Autoriteit Persoonsgegevens (AP), Ağustos 2024'te Uber'e 290 milyon Euro para cezası verdi. Bu ceza, sürücü verilerinin geçerli bir transfer sözleşmesi olmaksızın ABD sunucularına gönderilmesi nedeniyle uygulandı. Sınır ötesi transferde hiçbir GDPR davası bu kadar büyük bir para cezası üretmedi. AP ayrıca 2023'te 21.400'den fazla şikayeti ele aldı. Bu durum, onu Avrupa'nın en meşgul veri düzenleyicilerinden biri yapıyor.
AP'nin Uber Davasında Bulduğu Sonuçlar
Uber, Hollanda ve Fransa'daki sürücülerden veri topladı. Bu veri; konum geçmişi, kimlik belgeleri, ücret kayıtları, sürüş kayıtları ve vergi dosyalarını kapsıyordu. Tamamı ABD sunucularına aktarıldı. AP, transfer yönteminin geçerli olmadığına hükmetti.
Kararı üç bulgu şekillendirdi:
- Zayıf transfer yöntemi: Uber, Bağlayıcı Şirket Kuralları'nı (BCR) kullandı. AP, bunların ilgili sürücü verilerinin kapsamını veya hassasiyetini karşılamadığını tespit etti.
- Transfer Etki Değerlendirmesi (TIA) Yok: Uber, ABD hukukunun mutabık kalınan transfer korumalarını yerinde bıraktığını gösteremedi.
- Kombinasyonla hassas veri: Konum verisi, ücret ve performans puanları bir arada her sürücünün ayrıntılı bir resmini ortaya koyuyor. AP bu karışımı hassas kişisel veriyle eşdeğer olarak değerlendirdi.
Uber davası açık bir kural belirliyor. ABD'ye gönderilen personel ve yüklenici verilerinin, tüketici verileri gibi aynı TIA ve ek tedbirlere ihtiyacı var.
AP'nin 2025 Uygulama Odak Alanları
2026 için güncellenmiştir
AP, 2025'te yakından izlediği üç alanı belirledi.
Personel takibi: Uzaktan çalışma takip araçları ana hedef. Buna verimlilik günlükleri, ekran yakalama, tuş vuruşu takibi ve uzak konum araçları dahil. Böyle bir araç devreye almadan önce şirketler, neden daha az müdahaleci seçenekleri reddettiklerini kayıt altına almalı.
Sınır ötesi veri transferleri: Uber kararının ardından AP, transfer yöntemlerini kontrol ediyor. ABD, Asya veya diğer yeterli koruma düzeyine sahip olmayan ülkelerdeki hizmetlere dayanan şirketler kapsama giriyor. İK, proje çalışması veya müşteri verisi için ABD yazılım araçlarını kullanan her şirketin güncel bir TIA'ya sahip olması gerekiyor.
Otomatik kararlar: Yapay zekalı kredi skorlaması, işe alım filtreleri ve performans sistemleri Madde 22 yükümlülüklerini tetikliyor. AP, gerçek bir insan incelemesi adımı olmadan otomatik kararlar alan kuruluşları hedef alıyor. İşçiler ve tüketicilerin her ikisi de kapsanmalı.
BSN: Korunan Ulusal Kimlik Numarası
Burgerservicenummer (BSN), Hollanda'da kullanılan 9 haneli bir kimlik numarasıdır. Elfproef (onbir-ispat) kontrolü kullanılarak doğrulanır. Kontrolü uygulamak için: her rakamı 9'dan −1'e kadar ağırlıkla çarpın, sonuçları toplayın ve toplam 11'e tam bölünmelidir.
BSN Kanunu (Wet algemene bepalingen burgerservicenummer), BSN kullanımını belirli yasal bağlamlara sınırlar. Bunlar: vergi, sağlık, hükümet ve işveren maaş bordrosu. BSN'yi bu bağlamların dışında kullanmak BSN Kanunu uygulamasını tetikler. Üstüne GDPR sorumluluğu da gelir.
Genel araçların BSN'leri neden kaçırdığı: Birçok NLP aracı Elfproef kontrolünü içermiyor. Bu olmadan, 9 rakamlı her dize olası bir BSN olarak işaretleniyor. Bu durum, finans ve idari belgelerde yanlış alarmlar yaratıyor. Yanlış yazılan BSN'ler de kaçırılıyor. Kontrolü geçemiyorlar ama yine de geçerli bir desen gibi görünüyorlar. Avrupa kimlik biçimleri genelindeki tam karşılaştırma için AB ulusal vergi kimliği ve KBV tespiti rehberimize bakın.
Hollandaca Metin İçin NER
Hollandaca (Nederlands), İngilizce için eğitilmiş modelleri zorlayan özelliklere sahip.
Bileşik sözcükler: Hollandaca sözcükleri birleştirir. Persoonsgegevens (kişisel veri) ve Burgerservicenummer (vatandaş kimlik numarası) her biri tek sözcüktür. İngilizce için oluşturulan modeller bunları çoğu zaman yanlış noktadan böler. Bu, varlık tespitini bozar.
İsim sonekleri: -je ve -tje sonekleri ön adlarda görünür — Annetje, Hansje. İsim modelleri hem temel biçimi hem de kısa biçimi işleyebilmeli.
Adres biçimleri: Sokak türleri Straat, Laan, Weg, Plein ve Gracht'ı kapsar. Posta kodları dört rakam artı iki harften oluşur (örnek: 1234 AB). Her kod tek bir sokakla eşleştiğinden, çoğu Avrupa posta kodundan daha fazlasını ortaya koyuyor.
IBAN biçimi: Hollanda IBAN'ları 18 karakterdir: NL + 2 kontrol rakamı + 4 harfli banka kodu + 10 haneli hesap numarası. Ülkede karta dayalı ödeme kullanımı yüksek. Sonuç olarak finansal belgeler çok sayıda IBAN içeriyor. Kimlik türlerinde güven puanı yöntemleri için ikili KBV tespiti ve güven puanlaması yazımıza bakın.
AP Uyumluluğu İçin Teknik Kontrol Listesi
AP'nin mevcut standartlarını karşılamak için veri sistemleri şunlara ihtiyaç duyar:
- Elfproef ile BSN tespiti — salt desen eşleştirme yeterli değil
- Hollandaca dili NER — spaCy
nl_core_newsgibi bir model bileşik sözcükleri ve kısa biçimli isimleri işler - IBAN tespiti — biçim farkındalıklı, genel değil
- Tüm sınır ötesi transferler için alt işlemci kayıtları
- ABD satıcıları için TIA — Uber kararının ardından canlı bir AP denetim önceliği
Uber sonrası, ABD satıcıları için TIA en iyi uygulama değil, temel bir gerekliliktir. Kararın ve transfer sonuçlarının tam analizi için AP Uber cezası ve sınır ötesi transfer uygulaması yazısına bakın.