Aydo Yazılım Operasyonu

Üye Listesi Kimin Elinde? Aydo Yazılım Operasyonu, Bir Sendika Yazılımının Anatomisi ve Bilişimci Gözüyle Olması Gerekenler

Sevgili Genç Yoldaşlar,

Bu rakama iyi bakın: 2.000.000+.

Bu rakam bir istihbarat raporundan değil, bir şirketin kendi tanıtım sayfasından. Ankara'daki Aydo Yazılım, "25+ sendika", "175+ KVKK danışmanlığı müşterisi", "500.000+ mobil uygulama kullanıcısı" ve "2.000.000+ yönetilen kişi" ile övünüyor. Yani Türkiye'deki sendikalı kamu emekçilerinin büyük çoğunluğunun üyelik kaydı, tek bir özel şirketin yazılımından geçiyor.

16 Eylül 2026 sabahı bu şirkete MİT, Siber Güvenlik Başkanlığı ve Jandarma ortak operasyon düzenledi. Şirket sahibi dahil beş kişi gözaltına alındı; ev ve iş yerlerinde bilgisayarlara, telefonlara, dijital materyallere el konuldu (BirGün, Diken). İddia şu: sendikalara satılan yazılımın içine, üye olmayan yurttaşların bile T.C. kimlik numarasıyla sorgulanabildiği "özel bir sorgu arayüzü" gömülmüş; sorgulanan veri devletin sisteminden canlı çekilmiyor, yıllar önce internete sızmış veri setlerinden geliyor; kayıtlarda 18 yaşından küçükler de var.

Bu yazıda üç soru soracağız:

Sendika üyelerinin verisi kimin elindeydi? Sendikanın mı, şirketin mi, şimdi devletin mi?
"Sorgu arayüzü" neyi sorguluyordu ve o veri nereden geldi?
Bir KVKK danışmanı nasıl veri satıcısına dönüşür?

Ve dördüncü, bu yazının asıl derdi: bir bilişimci gözüyle, bu iş nasıl yapılmalıydı? Çünkü olay bir "skandal" olarak anlatılıp geçilecek; oysa burada teknik bir yapı var ve o yapı değişmedikçe bir sonraki Aydo çoktan hazır.

Altı gün önce KVKK'nın "80'ler Akımı" uyarısını tartışırken, aynı hafta 31 avukatın "sorgu paneli" kullanmaktan gözaltına alındığını yazmış, "sorunun doğru adresi devletin elindeki verimizdir" demiştik. Bu yazı o yazının devamıdır: orada devletin verisine baktık, burada sendikanın verisine bakıyoruz. İkisinin aynı Telegram kanalında buluştuğunu göreceksiniz.

Kronoloji: Bir Sabah, Üç Kurum, Beş Gözaltı

4 Eylül 2026. 31 avukat, "HukukBİS" ve "AsistBİS" adlı sorgu panelleriyle vekâleti olmayan kişileri sorgulayıp şantaj mesajı gönderdikleri iddiasıyla gözaltına alındı (Euronews Türkçe).

10 Eylül. KVKK yurttaşa "80'ler fotoğrafı yüklerken izinleri okuyun" dedi.

16 Eylül. MİT koordinasyonunda Aydo Yazılım'a operasyon. Resmî anlatıya göre tespitler şunlar (Sabah): sendika yazılımlarına "sendika üyesi olmayan üçüncü kişilere ait bilgilere erişilmesine imkân veren özel bir sorgu arayüzü" eklenmiş; internete sızdırılmış eski veri setleri bu arayüzden sorgulanabiliyor; T.C. kimlik numarasıyla yapılan sorgular nüfus bilgilerini döndürüyor; sistem kayıtlarında "NVİ" (Nüfus ve Vatandaşlık İşleri) ibaresi geçiyor ama veri doğrudan o sistemden alınmamış; veritabanında 18 yaş altı kişiler var. Şirket ayrıca "Clock&Wise" adıyla kurumlara KVKK danışmanlığı veriyor.

Aynı gün, öğleden sonra. Türkiye Kamu-Sen, şirketle "geçmişte veya hâlihazırda herhangi bir sözleşme, ticari ilişki, yazılım hizmeti anlaşması veya kurumsal bağı bulunmadığını" açıkladı (Memurlar.net). Memur-Sen, şirketle çalıştığını doğruladı; ancak "hiçbir kişi, kurum ya da kuruluşun sendikalarımız bünyesinde tutulan verilere erişmesi teknik ve hukukî olarak mümkün değildir" dedi ve verinin Nüfus ve Vatandaşlık İşleri ile yapılan protokol üzerinden doğrulandığını belirtti (İz Gazete). Eğitim Sen, "pek çok sendika gibi uzun yıllardır" bu şirketten hizmet aldığını açıkladı; "üyelerimizin kişisel verilerinin hukuka aykırı biçimde elde edildiğine ya da üçüncü kişilerle paylaşıldığına dair doğrulanmış bir bulgu bulunmamaktadır" dedi, teknik ve hukukî incelemenin sürdüğünü ekledi (BirGün).

Bir gün. Üç kurum. Beş gözaltı. Ve iki milyon kişi.

Bu yazı yazılırken savcılık açıklaması, hangi sendikaların arayüzü hangi ölçüde kullandığı, üye olmayanların neden sorgulandığı ve toplam kaç kişinin verisinin sorgulanabilir olduğu bilinmiyor. Basında dolaşan "2 milyon memurun verisi çalındı" başlığı doğrulanmış bir bulgu değil, şirketin kendi reklam rakamının haber diline çevrilmiş hâlidir. Bunu ayırt edin: şirketin yönettiği kişi sayısı ile sızan veri sayısı aynı şey değildir. Ama ikisinin aynı sunucuda durduğunu da unutmayın.

Şirket Kim, Müşterisi Kim: Referans Listesini Okuyun

Şirketin kendi referans sayfası, bu olayın sınıfsal haritasıdır. Sayfada adı geçen sendikalar şunlar (şirketin kendi beyanıdır; sendikaların bir kısmı bu ilişkiyi doğruladı, bir kısmı henüz açıklama yapmadı):

Memur-Sen'e bağlı: Eğitim-Bir-Sen, Sağlık-Sen, Diyanet-Sen, Büro Memur-Sen, Bem-Bir-Sen, Birlik Haber-Sen, Toç Bir-Sen, Kültür Memur-Sen, Ulaştırma Memur-Sen, Enerji Bir-Sen, Bayındır Memur-Sen, Emekli Memur-Sen.
KESK'e bağlı: Eğitim Sen, SES, Tüm Bel-Sen, Kültür Sanat-Sen.
Birleşik Kamu-İş'e bağlı: Eğitim-İş.
Diğer: Hürriyetçi Eğitim Sen, Türk Harb-İş, Öz Orman-İş, Sağlık Mil-Sen, Yeni Sendika.

Kamu-Sen'in "ilişkimiz yok" açıklaması listeyle tutarlı; o konfederasyonun hiçbir sendikası sayfada yok. Geri kalanına bakın: Çalışma Bakanlığı'nın Temmuz 2026 verilerine göre Memur-Sen 1,13 milyon, Birleşik Kamu-İş 199 bin üyeli (Genç Gazete). KESK'in yüz binlerce üyesini ekleyin. Şirketin "2 milyon+" rakamı abartı değil, olsa olsa eksiktir.

Burada bir şeyi net görün: hükümete yakın konfederasyon da, muhalif konfederasyon da, laik-ulusalcı sendika da aynı şirketin aynı yazılımını kullanıyor. Siyaseten birbirine düşman sendikaların üye listeleri aynı sunucuda, aynı veritabanı motorunda, aynı yöneticinin parolasının arkasında duruyordu. Bir işveren, bir bakanlık ya da bir veri tüccarı için bundan daha değerli bir tablo yoktur: hangi öğretmen hangi sendikada, hangi hemşire hangi konfederasyonda, kim geçen yıl hangi sendikadan hangisine geçti.

Ve şirketin diğer işine bakın: KVKK danışmanlığı. 175'ten fazla kuruluşa "kişisel verilerinizi nasıl korursunuz" dersi veren firma, iddiaya göre aynı anda sızdırılmış nüfus verisi üzerinde sorgu servisi işletiyordu. Bekçi ile hırsızın aynı kişi olması bir istisna değil; bu sektörde iş modelidir. Kim ki veriyi en iyi bilir, veriyi en iyi o satar. Bunu Palantir için de söylemiştik, burada ölçek küçük, mantık aynı.

"Sorgu Arayüzü" Nedir? Bir Bilişimcinin Anlatımıyla

Genç yoldaşlar, gazete dili "sorgu arayüzü" deyip geçiyor. Biraz açalım, çünkü mekanizmayı anlamadan olması gerekeni konuşamayız.

Bir sendika üye takip yazılımının meşru bir ihtiyacı vardır: üyelik formuna yazılan kimlik numarasının gerçek bir kişiye ait olduğunu ve ad-soyadın tuttuğunu doğrulamak. Bunun için kamu kurumlarına ve yetkili kuruluşlara Kimlik Paylaşımı Sistemi (KPS) üzerinden bir sorgu hakkı verilir; Memur-Sen'in açıklamasındaki "NVİ ile protokol" budur. Doğru tasarlanmış bir doğrulama şöyle çalışır: sen kimlik numarasını ve adı gönderirsin, sistem "evet, uyuşuyor" ya da "hayır" der. Geriye veri gelmez, veri kopyalanmaz, sistemde bir günlük kaydı kalır.

Şimdi iddiadaki yapıya bakın. "NVİ" etiketli bir veri kaynağı var, ama veri canlı sistemden gelmiyor; şirketin kendi sunucusunda duran bir tablodan geliyor. O tabloda, kimlik numarası girildiğinde ad, soyad, ana-baba adı, doğum yeri ve tarihi, adres dönüyor. Üye olmayanlar da dönüyor. 18 yaşındakiler de dönüyor. Bu tablonun ne olduğunu Türkiye'de bilişimle uğraşan herkes bilir: 2016'da internete düşen MERNİS kopyası ve sonraki yıllarda üzerine eklenen sızıntılar. Yaklaşık 50 milyon yurttaşın temel kimlik verisi o günden beri bir dosya olarak dolaşıyor; sorgu panelleri o dosyanın üstüne bir arama kutusu koymaktan ibaret. Bunu KVKK yazısında uzun uzun anlattık.

Yani "sorgu arayüzü", teknik olarak, sızdırılmış bir veri tabanının üstüne konmuş bir arama ekranıdır. Farkı, nerede durduğudur: Telegram'da aylık üyelikle satılan panelin aynısı, bu kez bir sendikanın yönetim yazılımının içinde, "nüfus entegrasyonu" adıyla, meşru bir düğmenin arkasında.

Bu düğmenin sendika masasında ne işe yaradığını düşünün. Sendika görevlisi, henüz üye olmayan bir öğretmenin kimlik numarasını yazıyor; adresini, doğum tarihini, ana-baba adını görüyor. Bir örgütlenme çalışması için "kolaylık". Rakip sendikanın işyeri temsilcisinin bilgisi için "kolaylık". İşyerinde kimin kim olduğunu öğrenmek için "kolaylık". Kullanıcı bunun çalıntı veri olduğunu bilmiyor olabilir; ekranda "NVİ" yazıyor, resmî görünüyor. Sızıntı, arayüz sayesinde meşrulaşıyor. İşte asıl tehlike budur: yasa dışı veri, yasal bir iş akışının parçası hâline gelince, kimse onu yasa dışı olarak görmez.

Çalıntı verinin en iyi saklandığı yer, karanlık ağ değil, meşru bir yazılımın menüsüdür.

Sendika Verisi Neden Sıradan Veri Değildir?

6698 sayılı Kanun'un 6. maddesi "sendika üyeliği"ni özel nitelikli kişisel veri sayar; sağlık verisi, biyometrik veri ve siyasi görüşle aynı kategoride. Bu tesadüf değil. Sendika üyeliği bilgisinin üç müşterisi vardır ve üçü de işçinin karşısındadır.

İşveren. Hangi çalışanın hangi sendikada olduğunu bilen işveren, işten çıkarma listesini, terfi listesini, sürgün listesini buna göre yapar. Kamu emekçisi için "işveren" bakanlıktır; il müdürüdür; okul müdürüdür. Türkiye'de sendika değiştirme baskısının nasıl işlediğini öğretmenler bilir: "şu sendikaya geç, tayinin çıksın."

Devlet. Kamu emekçileri sendikaları zaten üye listelerini Bakanlığa bildirir; ama bildirim ile bütün üyelik hareketlerinin, aidat akışının, toplantı katılımının ve mobil uygulama kullanımının tek bir sunucuda durması farklı şeylerdir. Ve bugün o sunucu, operasyon gereği, MİT'in elindedir. Bunu 6. bölümde ayrıca konuşacağız.

Rakip sendika ve veri tüccarı. Sendikalar arası rekabet Türkiye'de sert ve devletle iç içedir. Hangi işyerinde kim üye, kim istifa etti, kim kararsız: bu bilginin alıcısı çoktur.

Bu yüzden bir sendikanın üye listesi, sendikanın kasası değil, sendikanın kendisidir. Grev fonu para kaybedince yenilenir; üye listesi işverenin eline geçince sendika o işyerinde biter. Marx'ın "işçilerin birleşmesi" dediği şey, somutta, kimin kiminle aynı safta olduğunun bilgisidir; bu bilgi düşmanın elinde ise birleşme daha kurulmadan dağıtılmış demektir.

Bilişimci Gözüyle Riskler: Sekiz Yapısal Kusur

Şimdi asıl konuya gelelim. Bu olay bir "kötü şirket" hikâyesi olarak anlatılacak. Oysa bilişim emekçisi olarak baktığınızda, bu sonucu üreten yapı sekiz kusurdan oluşuyor ve hiçbiri Aydo'ya özgü değil.

1. Tek tedarikçi, çok kiracı. 25'ten fazla sendika, aynı şirketin muhtemelen aynı sunucu kümesinde, aynı veritabanı motorunda çalışan tek bir yazılımı kullanıyor. Bilişimde buna "çok kiracılı" (multi-tenant) mimari denir; ekonomiktir, çünkü şirket bir kez yazar, herkese satar. Ama tek bir sızıntı, tek bir kötü niyetli yönetici, tek bir el koyma, bütün kiracıların verisini birden açar. Birbirine rakip sendikaların verisinin aynı tabloda durması, ayrıca, sendikalar arası sızıntı riskini şirketin bir çalışanının vicdanına bırakır.

2. Tedarikçi ile danışmanın aynı kişi olması. Yazılımı yazan şirket, aynı zamanda "KVKK uyumunu" denetleyen danışman. Bu, muhasebeyi tutanın müfettiş olması gibidir. Amodei'nin "bağımsız denetçi"sini tartışırken sorduğumuz üç soru burada da geçerli: denetçiyi kim seçiyor, kim ödüyor, denetçinin yaptırım yetkisi var mı? Üçünün yanıtı da "şirketin kendisi" ise ortada denetim yoktur.

3. Kapalı kod, görünmez özellik. Sendika, satın aldığı yazılımın içinde ne olduğunu bilmiyor. "Sorgu arayüzü" bir menü maddesi; arkasında hangi veri kaynağının olduğu sendika yöneticisi için görünmez. Kapalı kaynak yazılımda müşteri, yalnızca kendisine gösterileni bilir. Bu, sendikanın kendi üyesine karşı sorumluluğunu yerine getiremeyeceği anlamına gelir: "verinizi koruyoruz" diyen sendika, aslında "şirket koruduğunu söylüyor" demektedir.

