Uber, Sürücü Verilerinin ABD'ye Aktarımı Nedeniyle 324 Milyon Dolar Para Cezasına Çarptırıldı

Uber'e, Avrupa Birliği Genel Veri Koruma Yönetmeliği'ni (GDPR) ihlal ettiği gerekçesiyle Hollanda veri koruma otoritesi tarafından 324 milyon dolar (290 milyon euro) para cezası verildi. Bu ceza, Uber'in Avrupa Birliği dışına, özellikle ABD'ye sürücülerin kişisel verilerini aktarmasıyla ilgili olarak kesildi. GDPR, şirketlerin verileri koruma altına almalarını ve bu süreçte sıkı güvenlik önlemleri uygulamalarını zorunlu kılarken, ihlallerde şirketlere yıllık küresel cirolarının %4'üne kadar para cezası uygulanabileceğini belirtiyor.

GDPR İhlali ve Para Cezasının Detayları

Uber'in 2023 yılı gelirinin 34.5 milyar euro civarında olduğu düşünüldüğünde, bu ceza maksimum sınırın altında kalıyor, ancak yine de GDPR kapsamında bir teknoloji şirketine verilen en büyük cezalardan biri olarak dikkat çekiyor. Cezanın temelinde, Uber'in Avrupa Birliği'nde faaliyet gösteren sürücülerin kişisel verilerini ABD'ye uygunsuz bir şekilde aktarması yatıyor. Bu ihlalin ciddiyeti, Hollanda Veri Koruma Kurumu (Autoriteit Persoonsgegevens, AP) tarafından yayımlanan basın bülteninde vurgulandı ve bu tür veri aktarımlarının yeterince koruma altına alınmamasının "ciddi bir ihlal" olarak değerlendirildiği belirtildi.

GDPR ve ABD İstihbarat Programlarıyla İlişki

Uber'in veri aktarımlarındaki sorun, ABD'deki ulusal güvenlik istihbarat programlarıyla ilgili. Bu programlar, 2013 yılında NSA muhbiri Edward Snowden tarafından yapılan ifşaların ardından, Avrupa'da mahkemeler tarafından defalarca AB vatandaşlarının veri koruma ve gizlilik haklarını tehdit ettiği gerekçesiyle eleştirildi. GDPR, AB vatandaşlarının verilerinin korunmasını sağlamak amacıyla, bu verilerin AB dışına çıkarıldığında da aynı koruma seviyesinde kalmasını gerektiriyor.

2020 Temmuz ayında, AB'nin en üst mahkemesi, birçok şirketin veri ihracatlarını yetkilendirmek için güvendiği bir mekanizma olan Privacy Shield'ı geçersiz kıldı. Ancak, AB ile ABD arasında yeni bir veri aktarım anlaşması Temmuz 2023'e kadar kabul edilmedi ve bu üç yıllık dönemde veri aktarımlarında yasal belirsizlikler yaşandı.

Uber'in Savunması ve İtirazı

Uber, verilen bu para cezasına itiraz ediyor ve herhangi bir uyumsuzluk iddiasını reddediyor. Şirket, GDPR'nin 3 yıl boyunca süren belirsizlik döneminde tüm veri aktarımlarının kurallara uygun olduğunu savunuyor ve bu cezanın "tamamen haksız" olduğunu belirtiyor. Uber ayrıca, bu süreçte Hollanda Veri Koruma Kurumu'ndan rehberlik istediğini ancak yeterli bilgilendirme alamadığını öne sürüyor.

Uber'in Sürücü Verileriyle İlgili İhlali

Hollanda Veri Koruma Kurumu, Uber'in ABD'ye aktardığı veriler arasında sürücülerin hesap bilgileri, taksi lisansları, konum verileri, fotoğraflar, ödeme detayları, kimlik belgeleri ve bazı durumlarda ceza ve sağlık bilgileri bulunduğunu belirtti. İki yılı aşkın bir süre boyunca bu verilerin ABD'ye transfer edildiği ve uygun güvenlik önlemleri kullanılmadığı için kişisel verilerin korunmasının yetersiz kaldığı ifade edildi.

Uber'in Gelecekteki Adımları ve Hukuki Süreç

Uber, bu para cezasına karşı temyize gitmeyi planladığını açıkladı. Şirket, bu süreçte adaletin sağlanacağına inandığını belirterek, verilen kararın "hatalı" olduğunu savundu. Uber, Privacy Shield'ın halefi olan yeni veri aktarım çerçevesini kullanmaya başladığını ve şu anda uyumlu kabul edilen bu süreçlerin geçmişte de aynı şekilde uygulandığını iddia ediyor.