En büyük yaptırım: Yango bağlantılı Rusya’ya veri aktarımı

İkinci çeyreğin en büyük bireysel cezası Hollanda’dan geldi. Hollanda Veri Koruma Otoritesi, Yango taksi uygulamasının Avrupa’daki şirketi MLU B.V.’ye 100 milyon euro ceza verdi. Otorite, kişisel verilerin Rusya’ya aktarılmasında kullanılan güvenceleri yetersiz buldu ve GDPR şartlarının karşılanmadığı durumlarda veri aktarımının durdurulmasını istedi.

Karar, uluslararası veri aktarımında yalnızca sözleşme imzalamanın yeterli olmadığını gösteriyor. Şirketlerin verinin gönderildiği ülkeyi, alıcı kuruluşların rolünü, ilgili ülkedeki kamu makamlarının erişim ihtimalini ve ek koruma önlemlerinin pratikte ne kadar etkili olduğunu değerlendirmesi gerekiyor. Hollanda kararında özellikle üçüncü ülkelere yapılan aktarımlar için yeterli güvencelerin bulunmaması öne çıktı.

Yaklaşık 100 milyon euroluk Yango bağlantılı ceza, ikinci çeyrekteki toplam yaptırımların yaklaşık %44’ünü oluşturdu. Bu yoğunlaşma, hem çeyrek toplamındaki sıçramayı açıklıyor hem de sınır ötesi veri akışlarının finansal risk yönetiminin bir parçası olarak yeniden ele alınması gerektiğine işaret ediyor.

Fransa, İtalya ve Birleşik Krallık’tan da yüksek tutarlı kararlar geldi

İkinci çeyrekte öne çıkan diğer kararlar arasında şunlar yer aldı:

• Fransa: Telekom şirketleri Free Mobile ve Free’e toplam 42 milyon euro ceza verildi. Bu tutarın 27 milyon eurosu Free Mobile’a uygulandı. Kararlar, abonelere ait verilerin güvenliğine ilişkin eksikliklerle bağlantılıydı.
• İtalya: Intesa Sanpaolo, müşterilerin bankacılık verilerini korumadaki eksiklikler nedeniyle 31,8 milyon euro cezaya çarptırıldı.
• Birleşik Krallık: Bilgi Komiserliği Ofisi (ICO), Reddit’e çocukların kişisel verilerini hukuka aykırı kullandığı ve yeterli yaş kontrolü önlemleri uygulamadığı gerekçesiyle 14,47 milyon sterlin ceza verdi. Reddit, para cezası kararına itiraz etti.

Reddit kararı, çocukların mahremiyetinin düzenleyiciler açısından yüksek riskli alanlardan biri olmaya devam ettiğini gösteriyor. Çocuklara uygun tasarım, güvenilir yaş doğrulama süreçleri, çocuk verilerinin işlenmesi için hukuki dayanak ve öngörülebilir zararları azaltmaya yönelik önlemler, denetimlerde belirleyici hale gelebiliyor.

Düzenleyiciler hangi GDPR ihlallerine odaklanıyor?

İkinci çeyrekteki tablo tek bir ihlal türüyle sınırlı değildi. Öne çıkan başlıklar şöyle sıralandı:

Yetersiz güvenlik önlemleri

Fransız telekom cezaları ve İtalya’daki bankacılık kararı dahil olmak üzere birçok büyük dosyada güvenlik eksiklikleri görüldü. Yüksek hacimli müşteri verisi işleyen kuruluşların; erişim yönetimi, kimlik doğrulama, izleme, saklama süreleri, olaylara müdahale ve tedarikçi kontrollerini yalnızca politika belgelerinde değil, uygulamada da güvence altına alması gerekiyor.

Yeterli hukuki dayanak olmadan veri işleme

CMS GDPR Enforcement Tracker’ın yönetici özetine göre, veri işleme için yeterli hukuki dayanağın bulunmaması ve genel veri işleme ilkelerine uyulmaması, yüksek tutarlı cezaların en sık görülen nedenleri arasında yer alıyor. Şirketler, önemli her veri işleme faaliyetini belgelenmiş bir hukuki dayanağa bağlayabilmeli ve seçilen dayanağın uygulamadaki gerçek kullanım biçimiyle örtüştüğünü gösterebilmeli.

Uluslararası veri aktarımında zayıf güvenceler

Yango dosyası, üçüncü ülkelere veri aktarımının yüksek tutarlı yaptırım riski taşıdığını açık biçimde ortaya koydu. Aktarım değerlendirmeleri yalnızca standart sözleşme maddelerinin mevcut olup olmadığına odaklanmamalı; verinin gerçek akışını, alıcı kuruluşları, hedef ülkedeki makamların erişim yetkilerini ve ek güvenlik önlemlerinin etkinliğini de kapsamalı.

Çocukların verilerinin korunamaması

ICO’nun Reddit kararı; yaşa uygun tasarımın, etkili yaş doğrulama süreçlerinin ve çocuklara ait kişisel verilerin hukuka uygun kullanımına ilişkin savunulabilir bir yaklaşımın önemini güçlendirdi.

Medya, finans ve veri yoğun sektörlerde risk daha konsantre

Finbold’un bildirdiği dağılıma göre medya ve finans şirketleri, ikinci çeyrekteki en yüksek 10 GDPR cezasının altısını oluşturdu. Teknoloji, telekomünikasyon ve tüketiciye doğrudan hizmet veren diğer sektörler de büyük miktarda kişisel veri işledikleri veya birbirine bağlı karmaşık sistemler kullandıkları için dikkat çekiyor.

Bu durum, söz konusu sektörlerde faaliyet gösteren her şirketin aynı düzeyde risk taşıdığı anlamına gelmiyor. En yüksek risk genellikle büyük veri hacminin; davranışsal profilleme, hassas bilgiler, geniş kullanıcı tabanları, sınır ötesi altyapı veya karmaşık üçüncü taraf ilişkileriyle birleştiği durumlarda ortaya çıkıyor.

Avrupa’da faaliyet gösteren şirketler neyi önceliklendirmeli?

İkinci çeyrekteki yaptırım eğilimi, şirketler için beş temel önceliğe işaret ediyor:

1. Veri işleme faaliyetlerini ve hukuki dayanakları haritalayın. Hangi verinin neden toplandığını, kimlerle paylaşıldığını ve her kullanımın hangi hukuki temele dayandığını güncel biçimde kayıt altına alın.
2. Güvenlik kontrollerini gerçek risklere göre test edin. Erişim yönetimi, kimlik doğrulama, izleme, saklama, olay müdahalesi ve tedarikçi kontrollerini düzenli olarak gözden geçirin; yalnızca yazılı politikalara güvenmeyin.
3. Çocuklara ait veriler için daha güçlü koruma uygulayın. Çocukların erişebileceği hizmetlerde yaş doğrulama, rıza, risk değerlendirmesi ve yaşa uygun güvenlik önlemlerini ürün ve uyum süreçlerinin parçası haline getirin.
4. Uluslararası veri aktarımlarını yeniden değerlendirin. Aktarım risk analizlerini belgeleyin, her alıcının rolünü doğrulayın ve yalnızca sözleşme hükümlerinin yeterli olmadığı durumlarda ek koruma önlemleri uygulayın.
5. Yüksek riskli veri işleme faaliyetlerini üst yönetime taşıyın. Büyük cezaların ölçeği, veri gizliliğinin yalnızca hukuk ekiplerinin takip edeceği bir kontrol listesi değil, finansal ve operasyonel bir risk olduğunu gösteriyor.

2026’nın ikinci çeyreğinden çıkan ana mesaj

Bildirilen 225,9 milyon euroluk ikinci çeyrek toplamı, tek bir büyük kararın yaptırım tablosunu ne kadar hızlı değiştirebileceğini gösterdi. Yango bağlantılı ceza, çeyrek toplamının neredeyse yarısını oluştururken telekomünikasyon, finans ve çocukların mahremiyetiyle ilgili dosyalar, düzenleyicilerin hem temel güvenlik uygulamalarını hem de kişisel verilerin hangi hukuki gerekçeyle kullanıldığını yakından incelediğini ortaya koydu.

Avrupa’da faaliyet gösteren şirketler açısından en net sonuç şu: GDPR kontrolleri, kurumsal risk yönetiminin ayrılmaz bir parçası olarak ele alınmalı. Hukuka uygun veri işleme, bilgi güvenliği, çocukların korunması ve uluslararası veri aktarımı süreçleri sürekli test edilmeli; bu süreçler, düzenleyici incelemelere dayanabilecek somut kanıtlarla desteklenmeli.

