselveri@grandyazicihotels.com, Marmaris için kisiselveri@grandyazicihotels.com adresine başvurabilir.

Duyurular iki Yazıcı şirketi arasındaki bağlantıyı ya da aynı olayın parçası olup olmadığını belirtmiyor; bu sayfada da bu yönde bir çıkarım yapılmamıştır.

Bu Duyurular Ne Anlama Geliyor?

Kanunun 12. maddesinin beşinci fıkrasına göre işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bunu ilgili kişiye ve Kurula bildirmek zorundadır; Kurul gerekli gördüğünde bildirimi internet sitesinde ilan edebilir. Yani bu duyuru bir ceza kararı değil, bildirimin kamuya duyurulmasıdır. Daha önceki benzer duyurular için 21 Ekim KVKK veri ihlali bildirimleri sayfamıza bakabilirsiniz.

Bu Sayfada Ne Yok?

• Saldırganın kimliği, saldırı yöntemi ve açığın ne zaman kapatıldığı: duyurularda yok.
• İki Yazıcı Turizm şirketi için etkilenen kişi sayısı: belirlenmemiş; sayı yazılmadı.
• İki Yazıcı bildirimi arasındaki bağlantı: duyurularda belirtilmiyor; çıkarım yapılmadı.
• İdari para cezası veya yaptırım kararı: yok; duyurular yalnızca ilan kararıdır.
• NCL şirketinin çağrı merkezi numarası: sayfada yazılmadığı için verilmedi.
• Etkilenen kişilerin kimlikleri: yok, yazılmaz.
• Şirketlerin ticari markaları ve otel adları: duyurularda yazmadığı için yazılmadı.

Sık Sorulan Sorular

KVKK hangi şirketlerin ihlal bildirimini ilan etti?

NCL (Bahamas) Ltd., Yazıcı Turizm Yatırımları ve İşletmeleri AŞ ve Yazıcı Turizm Marmaris İşletmeleri A.Ş.

NCL ihlalinde hangi veriler etkilendi?

Duyuruya göre ad, e-posta adresi, doğum tarihi ve rezervasyon numarası.

Kaç kişi etkilendi?

NCL için en fazla 2.392 kişi. Yazıcı şirketleri için kişi sayısı belirlenmedi.

Yazıcı şirketlerinde hangi veriler etkilendi?

Kimlik, iletişim ve müşteri işlem bilgileri kategorileri.

Bu bir ceza mı?

Hayır. Kurul, bildirimin Kurum internet sitesinde ilan edilmesine karar verdi; duyurularda bir para cezası yok.

Etkilenen kişiler ne yapabilir?

Duyurulara göre NCL için şirketin çağrı merkezinden; Yazıcı şirketleri için duyuruda yazan e-posta adreslerinden bilgi alınabilir.

Kaynak ve kapsam: Bilgiler Kişisel Verileri Koruma Kurumu’nun 4 Kasım 2026 tarihli kamuoyu duyurularından okunmuştur: NCL (Bahamas) Ltd., Yazıcı Turizm Yatırımları ve İşletmeleri AŞ ve Yazıcı Turizm Marmaris İşletmeleri A.Ş.. Saldırı yöntemi, saldırgan kimliği, kişi sayıları (Yazıcı) ve yaptırımlar kaynakta bulunmadığından yazılmamıştır. Veri tarihi: 7 Kasım 2026.