Veri Egemenliğini Yeniden Tanımlayan TikTok Kararı
Mayıs 2025'te İrlanda Veri Koruma Komisyonu, TikTok'a AB kullanıcı verilerini yeterli güvenceler olmaksızın Çin'e aktardığı gerekçesiyle 530 milyon Euro GDPR cezası verdi.
Bu ceza, şimdiye kadar uygulanan ikinci en büyük bireysel GDPR yaptırımıdır; yalnızca Facebook'un ABD sunucularına yönelik yasadışı AB-ABD veri transferleri nedeniyle 2023'te yine İrlanda DPC tarafından verilen 1,2 milyar Euro'luk Meta cezası önündedir. Bu iki dava birlikte ele alındığında net bir uygulama örüntüsü ortaya çıkmaktadır: yeterli güvenceler olmaksızın gerçekleştirilen sınır ötesi veri transferleri öncelikli bir uygulama alanıdır ve DPC, davranış değişikliğini zorlamak için yüksek cezalar uygulamaya hazırdır.
2025 yılı itibarıyla kümülatif GDPR cezaları 5,65 milyar Euro'ya ulaşmıştır (GDPR.eu uygulama takibi). GDPR uygulaması artık arka planda seyreden bir uyum riski değil, düzenleyicilerin aktif olarak dayattığı somut bir iş maliyetidir.
TikTok Kararı Gerçekte Neye Hükmetti?
TikTok davası, öncelikle güvenlik uygulamaları veya veri ihlalleriyle ilgili değildi. Veri konumu ve uluslararası veri transferlerinin hukuki dayanağıyla ilgiliydi.
TikTok'un AB operasyonları, Çin'deki çalışanların erişebildiği sunucularda AB kullanıcı verilerini saklıyor ve işliyordu. GDPR'ın 44-46. maddeleri, uluslararası veri transferlerini yeterlilik kararı bulunmayan ülkelerle, spesifik hukuki mekanizmalar devreye girmediği sürece kısıtlamaktadır. Çin'in AB yeterlilik kararı yoktur. TikTok'un yeterli teknik önlemleri uyguladığına dair argümanı kabul edilmedi.
Yapısal ders şudur: "Sunucularımız AB'de" demek, AB dışındaki personelin verilere erişebildiği ya da kuruluşun GDPR ile çelişen devlet erişim yetkilerine sahip bir ülkenin yasalarına tabi olduğu durumlarda yeterli değildir.
Bu durum, SaaS tedarikçilerini değerlendiren kuruluşlar için doğrudan anlam taşımaktadır. "AB'de barındırıyoruz" diyen ancak ana şirketi ABD merkezli olan ya da AB dışından erişim yetkisi olan destek personeli bulunan bir tedarikçi, TikTok'un karşılaştığı aynı düzenleyici zorlukla yüz yüze gelebilir — müşterileri de aynı şekilde.
Kümülatif Tablo: 5,65 Milyar Euro GDPR Cezası
| Uygulama Eylemi | Ceza | Yıl | Gerekçe |
|---|---|---|---|
| Meta (Facebook) — DPC | 1,2 Milyar Euro | 2023 | Yasadışı AB-ABD transferleri |
| TikTok — DPC | 530 Milyon Euro | 2025 | AB-Çin transferleri |
| Amazon — CNPD Lüksemburg | 746 Milyon Euro | 2021 | Reklam hedefleme |
| WhatsApp — DPC | 225 Milyon Euro | 2021 | Şeffaflık eksikliği |
| Google — CNIL Fransa | 150 Milyon Euro | 2022 | Çerez onayı |
2025 yılı itibarıyla ulaşılan 5,65 milyar Euro'luk kümülatif toplam, GDPR uygulamasının olgunlaştığını yansıtmaktadır: düzenleyiciler, emsal oluşturmaktan ihlal kategorileri genelinde sistematik uygulamaya geçmiştir. Veri transferi ihlalleri artık en yüksek cezanın uygulandığı kategoridir; bu durum, düzenleyici öncelikleri yansıtmaktadır.
Almanya Sağlık Sektörü Sorunu
GDPR'ın 44-46. maddeleri tüm sektörlere eşit biçimde uygulanır; ancak belirli sektörler GDPR'ın ötesinde ek egemenlik gereksinimleriyle karşı karşıyadır.
Alman sağlık sektörü: Sosyal Kanun Kitabı V (SGB V), sağlık verilerinin işlenmesini Almanya kontrolündeki sistemlerle kısıtlar. Dublin'de barındırılan bir bulut anonimleştirme aracı kullanan Alman bir sağlık sigortacısı — teknik olarak AB içinde olsa da — aracın operatörünün Alman olmayan bir kuruluş olması halinde SGB V kapsamında uyumsuz olabilir.
İsviçre bankacılığı: İsviçre Bankacılık Kanunu'nun 47. maddesi, müşteri bilgilerinin açık müşteri onayı olmaksızın yetkisiz taraflarla, bulut hizmet sağlayıcıları dahil, paylaşılmasını yasaklar. İsviçreli bir özel bankanın müşteri verileri, AB'de barındırılmış bir araçla işlense bile bankacılık sırrı yükümlülüklerini tetikleyebilir.
Alman kamu sektörü: BfDI (Federal Veri Koruma Komiseri) rehberi, devlet kurumlarının verilerini devlet kontrolündeki altyapıyla kısıtlamaktadır. Ticari bir bulut sağlayıcısının AB sunucularında barındırılan bir anonimleştirme aracı bu gereksinimini karşılamaz.
Bu davalar, GDPR uyumunun tavan değil, taban olduğunu açıkça ortaya koymaktadır. Düzenlemeye tabi sektörler ve kamu sektörü kuruluşları için egemenlik gereksinimleri çoğunlukla barındırma konumunun ötesine geçen ek kısıtlamalar öngörmektedir.
Yeterlilik Kararı Manzarası
GDPR'ın uluslararası transfer çerçevesi, Avrupa Komisyonu'nun eşdeğer veri koruması sağladığı değerlendirilen ülkeler için "yeterlilik kararı" vermesine dayanır. Mevcut yeterlilik durumu:
Yeterlilik kararı olan ülkeler: Andorra, Arjantin, Kanada (ticari kuruluşlar), Faroe Adaları, Guernsey, İsrail, Man Adası, Japonya, Jersey, Yeni Zelanda, Güney Kore, İsviçre, Birleşik Krallık, Uruguay, ABD (Veri Gizliliği Çerçevesi — Schrems II geçersizliğinin ardından yeniden yürürlüğe girdi)
Yeterlilik kararı olmayan ülkeler: Çin, Hindistan, Rusya, Brezilya, Asya-Pasifik'in büyük bölümü, Orta Doğu ve Kuzey Afrika'nın büyük bölümü, Afrika'nın büyük bölümü
AB-ABD Veri Gizliliği Çerçevesi siyasi müzakereler sonucunda yeniden yürürlüğe girmiştir; ancak hukuki itirazlarla karşı karşıyadır. Mahremiyet savunucuları, önceki mekanizmaları geçersiz kılan ABD gözetim yasası argümanlarına dayalı hukuki itirazlarını şimdiden dile getirmiştir (Schrems I'de Güvenli Liman, Schrems II'de Gizlilik Kalkanı).
ABD'de barındırılan veri işleme için hukuki dayanak olarak AB-ABD Veri Gizliliği Çerçevesi'ne güvenen kuruluşlar, olası bir geçersiz ilan karşısında acil eylem planlarına sahip olmalıdır.
Veri Egemenliği Gereksinimlerinin Araç Seçimine Yansıması
TikTok, Meta ve temel düzenleyici çerçeveden elde edilen kümülatif tablo, SaaS araç seçiminde uyum güvencesi için bir hiyerarşi oluşturmaktadır:
Düzey 1 — AB barındırma: Veriler, AB içinde fiziksel olarak konumlanan sunucularda işlenir ve saklanır. Bu, egemenlik düzeyinde koruma gerektirmeyen veriler için GDPR temel gereksinimini karşılar.
Düzey 2 — AB merkezli operatör: Tedarikçinin kontrol eden kuruluşu AB merkezlidir ve yeterlilik kararı bulunmayan bir ülkenin yasalarına tabi değildir. Bu, AB barındırmasının ana kuruluş için Çin hukukuna maruziyetle eşleştirildiği TikTok sorununu giderir.
Düzey 3 — Sıfır bilgi mimarisi: Tedarikçi ihlale uğrasa, kanun uygulayıcı kurumların baskısına maruz kalsa ya da yabancı bir hükümetin veri talebiyle karşılaşsa bile şifreleme anahtarları münhasıran müşteri tarafından tutulduğundan düz metin verilere erişemez. Bu, tamamen GDPR uyumlu bir tedarikçinin bile yasal talep alması senaryosunu ele alır.
Düzey 4 — Yerel işleme: Veriler kuruluşun kendi altyapısını hiçbir zaman terk etmez. İşleme, yerel donanımda veya devlet kontrolündeki sistemlerde gerçekleşir. Bu, Alman SGB V, İsviçre bankacılık sırrı, BfDI kamu sektörü gereksinimleri ve benzeri egemenlik zorunluluklarını tam anlamıyla karşılamanın tek yoludur.
GDPR DPIA'larına Pratik Yansımaları
GDPR'ın 35. maddesi kapsamında yüksek riskli işleme için zorunlu olan Veri Koruma Etki Değerlendirmeleri (DPIA), verilerin üçüncü ülkedeki işleyicilerle paylaşılması durumunda bir transfer etki değerlendirmesi içermelidir. TikTok kararının ardından, bulut tabanlı anonimleştirme araçlarına yönelik DPIA'lar şu hususları açıkça ele almalıdır:
-
Ana şirket yargı yetkisi: Tedarikçinin ana şirketi, AB müşteri verilerinin üretilmesini zorunlu kılabilecek yasalara (CLOUD Yasası, Çin siber güvenlik kanunu vb.) tabi midir?
-
Destek personelinin erişimi: Yeterlilik kararı bulunmayan ülkelerdeki destek veya mühendislik personeli, normal operasyonların bir parçası olarak AB müşteri verilerine erişiyor mu?
-
Transferler için hukuki dayanak: Yeterlilik kararı bulunmayan ülkelere yönelik veri akışlarına hangi GDPR 46. madde mekanizması uygulanmaktadır (SCA, BCR, istisnalar)?
-
İhlal etkisi analizi: Tedarikçi ihlale uğrar ya da veri üretimi için zorlanırsa hangi AB müşteri verileri ifşa olur?
Veri işleme araçları için bulut tabanlı anonimleştirme kullanan kuruluşlar açısından bu soruların somut yanıtları belgelenmelidir. TikTok kararı, "sözleşmelerimiz var" gerekçesinin, sözleşmeler yeterlilik açısından gereği gibi değerlendirilmediyse yeterli olmadığını kanıtlamıştır.
2026 Tedarik Süreçlerine Etkileri
TikTok kararının ardından, veri işleme araçlarına yönelik SaaS tedarikçilerini inceleyen Veri Koruma Görevlileri eskiye kıyasla çok daha spesifik sorular sormaktadır:
-
Sunucular nerede? (AB'de mi?)
-
Ana şirket nerede kayıtlı? (AB? ABD? Diğer?)
-
AB dışındaki çalışanların AB müşteri verilerine erişimi var mı?
-
Kanun uygulayıcı kurumlara yönelik veri taleplerinde hangi hukuk geçerli?
-
Sıfır bilgi mimarisi var mı, yoksa şifreleme anahtarlarını tedarikçi mi tutuyor?
-
Yerel işleme seçeneği sunuluyor mu?
Bu soruların yanıtları — DPA imzalarının varlığı değil — TikTok sonrası düzenleyici ortamda gerçek veri egemenliği uyumunu belirlemektedir.
anonym.legal'in web platformu, sıfır bilgi mimarisine sahip AB merkezli Hetzner veri merkezlerini kullanmaktadır — sunucu hiçbir zaman şifrelenmemiş müşteri verisi almaz; tam bir sunucu ihlali yalnızca AES-256-GCM şifreli metin üretir. Yalnızca yerel işleme gerektiren kuruluşlar için Masaüstü Uygulaması, hiçbir harici ağ bağlantısı olmaksızın tüm verileri cihaz üzerinde işlemektedir.
Kaynaklar: