İrlanda'nın AB Yaptırımına Öncülük Etmesinin Nedeni
İrlanda Veri Koruma Komisyonu (DPC), büyük AB teknoloji şirketlerinin çoğu için başlıca denetim kurumudur. Bu bir tesadüf değildir.
İrlanda'nın düşük vergi oranı Apple, Google, Meta, LinkedIn ve TikTok'u çekti. Hepsi ana AB ofislerini orada kurdu.
GDPR Madde 60, DPC'yi bu firmalar için başlıca kurum yapar. Bu kuraldan üç sonuç çıkar.
Birincisi, Facebook hakkında Almanya'da yapılan şikayet Alman BfDI'ya değil İrlanda DPC'ye gider. İkincisi, DPC sınır ötesi davalarda diğer AB kurumlarıyla birlikte çalışır. Üçüncüsü, Meta aleyhine verilen DPC kararı AB'nin tamamında geçerlidir.
Sonuç açıktır. DPC, diğer tüm AB kurumlarını toplu olarak geçen bir ceza tutarı ortaya koymuştur. Bunun satıcı kararlarını nasıl şekillendirdiğini GDPR uyum genel bakışımızda okuyun.
2024–2025'i Tanımlayan Üç Ceza
TikTok'a 530 milyon Euro (Mayıs 2025): Çinli mühendisler AB kullanıcı kayıtlarına erişti. Bu durum GDPR Madde 44–46'yı ihlal etti. Bu maddeler, AB yeterlilik kararı bulunmayan ülkelere yapılan aktarımları kısıtlıyor. Çin'in yeterliliği yok. TikTok yeterli kontroller uyguladığını öne sürdü. DPC bunu kabul etmedi.
LinkedIn'e 310 milyon Euro (Ekim 2024): LinkedIn, davranış analizi için "meşru menfaat"e dayandı. DPC bunu geçersiz saydı. İşleme belirtilen hedef için zorunlu değildi. Denge testi LinkedIn'in lehine sonuçlanmadı.
Meta'ya 251 milyon Euro (Kasım 2024): 2018 Facebook ihlali DPC'ye zamanında bildirilmedi. DPC ayrıca yetersiz denetim günlüklerinin neyin ifşa edildiğini ölçmeyi imkânsız kıldığını tespit etti.
Bu üçü, Mayıs 2023'teki 1,2 milyar Euro'luk Meta cezasına eklendi. O ceza da yasadışı AB-ABD aktarımları nedeniyle DPC'den geldi. Şimdiye kadar verilen en büyük GDPR cezası olma özelliğini koruyor.
DPC 2024'te 8.500'den fazla sınır ötesi davayı ele aldı. Sıfır bilgi tasarımının her başarısızlığı nasıl ele aldığını görmek için güvenlik ve uyum sayfamıza göz atın.
Her Cezanın Ortaya Koyduğu
Sınır Ötesi Erişim Başarısızlıkları
Üç cezanın da ortak bir temel sorunu var. Kişisel kayıtlar, AB düzeyinde gizlilik kuralları bulunmayan ülkelerdeki çalışanlara açıktı.
TikTok cezası doğrudan buydu. AB kullanıcı dosyaları, belirtilen kontrollere rağmen Çinli mühendislere ulaştı.
Satıcı seçimi için önemi: AB merkezli kullanıcı kayıtlarına AB dışındaki çalışanların erişip erişemeyeceğini sorun. Bir satıcı Dublin'de barındırıyor olabilir ama yine de AB dosyalarını ABD'li destek personeli aracılığıyla ifşa edebilir. AB'de barındırma tek başına yeterli değildir. Varlık işleme rehberimiz, erişim kontrollerinin GDPR Madde 46 ile nasıl örtüştüğünü gösteriyor.
Yasal Dayanak Başarısızlıkları
LinkedIn cezası bir ihlalle ilgili değildi. LinkedIn'in işlemeyi nasıl gerekçelendirdiğiyle ilgiliydi.
"Meşru menfaat" sınırsız bir hak değildir. Veri sorumluları gerçek bir denge testi belgelemelidir. Bu test, çıkarlarının kullanıcının haklarının üzerinde olduğunu göstermelidir. Uyum sayfamız, satıcı yasal dayanak iddialarını nasıl gözden geçireceğinizi kapsıyor.
Günlükleme ve Bildirim Başarısızlıkları
Meta'nın 251 milyon Euro'luk cezası önemli bir tespit içeriyordu. Yetersiz denetim günlükleri ihlal kapsamını ölçmeyi imkânsız kıldı.
GDPR Madde 33, 72 saat içinde ihlal bildirimi zorunlu kılıyor. Bu bildirim etkilenen kayıtların kapsamını içermelidir. Ölçemediğiniz bir kapsamı raporlayamazsınız.
Adaylar satıcıların denetim günlüğü yapısı hakkında sorular sormanız gerekir. Bir satıcı bir olayın ardından "hangi kayıtlar ifşa edildi?" sorusunu yanıtlayamıyorsa Madde 33(3)(b)'yi karşılayamıyor demektir.
DPC Davalarındaki Örüntü
Büyük dört DPC cezasının tamamına bakıldığında tek bir örüntü öne çıkıyor. Düzenleyiciler, satıcı mühendislerinin kullanıcı içeriğini görebildiği tasarımlara karşı harekete geçiyor. Her büyük ceza, kişisel kayıtlara kötü kontrol edilmiş erişimi kapsıyordu.
Sıfır bilgi tasarımı, her davadaki temel kaygıyı ele alıyor. Kullanıcı içeriği şifrelenir. Satıcı şifre çözme anahtarlarına sahip değildir.
TikTok ve Meta aktarım davalarında AB dışındaki mühendisler sunucuya ulaşır ama yalnızca şifreli metin görür. Okunabilir kayıt ifşa edilmez. Meta ihlal davasında eksiksiz bir sunucu ele geçirilmesi hiçbir işe yarar şey vermez. İhlal kapsamı küçülür. LinkedIn davasında düz metin hiç göremeyen bir satıcı üzerinde davranış analizi yapamaz.
Bu, her DPC işlemine verilen doğrudan yanıttır. Ayrıntılar için güvenlik genel bakışımıza veya anonym.legal'ın neden bu şekilde kurulduğuna ilişkin kurucu açıklamasına bakın.
"Ana Kuruluş" Ne Anlama Gelir
Bazı şirketler hangi veri koruma kurumunun yetki kullanacağını kontrol etmek için AB yapılarını belirli şekillerde düzenliyor. DPC'nin görüşü burada önem kazanıyor.
"Ana kuruluş" yalnızca bir şirket adresi değildir. Merkezi AB yönetiminin bulunduğu yerdir. Veri sorumluları için işleme hedefleri hakkında kararların alındığı yerdir.
Londra'da gizlilik ekibi bulunan bir firmanın AB ana kuruluşu olmayabilir. Her üye devletin veri koruma kurumu, yerel şikayetler için yetki kullanabilir.
Satıcı İnceleme Soruları
Kişisel kayıtları işleyen SaaS satıcılarını değerlendirirken şu soruları kullanın.
Yetki alanı ve erişim:
- Satıcının AB ana kuruluşu nerede?
- AB dışındaki çalışanlar normal çalışmada AB kullanıcı kayıtlarına erişebilir mi?
- Satıcının ana şirketi CLOUD Yasası veya Çin güvenlik yasaları kapsamında mı?
Teknik tasarım:
- AB kullanıcı içeriği AB barındırma sunucularında mı kalıyor?
- Şifreleme anahtarlarını satıcı mı yoksa müşteri mi tutuyor?
- Denetim günlükleri ihlal kapsamını ölçecek kadar ayrıntılı mı?
Aktarım kayıtları:
- Herhangi bir AB-ABD akışını hangi GDPR Madde 46 mekanizması kapsıyor?
- Satıcı Aktarım Etki Değerlendirmesi yaptı mı?
- Hangi ek teknik tedbirler uygulanıyor?
DPC yaptırımı tek bir konuda tutarlı. Gizlilik ekipleri ve VKD'leri olan firmalar bile teknik tasarımları iddialarıyla örtüşmediğinde büyük cezalarla karşılaşıyor. Daha fazlası için vaka çalışmalarımıza ve SSS'imize bakın.
anonym.legal, sıfır bilgi tasarımıyla Hetzner'in AB merkezli sunucularını kullanmaktadır. Sunucular yalnızca AES-256-GCM şifreli metni barındırır. Eksiksiz bir ihlal okunabilir kayıt ortaya çıkarmaz. Masaüstü Uygulama, dış bağlantı olmaksızın tüm içeriği cihazda işler.
Kaynaklar
- İrlanda DPC — Resmi yaptırım kararları — DOĞRULANDI-HARİCİ
- EDPB — Tek Durak Noktası mekanizması — DOĞRULANDI-HARİCİ
- GDPR metni — Madde 33, 44–46, 60 — DOĞRULANDI