Dünyanın en büyük araç paylaşım şirketlerinden Uber, Hollanda Veri Koruma Ajansı (DPA) tarafından 290 milyon avro (yaklaşık 1,7 milyar Rand) para cezasına çarptırıldı.
Ceza, Avrupa Birliği'nde yürürlükte olan dünyanın en katı veri gizliliği yasalarından biri olan Genel Veri Koruma Yönetmeliği'nin (GDPR) "ciddi ihlali" nedeniyle verildi.
Karar, Amerikalı şirketin Avrupalı sürücülere ait kişisel bilgileri yönetme biçimindeki usulsüzlükleri ortaya çıkaran bir soruşturmanın sonucu olarak alındı.
Uber'in Veri Toplama ve GDPR İhlali
Veri Koruma Yetkilisine göre Uber, platformda faaliyet gösteren sürücülerden gelen gizli verileri ABD'de bulunan sunucularda topluyor ve saklıyordu.
Bu bilgiler arasında taksi plaka numaraları, konum verileri ve hatta çalışanların tıbbi bilgileri bile yer alıyor ve GDPR yönergelerine göre bunların son derece dikkatli bir şekilde işlenmesi gerekiyordu.
Bu verilerin ABD topraklarına aktarılması ve burada depolanması, şirketlerin Avrupa Birliği vatandaşlarının kişisel verilerini sıkı bir şekilde korumasını gerektiren Avrupa düzenlemelerinin ciddi bir ihlali olarak değerlendirildi.
Ancak Uber karara itiraz ediyor. Şirketten yapılan açıklamada, para cezasının "tamamen haksız" olduğu belirtilerek, herhangi bir usulsüzlük yapılmadığı belirtildi. ABD'li şirket, veri depolama uygulamalarının o dönemde belirlenen yönergelerle uyumlu olduğunu ve cezanın mevcut kuralların yanlış yorumlanmasından kaynaklandığını savunuyor.
Kıtalar arası veri aktarımında sorunlar
Uber etrafındaki tartışma, Avrupa Birliği adalet sisteminin 2020 yılında aldığı, Avrupa bloğu ile ABD arasındaki veri aktarım yapısının artık GDPR'nin yasal gerekliliklerini karşılamadığına dair kararına dayanıyor.
Bu karar, Uber de dahil olmak üzere birçok şirketin transatlantik veri akışlarıyla nasıl ilerleyeceğine dair net yönergelerden yoksun kalmasına neden olan düzenleyici bir boşluk yarattı.
Yaklaşık üç yıl süren bu süreçte Uber, Avrupa otoriteleri tarafından artık yetersiz kabul edilen eski uygulamalarıyla faaliyetlerini sürdürdü.
Avrupa Komisyonu, sorunu ancak 2023 yılının temmuz ayında, ABD'nin Avrupa verileri için yeterli koruma önlemlerini uyguladığını belirten bir açıklama yayınlayarak çözebildi.
Uber, o dönemde veri depolama politikasında önemli bir değişiklik yapmasına gerek olmadığını, çünkü uygulamalarının zaten yeni gerekliliklerle uyumlu olduğuna inandığını belirtmişti.
Ancak son soruşturma ve ardından verilen para cezası, Avrupa makamlarının bu yoruma katılmadığını gösteriyor.
Bugün şunu bilmeniz gerekiyor:
- O zaman bir avantaj gördüm! WhatsApp, Android kullanıcıları tarafından "boyanabiliyor"
- Windows PC'de Android cep telefonu oyunları: oynamak için adım adım kılavuzun tamamını öğrenin
- Android Windows'u yönetiyor! Bilgisayarınızı cep telefonunuzdan nasıl kontrol edeceğinizi görün
Uber'in etkisi ve çekiciliği
Uber, cezaya itiraz edeceğini duyurarak, cezanın adil olmadığı yönündeki tutumunu bir kez daha teyit etti. Şirket, söz konusu dönemde Avrupa ile ABD arasında veri transferinin nasıl yapılacağına ilişkin net bir yönergenin bulunmadığını ve bu durumun şirketlerin hukuki belirsizlik içinde faaliyet göstermesine neden olacağını savunuyor.
Para cezasına yol açan soruşturma, Uber'in kişisel bilgilerini ihlal ettiğini iddia eden 170 Fransız sürücünün şikayetleri üzerine başlatıldı.
Avrupalı yetkililer, şirketin sürücülerden gelen veri taleplerine hızlı bir şekilde yanıt vermediğini ve verilerin ABD'ye nasıl aktarıldığına ilişkin gizlilik politikasında eksik bilgi sağladığını tespit etti. Uber ise bu iddiaları reddediyor ve her zaman yürürlükteki veri koruma yasalarına uygun hareket ettiğini öne sürüyor.
Teknoloji sektörüne etkisi
Bu dava, farklı gizlilik düzenlemelerine sahip birden fazla bölgede faaliyet gösteren teknoloji şirketlerinin karşılaştığı devam eden zorlukları gözler önüne seriyor.
Mayıs 2018'de yürürlüğe giren GDPR, kişisel verilerin toplanması, depolanması ve aktarılması konusunda katı gereklilikler getirdi ve Uber gibi küresel şirketlerin çalışma biçimini derinden etkiledi.
Bu kuralların ihlali, mevcut davada da görüldüğü gibi, önemli para cezalarına yol açabilir.
Ayrıca Uber'e verilen ceza, Avrupa'da faaliyet gösteren diğer teknoloji şirketleri için de bir uyarı niteliğinde olabilir ve özellikle uluslararası veri transferleri söz konusu olduğunda GDPR uyumluluğunun sağlanmasının önemini vurgulayabilir.
Gizlilik mevzuatının karmaşıklığı, şirketlerin ağır yaptırımlardan kaçınmak için veri koruma uygulamalarında son derece dikkatli olmalarını gerektiriyor.
