Avusturya'nın Datenschutzbehörde'si (DSB), Max Schrems tarafından kurulan gizlilik savunuculuk örgütü NOYB — None of Your Business — tarafından açılan davalar için baş denetim makamıdır. NOYB, 2018'den bu yana 1.000'den fazla stratejik GDPR şikayeti açmıştır ve DSB bunların 422'sini 2022-2024 döneminde ele almıştır. DSB yaptırımını anlamak, AB veri transfer hukukunu iki kez yeniden şekillendiren stratejik davayı anlamayı gerektirmektedir.
NOYB ve DSB: Stratejik Yaptırım Modeli
Schrems I (2015): Max Schrems'in Facebook'un AB-ABD veri transferlerine ilişkin şikayeti, 4.000'den fazla şirket tarafından kullanılan Safe Harbor çerçevesini nihayetinde geçersiz kıldı.
Schrems II (2020): Schrems'in sonraki davası, 5.000'den fazla şirketi etkileyen AB-ABD Gizlilik Kalkanı'nı geçersiz kılarak mevcut AB-ABD Veri Gizliliği Çerçevesi'nin (2023) müzakeresini zorunlu hale getirdi.
Beklenen Schrems III (2025-2026): NOYB, FISA 702. Madde'nin GDPR ile bağdaşmaz olmaya devam ettiğini öne sürerek DPF yeterlilik kararına itiraz açtı. ABAD'a sevk bekleniyor.
DSB yaptırım davalarının %78'i veri transferleri veya üçüncü taraf entegrasyonlarını kapsıyor — bu transfer merkezli odak, Avusturya yaptırımının temel özelliğidir.
DSB'nin Google Analytics Kararı
DSB'nin Ocak 2022 tarihli Google Analytics kararı, sonraki tüm transfer yaptırımları için emsal niteliği taşıyan bir model oluşturdu:
- IP adresleri kişisel veridir. Kısaltılmış IP'ler bile Google'ın veri tabanında oturum verileriyle birleştirildiğinde yeniden tanımlamayı mümkün kılıyor.
- ABD tedarikçi erişimi = transfer. ABD'li mühendisler AB kullanıcı verilerine (destek, bakım veya yasal zorlama amacıyla) erişebildiğinde bu erişim GDPR kapsamında bir veri transferi oluşturuyor.
- Yeterli TIA olmadan SCC = ihlal. ABD gözetim hukukunun bunları geçersiz kılmadığını gösteren Transfer Etki Değerlendirmesi olmaksızın Standart Sözleşme Hükümleri yetersizdir.
DSB, Avusturya web sitesi operatörünü — Google'ı değil — yasadışı transferden sorumlu veri denetçisi olarak belirledi. Bu ilke, üçüncü taraf betikler yerleştiren her AB işletmesini etkiliyor.
Ek Teknik Tedbirler: Gerçekten İşe Yarayanlar
Schrems II sonrasında EDPB, SCC'lerin tek başına yetersiz kaldığı durumlarda gerekli ek teknik tedbirler üzerine rehber yayımladı. DSB bu rehberi uygulamaktadır:
AB'de tutulan anahtarlarla şifreleme: AB kişisel verileri ABD'ye transfer edilmeden önce şifrelenirse ve şifre çözme anahtarları yalnızca AB merkezli anahtar sahiplerine ait ise, veri GDPR transfer amaçları açısından fiilen anonimdir — ABD makamları okuyamadıkları verilere erişimi zorlayamaz.
Transferden önce takma adlandırma: Transfer edilen veriler yalnızca takma ad tanımlayıcılar içeriyorsa (yeniden tanımlama anahtarı AB'de tutuluyor), transfer edilen veri transfer açısından "kişisel veri" sayılmaz.
Yerel işleme: AB bünyesindeki altyapıdan hiç ayrılmayan veriler, transfer gerekliliklerinden tamamen muaf tutulur. Yalnızca toplu, gerçekten anonimleştirilmiş istatistikler transfer edilir.
DSB, AB kişisel veri işleme için ABD SaaS tedarikçisi kullanan kuruluşların ya bu tedbirleri uygulaması ya da verilerin gerçekten anonimleştirildiğini kanıtlaması gerektiğini tespit etti.
ABD Tedarikçisi Kullanan Kuruluşlar için Schrems III Riski
AB-ABD Veri Gizliliği Çerçevesi'ne (DPF) yalnızca ABD veri transferleri için güvenen kuruluşlar belirli bir riskle karşı karşıya: NOYB'un ABAD davası başarılı olursa — Safe Harbor (2015) ve Gizlilik Kalkanı'nda (2020) olduğu gibi — kuruluşlar acilen alternatif transfer mekanizmaları aramak zorunda kalacak.
Ek teknik tedbirler (AB'de tutulan anahtarlarla şifreleme, transferden önce gerçek anonimleştirme) kullanan kuruluşlar DPF geçersizlik riskine karşı korunmaktadır. ABD tedarikçisinin erişemeyeceği şekilde şifrelenmiş veya gerçekten anonimleştirilmiş veriler için teknik olarak transfer gerçekleşmez.
Özellikle Avusturya operasyonları için: ABD araçları (Google Analytics, Mixpanel, Amplitude) kullanan web analitiği, ABD ana şirketleri olan CRM sistemleri (Salesforce, HubSpot) ve ABD'den yönetici erişimine izin veren bulut altyapısı DSB yaptırım riskini beraberinde getiriyor. Çözüm, bu sistemlerdeki kişisel verilerin tedarikçinin sistemlerine ulaşmadan önce gerçekten anonimleştirilmesini ya da yalnızca AB denetçisinin sahip olduğu anahtarlarla şifrelenmesini sağlamaktır.
Kaynaklar: