土耳其KVKK依2026/2081号决定公示三家电商与零售企业数据泄露：数据处理者服务器遭未授权访问，涉Puanestore 779人、Shule 680人
上述三起公示**均由数据保护委员会****2026年9月23日第2026/2081号决定**作出。这表明三起通知是**同一次委员会会议集中审议**的结果。
【第一起：Eipom İç ve Dış Tic. Ltd. Şti】
数据控制者 Eipom İç ve Dış Tic. Ltd. Şti 向委员会报送的泄露通知摘要为：
①泄露系因**对数据控制者数据所在的数据处理者系统服务器实施未授权访问**而发生；
②泄露是**由数据处理者告知数据控制者后**被发现的；
③受影响的个人数据包括：**姓名、姓氏、电子邮箱、地址、电话号码、以及用户登录信息（经哈希处理）**；
④**受影响人数与记录数无法准确确定**；
⑤受影响的当事人群体为**客户/潜在客户**；
⑥当事人可通过 info@giyimmasali.com 与 halenurergun@gmail.com 了解详情。
【第二起：Seylan Hazır Giyim San. ve Dış Tic. Ltd. Şti（puanestore.com）】
①泄露成因同上——**数据处理者系统服务器遭未授权访问**；
②同样由数据处理者告知后被发现；
③**受影响的个人数据尚未能查明**；
④**受影响当事人数量为 779 人**；
⑤受影响群体为**用户以及客户/潜在客户**；
⑥当事人可通过 puanestore.com 网站、info@puanestore.com 邮箱或 0(505) 232 7471 呼叫中心/WhatsApp 了解详情。
【第三起：Shule Çanta ve Cüzdan Pazarlama Tic. Ltd. Şti（shulebags.com）】
①泄露成因同上；
②同样由数据处理者告知后被发现；
③**受影响的个人数据尚未能查明**；
④**受影响当事人数量为 680 人**；
⑤受影响群体包括**员工、用户、订阅者/会员以及客户/潜在客户**；
⑥当事人可通过 shulebags.com 网站、emrahc@shulebags.com 邮箱或 0850 305 86 91 电话了解详情。
【三起事件的共同特征】
①**成因完全一致**：均为「数据处理者（veri işleyen）所持服务器被未授权访问」，即泄露发生在**供应链环节**而非控制者自有系统；
②**发现方式一致**：均由**数据处理者向控制者通报**后才被认知，说明控制者对其外包系统**缺乏独立的监测能力**；
③**三家企业均为服饰/箱包类电商与零售**，业务高度依赖电商平台与会员体系；
④**处理措施一致**：KVKK 均表示**相关调查仍在进行**，公告仅系依第12条第5款作出的公示，**不等于已认定违法或已处罚**。
【对出海企业的实务含义】
①**「数据处理者被打穿」是土耳其电商生态的结构性风险**：同一天、同一决定、三家企业、完全相同的成因，说明土耳其中小电商普遍把**会员与订单系统外包给同一类第三方服务商**，一旦服务商被攻破即**连锁泄露**。在土耳其运营电商或向土耳其电商提供 SaaS/代运营服务的中国企业，应把**服务商安全审计与合同中的安全义务条款**作为首要治理动作；
②**控制者对处理者的监测义务是实务短板**：三起事件均由处理者告知才发现。GDPR 第28(3)(h)条与 KVKK 第12条均要求控制者具备监督处理者并验证其措施的能力。实务上应落实**访问日志回传、异常告警联动与定期渗透测试报告审查**；
③**登录凭据必须哈希而非明文**：Eipom 案中受影响数据明确标注「用户登录信息（**经哈希处理**）」，这一表述实际上是**减轻情节**的体现。对出海企业而言，口令哈希算法强度（建议 Argon2id/bcrypt）与盐值策略将直接影响事件定性与罚款幅度；
④**KVKK 的公示机制会产生持续声誉影响**：第12条第5款允许 KVKK 主动在官网公示，且**公示发生在调查结论之前**。这意味着土耳其的数据泄露事件会在**监管定性之前**就进入公开检索结果，对品牌与客户信任的冲击早于法律后果；
⑤**受影响人数需要「能够确定」**：Seylan 与 Shule 均给出了精确人数（779、680），而 Eipom 因无法确定人数被特别记录。建立**数据资产清单与个人信息映射**（Record of Processing Activities）不仅是合规要求，也是事件发生时**快速圈定受影响范围**的前提。
来源：土耳其个人数据保护委员会（KVKK）