4. Doğrulama ile sorgulamanın karıştırılması. Yukarıda anlattık: doğru tasarım "evet/hayır" döndürür; yanlış tasarım kişinin bütün kaydını döndürür. İkincisi kullanıcıya daha "faydalı" görünür ve satış toplantısında daha iyi durur. Veri minimizasyonu ilkesinin (yalnızca gerekeni topla, yalnızca gerekeni göster) ihlali, bir hata değil, bir pazarlama tercihidir.

5. Veri iştahı. Bir sendikanın üyesinin ana-baba adına, doğum yerine, adres geçmişine ihtiyacı var mı? Yok. Ama alan varsa doldurulur, doldurulunca saklanır, saklanınca sızar. Yazılım "her şeyi tutan" olarak tasarlandığında, sızıntının boyutu da yazılımın iştahı kadar olur.

6. Yarım milyon telefon. Şirket "500.000+ mobil uygulama kullanıcısı"ndan söz ediyor. Bir mobil uygulama, kimlik numarasından fazlasıdır: cihaz kimliği, bildirim jetonu, izin verildiyse konum, rehber, fotoğraflar. Bir sendika uygulamasının hangi izinleri istediğini, o izinlerin hangi sunucuya veri taşıdığını kaç sendika yönetimi kontrol etti? Bu uygulamaların kodu da kapalı.

7. Günlük kaydı yok ya da şirketin elinde. Kim, ne zaman, kimi sorguladı? Bu sorunun yanıtı (log) ya tutulmuyor ya da yalnızca şirkette. Sendika, kendi görevlisinin arayüzü kötüye kullanıp kullanmadığını bilemiyor; üye, kendi kaydına kimin baktığını hiç bilmiyor. Oysa veri korumanın en basit ilkesi budur: bakan görünür olmalıdır.

8. Sözleşmenin görünmezliği. Sendikalarla şirket arasındaki sözleşmeler kamuya açık değil. Verinin nerede tutulduğu, alt yüklenici kullanılıp kullanılmadığı, sözleşme bitince verinin silinip silindiğinin nasıl kanıtlanacağı üyelere hiç anlatılmadı. Üye, verisini sendikasına verdi; sendika, üyeye sormadan bir şirkete devretti. Rıza zinciri ilk halkada koptu.

Bu sekiz kusurun ortak paydası şu: sendika, kendi verisinin öznesi değil, müşterisi. Ve müşteri olan, sattırılanı alır.

Operasyonun Kendisi Bir Kopyalamadır

Bu bölümü dikkatle okuyun, çünkü kimse yazmayacak.

Operasyonda bilgisayarlara, telefonlara ve dijital materyallere el konuldu. Bilişimci diliyle: sunucular, yedekler, veritabanı imajları artık soruşturma makamının elinde. O sunucularda ne var? Şirketin kendi reklamıyla, iki milyondan fazla kişinin sendika üyelik kaydı. Muhalif konfederasyonun üyeleri dahil. Ana-baba adı, adres, aidat, üyelik tarihi, istifa tarihi dahil.

Şirketin sızdırılmış nüfus verisini sorgulatması suç; bunun soruşturulması gerekli. Ama soruşturmanın biçimi, sonucunda Türkiye'deki sendikalı kamu emekçilerinin tam listesinin, üyelik hareketleriyle birlikte, MİT'in elinde toplanması ise, bu bir "veri koruma operasyonu" değil, veri korumanın adıyla yapılmış bir veri toplama işlemidir. Aynı gün, aynı kurum, dört gün önce "Ailem Güvende" operasyonunda hangi derneklerin hangi hesaplarını kapattıysa, bugün hangi sendikanın kimleri örgütlediğini de görebiliyor. Bunu sansür yazısında yazdık: Siber Güvenlik Başkanlığı'nın Temmuz 2026'dan beri "önce uygula, sonra yargı denetimi" yetkisi var; bugün o kurum, bir sendika veritabanının el konulduğu operasyonun ortağı.

Sendikaların yapması gereken ilk hukukî iş, el konulan verinin akıbetini sormaktır: veri kopyalandı mı, hangi mahkeme kararıyla, ne kadar süre tutulacak, soruşturmayla ilgisiz üye kayıtları ne zaman ve nasıl silinecek, bu silme kim tarafından denetlenecek? Bu soruyu sormayan sendika, üyesine "verini koruyorum" diyemez.

Devletin "verinizi koruyoruz" dediği operasyonun ilk çıktısı, verinizin devlette olmasıdır.

Resmî Anlatı / Sınıfsal Okuma

Resmî anlatı	Sınıfsal okuma
"Yasa dışı sorgulama yapan şirkete operasyon"	Sorgulanan veri, 2016'da devletin sisteminden sızan veridir; kaynağı hâlâ hesap vermedi
"Sendika üyesi olmayanların verisine erişim"	Sendika üyesi olanların verisi de aynı sunucudaydı; şimdi soruşturma makamında
"KVKK danışmanlığı da yapan firma"	Bekçi ile satıcının aynı kişi olması istisna değil, sektörün iş modelidir
"Verilerimize erişim mümkün değil" (Memur-Sen)	Şirketin sitesi "2 milyon+ kişiyi yönetiyoruz" diyor; ikisi aynı anda doğru olamaz
"Doğrulanmış bulgu yok" (Eğitim Sen)	Doğru; ama bulguyu arayacak kod ve log sendikada değil, şirkette ve MİT'te
"Şirket sahibi gözaltında"	Yazılımı satın alan 25 sendikanın yönetim sorumluluğu gündemde değil
"Yurttaşın verisi korunuyor"	Yurttaş, verisini sendikaya verdi; sendika şirkete, şirket sunucuya, sunucu MİT'e gitti; yurttaşa kimse sormadı

Neyin Üstü Örtülüyor?

Kaynağın üstü. "Sızdırılmış veri setleri" ifadesi, verinin nereden sızdığını söylemiyor. 2016 MERNİS sızıntısı için on yılda tek bir kamu görevlisi hesap vermedi. Sorgu panellerinin veriyi "yetkili kullanıcı hesapları" üzerinden, yani içeriden edindiği hukukçular tarafından belgelenmişken, operasyonlar hep aşağıya, satıcıya iniyor; yukarıya, sızdırana çıkmıyor. Aydo bir satıcıdır; üreticisi devlettir.

Sendikaların sorumluluğunun üstü. Bugüne kadar açıklama yapan sendikaların hiçbiri "üyelerimize ihlal bildirimi yapacağız" demedi. 6698 sayılı Kanun'un 12. maddesi, veri sorumlusuna ihlali en kısa sürede KVKK'ya ve ilgili kişilere bildirme yükümlülüğü getirir. Veri sorumlusu şirket değil, sendikadır; şirket yalnızca veri işleyendir. Yani üyeye bildirim borcu sendikanın.

Sözleşmelerin üstü. Hangi sendika hangi yıl, hangi bedelle, hangi maddelerle bu şirketle sözleşme yaptı? Sözleşmelerde "alt işleyen kullanılamaz", "veri sendikanın mülkiyetindedir", "sözleşme bitince silinir ve silme belgelenir" maddeleri var mıydı? Üye aidatıyla ödenen bu sözleşmelerin üyeye açık olmaması, sendika içi demokrasinin de sorunudur.

Bilişim emekçisinin üstü. Bu yazılımı yazan, sorgu arayüzünü kodlayan, veri setini yükleyen insanlar da işçidir. Beş gözaltının kaçı "şirket sahibi", kaçı maaşlı çalışan? Türkiye'de bilişim işçisi, patronunun kararını uygulamayı reddettiğinde onu koruyacak bir sendikaya sahip değil. Bunu Bilişim Emekçisinin El Kılavuzu'nda anlattık: içeriden satışın önlenmesi, bilişim işçisinin güvencesiyle doğru orantılıdır. "Bu veriyi yükleme" diyebilen bir çalışan, ancak işten atılmayacağını bilen çalışandır. Davranış kuralları yazısında söylediğimiz gibi: onların kuralı makineye "hayır" demeyi öğretir, bizimki hayır diyen insanı korumalı.

Olması Gereken: Bilişimci Gözüyle Bir Sendika Veri Mimarisi

Şikâyetle bitirmeyeceğiz. Aşağıdaki liste, bir sendikanın bilişim komisyonunun yarın sabah masaya koyabileceği türden. Teknik olanla örgütsel olanı ayırdık; ikisi birbirinin yerine geçmez.

Teknik ilkeler

Veri sendikanın altyapısında durur. Üye listesi, sendikanın kendi kontrolündeki sunucuda tutulur; ya sendikanın kendi bilişim birimiyle ya da sendikaların birlikte kurduğu, kâr amacı gütmeyen bir altyapı kooperatifiyle. Kiralık bulut kullanılacaksa şifreleme anahtarı sendikada kalır; sağlayıcı veriyi görmez. Bunu "bilgi müştereği" diye adlandırıyoruz ve Albatros Bilişim Kooperatifi örneğinde tartışmıştık: bilişim altyapısı da toplu sözleşme gibi birlikte kurulunca ucuzlar ve güvenlenir.

Kod açık, denetlenebilir. Üye takip yazılımı açık kaynak olur; kodu sendikanın kendi bilişimcileri, bir meslek odası ya da bir başka sendika okuyabilir. Dünyada sendikaların ve derneklerin yıllardır kullandığı açık kaynak üye yönetim sistemleri var; sıfırdan yazmak gerekmiyor. Açık kod "gizli sorgu arayüzü"nün panzehiridir: gizli özellik, okunabilen kodda saklanamaz.

Doğrulama, sorgulama değildir. Kimlik doğrulaması KPS üzerinden, "eşleşti / eşleşmedi" yanıtıyla yapılır. Geriye veri gelmez, hiçbir nüfus kaydı yerel tabloya kopyalanmaz. "NVİ" etiketli bir yerel tablo varsa, o tablo tek başına ihlal kanıtıdır.

Az topla, az tut, kısa tut. Üyelik için gereken alanlar: ad, soyad, kimlik numarası, işyeri, iletişim. Ana-baba adı, doğum yeri, adres geçmişi gereksizdir; gereksiz alan yazılımda hiç bulunmaz. Kimlik numarası şifreli saklanır; istifa eden üyenin verisi yasal saklama süresi bitince silinir, silme günlüğe yazılır.

Her bakış iz bırakır. Kim, ne zaman, hangi kaydı gördü: değiştirilemez bir günlükte tutulur ve bu günlük şirketin değil sendikanın elindedir. Üye, kendi kaydına kimin baktığını görebilir; Estonya'nın kamu veri sisteminde yurttaş bunu on yıldır görebiliyor, bir sendikanın yapamaması için teknik neden yok.

Rol tabanlı erişim, en az yetki. Şube görevlisi yalnızca kendi şubesinin üyesini görür; genel merkez toplu istatistiği görür; hiçbir hesap "her şeyi" görmez. "Üye olmayan sorgulama" diye bir yetki tanımı yazılımda bulunmaz.

Mobil uygulama en az izinle. Sendika uygulaması konum, rehber, fotoğraf izni istemez; bildirim için cihaz jetonu dışında veri taşımaz; kodu açıktır; hangi sunucuyla konuştuğu belgelidir.

Tedarikçi ile denetçi ayrıdır. Yazılımı yazan, uyumu denetleyemez. Sızma testi ve uyum denetimi bağımsız bir kuruluşa yaptırılır; denetçiyi sendika seçer, raporu üyeye açıklar.

Örgütsel ilkeler

Sözleşme üyeye açıktır. Veri işleme sözleşmesinin çekirdek maddeleri (verinin yeri, alt işleyen yasağı, silme kanıtı, ihlal bildirimi süresi, denetim hakkı) genel kurulda onaylanır ve sendikanın sitesinde durur.

İhlal bildirimi sendikanın borcudur. Şüphe varsa üyeye 72 saat içinde yazılı bildirim yapılır; "doğrulanmış bulgu yok" cümlesi bildirim yerine geçmez.

