Hollanda AP ve Uber Cezası
Ağustos 2024'te Hollanda AP, Uber'e 290 milyon Euro para cezası kesti. Uber, AB sürücü verilerini yasal bir dayanağı olmaksızın ABD sunucularına aktardı. Bu veriler taksi lisanslarını, sabıka kontrollerini, tıbbi kayıtları ve seyahat günlüklerini kapsıyordu.
Uber, Temmuz 2020'de Schrems II kararının AB-ABD Gizlilik Kalkanı'nı geçersiz kılmasının ardından verileri taşımaya başladı. İki yıl boyunca bu aktarımlar sürdü. Standart sözleşmesel maddeler yok. Madde 46 kapsamında herhangi bir araç yok.
Bu ceza, veri aktarımı ihlali nedeniyle AB'de verilen en büyük cezadır. Tüm GDPR cezaları arasında üçüncü sırada yer alıyor. Aktarım başarısızlıkları artık büyük maliyetler doğuruyor. Yalnızca ihlaller değil.
Hızlı bir genel bakış için GDPR uyum rehberimize bakın.
AP Yaptırım Öncelik Alanları
Hollanda AP 2023'te 21.400'den fazla şikayet aldı. Üç alana odaklanıyor.
Öncelik 1 — Çalışan izleme (davaların %43'ü): Hollanda'daki pek çok firma, çalışanlarını gözetleme nedeniyle AP cezasıyla karşılaştı. Gizli kameralar, toplu e-posta denetimleri ve bildirimsiz GPS takibi harekete geçirilmeye neden oluyor. Hollanda iş hukuku GDPR'ın üstüne ek kurallar ekliyor.
Öncelik 2 — Sınır ötesi aktarımlar (davaların %31'i): Uber cezasının ve İrlanda DPC ile Cloudflare'a yönelik ortak soruşturmanın (2023) ardından AP aktarım denetimini sıkılaştırdı. Amsterdam'ın teknoloji sektörü bu alanda yüksek riskle karşı karşıya. Bulut firmaları, fintek şirketleri ve hızlı büyüyen girişimler kapsamın içinde.
Öncelik 3 — Pazarlama ve profilleme (davaların %26'sı): Bu alan çerez onayını, reklam hedeflemeyi ve doğrudan pazarlamayı kapsıyor. AP, "meşru menfaat"e katı bir gözle bakıyor. Açık kanıtlarla yazılı testler istiyor.
Uber Sonrası Aktarım Kuralları
Aktarım Etki Değerlendirmeleri (AED): EDPB, üçüncü bir ülkeye yapılan her aktarım için AED zorunlu kılıyor. AED, aktarım yapılan ülkenin AB hukukuyla eşit koruma sağladığını göstermelidir. AP, bir AED'in dört soruyu yanıtlaması gerektiğini belirtiyor:
- Hedef ülkedeki erişim yasaları neler?
- İstihbarat servislerinin erişim kapsamı ne kadar geniş?
- Veri ithalatçısına yönelik hükümet talepleri geçmişte nasıldı?
- Veri sahipleri hangi hukuki başvuru yollarını kullanabilir?
Standart Sözleşmesel Maddeler — tek başına yeterli değil: SCC'ler tek başına Madde 46'yı karşılamaz. AED hükümet erişimi riski işaret ediyorsa ek güvenceler zorunludur.
AP'nin kabul ettiği ek teknik tedbirler:
- İthalatçının şifre çözme anahtarlarına erişimi olmayan şifreleme
- İthalatçının veriyi kişiyle ilişkilendiremeyeceği şekilde aktarım öncesi doğrudan kimliklerin kaldırılması
- İthalatçının ihtiyaç duymadığı alanları kesmek için aktarım öncesi veri azaltma
Çevrimdışı Masaüstü Uygulama tüm işlemi cihazınızda gerçekleştirir. Dışarıya veri göndermez. Bu, söz konusu faaliyet için aktarım sorununu ortadan kaldırır. Güvenlik ve uyum genel bakışımıza bakın.
Çalışan Verileri ve Hollanda İş Hukuku
AP'nin çalışan izleme davalarına verdiği %43'lük pay, GDPR ile Hollanda iş hukukunun nasıl örtüştüğünü gösteriyor.
Hollanda merkezli kuruluşlar için üç kural geçerlidir:
Çalışma konseyi onayı: Çalışma konseyine sahip bir şirket, herhangi bir izleme aracını devreye almadan önce konseyin onayını almak zorundadır. Bu, yapay zeka araçlarını, e-posta denetimlerini ve devam sistemlerini kapsıyor.
Amaca uygunluk: İzleme belirtilen hedefle örtüşmelidir. Gizli izleme yasaktır. Açık izleme en az müdahaleci seçenek olmalıdır.
Amaç sınırlaması: Bir hedef için toplanan İK verisi başka bir amaç için kullanılamaz. Yeni bir yasal dayanak gereklidir.
Bu kurallar üç kayıt gerektirir: konsey onayı, amaç denetimi ve kontroller. Uyum kontrol listemiz üçünü de kapsıyor.
Hollanda KKB Tespiti
Hollanda'daki KKB araçlarının yerel kimlik formatlarını işleyebilmesi gerekir. Standart küresel araçlar bunları sık sık gözden kaçırır:
- BSN (Burger Service Nummer): 9 haneli Hollanda ulusal kimlik numarası — sağlama toplamı doğrulaması gerektirir
- IBAN (NL öneki): Kendine özgü doğrulama mantığıyla Hollanda IBAN'ı
- Posta kodu (postcode): Format 4 rakam + boşluk + 2 harf
- DigiD: Devlet dijital kimlik kodu
- Sağlık numaraları: Hasta kayıtları için BGZ ve EP formatları
Jenerik bir araç IBAN'ı yakalayabilir ama BSN sağlama toplamını veya posta kodu formatını gözden kaçırabilir. Ulusal kimlik verilerini işlemeden önce BSN tespitini test edin. Kapsamı var saymayın.
Hollanda Kuruluşları için Adımlar
1. Aktarım denetimi: Üçüncü ülkelere yönelik tüm veri akışlarını listeleyin. Mevcut SCC'leri gözden geçirin. Önemli akışlar için AED yapın. AED risk işaret ettiği yerde ek teknik tedbirleri kayıt altına alın.
2. Çalışan izleme incelemesi: Yapay zeka dahil tüm izleme araçlarını listeleyin. Çalışma konseyi onay kayıtlarını kontrol edin. Amaç denetimlerinin yazılı olduğunu teyit edin.
3. KKB kapsam denetimi: KKB araçlarınızda BSN, posta kodu ve IBAN tespitini test edin. Hollandaca belgelerde doğruluk testleri yapın.
4. Teknoloji sektörü maruziyeti: Girişimler, aktarım riskini azaltan seçimleri kayıt altına almalıdır — AB bölgesi bulut ve yerel işleme seçenekleri. AB-ABD kurulumuna sahip bulut sağlayıcılar aktarım araçlarını ve AED yaklaşımını belgelemelidir.
anonym.legal, sıfır bilgi tasarımıyla Hetzner'in AB merkezli veri merkezlerini kullanmaktadır. Sunucular yalnızca AES-256-GCM şifreli metni barındırır. Eksiksiz bir sunucu ihlali yalnızca okunamaz şifreli metin döndürür. Yerel işleme mi istiyorsunuz? Masaüstü Uygulama, dış bağlantı olmaksızın tamamen cihazınızda çalışır.
Kaynaklar
- Hollanda AP: Autoriteit Persoonsgegevens resmi sitesi — DOĞRULANDI-HARİCİ
- Hollanda AP: Uber yaptırım kararı (Ağustos 2024) — DOĞRULANDI-HARİCİ
- EDPB: Aktarım Ek Tedbirlerine İlişkin 01/2020 Tavsiyeler — DOĞRULANDI-HARİCİ