En büyük yaptırım: Yango bağlantılı Rusya’ya veri aktarımı

İkinci çeyreğin en büyük bireysel cezası Hollanda’dan geldi. Hollanda Veri Koruma Otoritesi, Yango taksi uygulamasının Avrupa’daki şirketi MLU B.V.’ye 100 milyon euro ceza verdi. Otorite, kişisel verilerin Rusya’ya aktarılmasında kullanılan güvenceleri yetersiz buldu ve GDPR şartlarının karşılanmadığı durumlarda veri aktarımının durdurulmasını istedi.

Karar, uluslararası veri aktarımında yalnızca sözleşme imzalamanın yeterli olmadığını gösteriyor. Şirketlerin verinin gönderildiği ülkeyi, alıcı kuruluşların rolünü, ilgili ülkedeki kamu makamlarının erişim ihtimalini ve ek koruma önlemlerinin pratikte ne kadar etkili olduğunu değerlendirmesi gerekiyor. Hollanda kararında özellikle üçüncü ülkelere yapılan aktarımlar için yeterli güvencelerin bulunmaması öne çıktı.

Yaklaşık 100 milyon euroluk Yango bağlantılı ceza, ikinci çeyrekteki toplam yaptırımların yaklaşık %44’ünü oluşturdu. Bu yoğunlaşma, hem çeyrek toplamındaki sıçramayı açıklıyor hem de sınır ötesi veri akışlarının finansal risk yönetiminin bir parçası olarak yeniden ele alınması gerektiğine işaret ediyor.

Fransa, İtalya ve Birleşik Krallık’tan da yüksek tutarlı kararlar geldi

İkinci çeyrekte öne çıkan diğer kararlar arasında şunlar yer aldı:

• Fransa: Telekom şirketleri Free Mobile ve Free’e toplam 42 milyon euro ceza verildi. Bu tutarın 27 milyon eurosu Free Mobile’a uygulandı. Kararlar, abonelere ait verilerin güvenliğine ilişkin eksikliklerle bağlantılıydı.
• İtalya: Intesa Sanpaolo, müşterilerin bankacılık verilerini korumadaki eksiklikler nedeniyle 31,8 milyon euro cezaya çarptırıldı.
• Birleşik Krallık: Bilgi Komiserliği Ofisi (ICO), Reddit’e çocukların kişisel verilerini hukuka aykırı kullandığı ve yeterli yaş kontrolü önlemleri uygulamadığı gerekçesiyle 14,47 milyon sterlin ceza verdi. Reddit, para cezası kararına itiraz etti.

Reddit kararı, çocukların mahremiyetinin düzenleyiciler açısından yüksek riskli alanlardan biri olmaya devam ettiğini gösteriyor. Çocuklara uygun tasarım, güvenilir yaş doğrulama süreçleri, çocuk verilerinin işlenmesi için hukuki dayanak ve öngörülebilir zararları azaltmaya yönelik önlemler, denetimlerde belirleyici hale gelebiliyor.

Düzenleyiciler hangi GDPR ihlallerine odaklanıyor?

İkinci çeyrekteki tablo tek bir ihlal türüyle sınırlı değildi. Öne çıkan başlıklar şöyle sıralandı:

Yetersiz güvenlik önlemleri

Fransız telekom cezaları ve İtalya’daki bankacılık kararı dahil olmak üzere birçok büyük dosyada güvenlik eksiklikleri görüldü. Yüksek hacimli müşteri verisi işleyen kuruluşların; erişim yönetimi, kimlik doğrulama, izleme, saklama süreleri, olaylara müdahale ve tedarikçi kontrollerini yalnızca politika belgelerinde değil, uygulamada da güvence altına alması gerekiyor.

Yeterli hukuki dayanak olmadan veri işleme

CMS GDPR Enforcement Tracker’ın yönetici özetine göre, veri işleme için yeterli hukuki dayanağın bulunmaması ve genel veri işleme ilkelerine uyulmaması, yüksek tutarlı cezaların en sık görülen nedenleri arasında yer alıyor. Şirketler, önemli her veri işleme faaliyetini belgelenmiş bir hukuki dayanağa bağlayabilmeli ve seçilen dayanağın uygulamadaki gerçek kullanım biçimiyle örtüştüğünü gösterebilmeli.

Uluslararası veri aktarımında zayıf güvenceler

Yango dosyası, üçüncü ülkelere veri aktarımının yüksek tutarlı yaptırım riski taşıdığını açık biçimde ortaya koydu. Aktarım değerlendirmeleri yalnızca standart sözleşme maddelerinin mevcut olup olmadığına odaklanmamalı; verinin gerçek akışını, alıcı kuruluşları, hedef ülkedeki makamların erişim yetkilerini ve ek güvenlik önlemlerinin etkinliğini de kapsamalı.

Çocukların verilerinin korunamaması

ICO’nun Reddit kararı; yaşa uygun tasarımın, etkili yaş doğrulama süreçlerinin ve çocuklara ait kişisel verilerin hukuka uygun kullanımına ilişkin savunulabilir bir yaklaşımın önemini güçlendirdi.

Medya, finans ve veri yoğun sektörlerde risk daha konsantre

Finbold’un bildirdiği dağılıma göre medya ve finans şirketleri, ikinci çeyrekteki en yüksek 10 GDPR cezasının altısını oluşturdu. Teknoloji, telekomünikasyon ve tüketiciye doğrudan hizmet veren diğer sektörler de büyük miktarda kişisel veri işledikleri veya birbirine bağlı karmaşık sistemler kullandıkları için dikkat çekiyor.

Bu durum, söz konusu sektörlerde faaliyet gösteren her şirketin aynı düzeyde risk taşıdığı anlamına gelmiyor. En yüksek risk genellikle büyük veri hacminin; davranışsal profilleme, hassas bilgiler, geniş kullanıcı tabanları, sınır ötesi altyapı veya karmaşık üçüncü taraf ilişkileriyle birleştiği durumlarda ortaya çıkıyor.

Avrupa’da faaliyet gösteren şirketler neyi önceliklendirmeli?

İkinci çeyrekteki yaptırım eğilimi, şirketler için beş temel önceliğe işaret ediyor:

1. Veri işleme faaliyetlerini ve hukuki dayanakları haritalayın. Hangi verinin neden toplandığını, kimlerle paylaşıldığını ve her kullanımın hangi hukuki temele dayandığını güncel biçimde kayıt altına alın.
2. Güvenlik kontrollerini gerçek risklere göre test edin. Erişim yönetimi, kimlik doğrulama, izleme, saklama, olay müdahalesi ve tedarikçi kontrollerini düzenli olarak gözden geçirin; yalnızca yazılı politikalara güvenmeyin.
3. Çocuklara ait veriler için daha güçlü koruma uygulayın. Çocukların erişebileceği hizmetlerde yaş doğrulama, rıza, risk değerlendirmesi ve yaşa uygun güvenlik önlemlerini ürün ve uyum süreçlerinin parçası haline getirin.
4. Uluslararası veri aktarımlarını yeniden değerlendirin. Aktarım risk analizlerini belgeleyin, her alıcının rolünü doğrulayın ve yalnızca sözleşme hükümlerinin yeterli olmadığı durumlarda ek koruma önlemleri uygulayın.
5. Yüksek riskli veri işleme faaliyetlerini üst yönetime taşıyın. Büyük cezaların ölçeği, veri gizliliğinin yalnızca hukuk ekiplerinin takip edeceği bir kontrol listesi değil, finansal ve operasyonel bir risk olduğunu gösteriyor.

2026’nın ikinci çeyreğinden çıkan ana mesaj

Bildirilen 225,9 milyon euroluk ikinci çeyrek toplamı, tek bir büyük kararın yaptırım tablosunu ne kadar hızlı değiştirebileceğini gösterdi. Yango bağlantılı ceza, çeyrek toplamının neredeyse yarısını oluştururken telekomünikasyon, finans ve çocukların mahremiyetiyle ilgili dosyalar, düzenleyicilerin hem temel güvenlik uygulamalarını hem de kişisel verilerin hangi hukuki gerekçeyle kullanıldığını yakından incelediğini ortaya koydu.

Avrupa’da faaliyet gösteren şirketler açısından en net sonuç şu: GDPR kontrolleri, kurumsal risk yönetiminin ayrılmaz bir parçası olarak ele alınmalı. Hukuka uygun veri işleme, bilgi güvenliği, çocukların korunması ve uluslararası veri aktarımı süreçleri sürekli test edilmeli; bu süreçler, düzenleyici incelemelere dayanabilecek somut kanıtlarla desteklenmeli.