GDPR cezaları ikinci çeyrekte yüzde 230 arttı

Finbold’un 20 Ağustos 2026 tarihli araştırmasına göre Avrupa’daki GDPR uygulama otoriteleri, 2026’nın ikinci çeyreğinde toplam 225.879.175 avro (260,59 milyon dolar) tutarında ceza kesti. Nisan-haziran dönemine yayılan bu toplam, şirketlerin günde ortalama 2,48 milyon avro ceza ödediği anlamına geliyor.

Bu rakam, 2026’nın ilk çeyreğinde kesilen 68,18 milyon avroluk toplamın yaklaşık yüzde 230 üzerinde. İkinci çeyrek sonuçlarıyla birlikte yılın ilk yarısındaki GDPR cezaları yaklaşık 295 milyon avroya (340,5 milyon dolar) yükseldi.

En yüksek cezalar hangi ülke ve şirketlere verildi?

İkinci çeyreğin en büyük tek cezası Hollanda’dan geldi. Hollanda Veri Koruma Otoritesi, Yango taksi uygulamasının işletmecisi Ridetech International B.V.’ye yaklaşık 100 milyon avro (bazı raporlarda 100,25 milyon avro) ceza verdi.

Otorite, üçüncü ülkelere yapılan kişisel veri transferlerinde yeterli koruma ve güvence mekanizmalarının kurulmadığı sonucuna vardı. Karar kapsamında, GDPR şartlarının karşılanmadığı durumlarda Rusya’ya veri transferlerinin durdurulması da istendi.

Öne çıkan diğer cezalar şöyle:

• Fransa: Telekom şirketleri Free Mobile ve Free’ye toplam 42 milyon avro ceza verildi. Bu toplamın 27 milyon avroluk bölümü Free Mobile’a uygulandı.
• İtalya: Bankacılık grubu Intesa Sanpaolo, müşteri verilerinin korunmasındaki eksiklikler nedeniyle 31,8 milyon avro cezaya çarptırıldı.
• Birleşik Krallık: Bilgi Komiserliği Ofisi (ICO), çocukların gizliliğine ilişkin yetersizlikler nedeniyle Reddit’e 14,47 milyon sterlin (yaklaşık 16,61 milyon avro) ceza kesti. İnceleme, etkili yaş doğrulama sistemlerinin bulunmaması ve çocuklara ait kişisel verilerin hukuka aykırı kullanılması gibi konulara odaklandı. Reddit para cezasına itiraz etti.

İhlallerde öne çıkan başlıklar

Araştırmaya göre cezaların başlıca nedenleri, güvenlik açıkları ve kişisel verilerin yeterli hukuki dayanak olmadan işlenmesi oldu. Yango kararı ise uluslararası veri transferlerinde gerekli güvencelerin sağlanmamasının, olağanüstü yüksek yaptırımlara yol açabileceğini gösteriyor.

Medya ve finans sektörleri, ikinci çeyrekteki en büyük 10 cezanın altısından sorumlu oldu. Bu tablo; yoğun miktarda kişisel veri işleyen, doğrudan tüketiciye hizmet veren ve sıkı düzenlemelere tabi sektörlerin GDPR bakımından daha yüksek risk taşıdığını ortaya koyuyor.

Şirketler için sonuç ne?

Veriler, GDPR uyumunun yalnızca hukuk departmanının takip edeceği bir kontrol listesi olmadığını gösteriyor. Tek bir sınır ötesi veri transferi vakasının, çeyrekte açıklanan toplam cezanın neredeyse yarısına denk gelmesi; veri koruma ihlallerinin finansal ve operasyonel risk niteliği taşıdığını ortaya koyuyor.

Avrupa’da faaliyet gösteren şirketlerin özellikle şu alanlara öncelik vermesi gerekiyor:

• Her veri işleme faaliyeti için hukuka uygun dayanağın belgelenmesi; gerektiğinde geçerli açık rızanın alınması,
• Güçlü teknik ve idari güvenlik kontrollerinin uygulanması,
• Etkili yaş doğrulama sistemleri ve çocuk verileri için daha sıkı koruma önlemleri,
• Üçüncü ülkelere veri aktarımında savunulabilir hukuki mekanizmaların, risk değerlendirmelerinin ve ek güvenlik önlemlerinin oluşturulması; özellikle Rusya gibi ülkelere yapılan transferlerin dikkatle incelenmesi,
• Medya, teknoloji, finans ve telekomünikasyon alanlarındaki yüksek riskli veri işleme faaliyetleri için yönetim kurulu düzeyinde gözetim sağlanması.

Bununla birlikte, şirket bazındaki bazı kesin rakamların ikincil bir sosyal medya paylaşımı üzerinden aktarıldığı görülüyor. Bu nedenle ülke ve şirket dağılımı temkinli değerlendirilmelidir. Buna karşılık ikinci çeyrekteki toplam ceza tutarı ve çeyreklik artış, Finbold’un 20 Ağustos tarihli araştırmasına doğrudan dayandırılıyor.