Sendikalar arası teknik dayanışma. Rakip konfederasyonlar siyaseten ayrışabilir; ama bir üye listesinin işverene sızmaması hepsinin ortak çıkarıdır. Ortak bir teknik standart, ortak bir açık kaynak proje, ortak bir denetim havuzu; Memur-Sen'in üyesi de KESK'in üyesi de aynı sızıntıdan zarar görür.

Bilişim emekçisinin sendikası. Bu yazılımı yazan işçilerin "hayır" diyebilmesi için bilişim işkolunda örgütlü bir sendika gerekir. Bir sendika yazılımını yazan işçinin sendikasız olması, bu olayın en acı ironisidir.

El konulan veri için hesap. Sendikalar birlikte, soruşturma makamına yazılı olarak sorar: kopyalanan veride soruşturmayla ilgisiz üye kayıtları var mı, ne zaman silinecek, kim denetleyecek? Yanıt gelmezse, bu bir ihlal olarak KVKK'ya ve mahkemeye taşınır.

Somut Görevler

Sendika üyesiysen. Sendikana yazılı olarak sor: verim hangi şirkette, hangi sunucuda, hangi sözleşmeyle tutuluyor? 6698 sayılı Kanun'un 11. maddesi sana bu hakkı verir. Tek başına değil, şubenle birlikte sor.

Sendika yöneticisiysen. Bu hafta üç şey yap: üyelere ihlal bildirimi yap, sözleşmeni üyeye aç, el konulan verinin akıbetini yazılı olarak sor. "Bulgu yok" açıklaması bunların hiçbirinin yerine geçmez.

Bilişim emekçisiysen. Teknik yükü üstlen. Sendikana bir bilişim komisyonu öner; yazılımın erişim günlüklerini iste; mobil uygulamanın izin listesini çıkar; açık kaynak seçenekleri raporla. Bu iş bir bilişimci olmadan yapılamaz ve sendikaların çoğunda o bilişimci sensin.

Bir bilişim şirketinde çalışıyorsan. Patronun "şu veri setini yükle" dediğinde ne yapacağını bugünden düşün. Yalnız düşünme; yanındakiyle düşün. Bunun adı örgütlenmedir.

Sendikalar arası. Ortak açık kaynak üye yönetim projesi için bir çağrı hazırla. KESK, Memur-Sen, Birleşik Kamu-İş, DİSK, Türk-İş: biri başlarsa öteki gelmek zorunda kalır.

Meslek odalarına. TMMOB Bilgisayar Mühendisleri Odası ve Elektrik Mühendisleri Odası'ndan sendika yazılımları için bağımsız teknik denetim standardı iste; bu denetimi gönüllü bir kamu hizmeti olarak üstlenmelerini öner.

Herkese. Kaynağı unutma. Her sorgu paneli haberinde soruyu geri çevir: 2016'da sızdıran kimdi, hesap verdi mi? Şirket gözaltına alınır, kaynak kurum açıklama yapar; ikisi arasındaki farkı her seferinde göster.

Arşivi ciddiye al. Bugünkü açıklamaları (şirketin referans sayfası dahil) kaydet; sayfa yarın kaldırılır, açıklama yarın değişir. Sansür yazısında söylediğimiz gibi: kararın metni yayımlanmıyorsa, sayımı gönüllünün defteri tutar.

Sevgili Genç Yoldaşlar,

Bu olayda herkesin gözü "şirket sahibi"nde olacak. Bizim gözümüz iki milyon kayıtta.

O kayıtlar, Türkiye'nin öğretmenlerinin, hemşirelerinin, memurlarının kime güvendiğinin listesidir. O liste bir şirketin sunucusunda durdu; şirket, aynı sunucuda çalıntı nüfus verisi sattı; devlet, "korumak" için sunucuya el koydu. Bu zincirin hiçbir halkasında üyeye sorulmadı.

Bir sendikanın en değerli müştereği, parası değil, üyelerinin birbirine güvenidir. O güven bir sunucuda duruyorsa, sunucu kimin ise güven de onundur. Sunucuyu geri almak, veriyi geri almak, kodu okuyabilmek: bunlar teknik ayrıntı değil, örgütlenme özgürlüğünün 21. yüzyıldaki maddi koşuludur.