Dünya Genelinde Kişisel Verilere İlişkin Güncel Gelişmeler

ICO tarafından, tedarikçi Capita'ya 2023 veri ihlali nedeniyle 14 milyon Pound para cezası verildi.

Londra merkezli bir tedarikçiye, Birleşik Krallık Bilgi Komisyonu Ofisi (“ICO”) tarafından 2023 yılında gerçekleşen ve 6,6 milyon kişinin kişisel verilerinin çalınmasıyla sonuçlanan bir veri ihlali sonrasında toplam 14 milyon Pound para cezası verildi. Capita PLC ve Capita Pension Solutions şirketleri sırasıyla 8 milyon Pound ve 6 milyon Pound para cezasına çarptırıldı. Siber saldırının, bir Capita çalışanının şirket cihazına yanlışlıkla kötü amaçlı bir dosya indirmesi sonucu Mart 2023'te gerçekleştiği bildirildi. ICO tarafından, "yüksek öncelikli" bir ihlal uyarısı 10 dakika içinde verilmiş ve ihlali önlemek için bazı otomatik kontroller devreye sokulmuş olmasına rağmen, Capita'nın cihazı 58 saat boyunca karantinaya almadığı belirtildi.

Haberin tamamı için linke tıklayınız.

Microsoft raporuna göre, kimlik hırsızlığı popüler siber saldırı yöntemleri arasında yer almaya devam ediyor.

The Record tarafından, daha sofistike yöntemler ortaya çıkmasına rağmen, Microsoft'un 2025 Dijital Savunma Raporu'na göre parola temelli kimlik saldırılarının önde gelen siber saldırı yöntemlerinden biri olmaya devam ettiği bildiriliyor. Şirket tarafından, Dijital Savunma Raporu 2025'te güncel siber güvenlik sorunları incelendi ve Temmuz 2024'ten Haziran 2025'e kadar olan trendlere dayanarak, bilgisayar korsanlarının bilişim dolandırıcılıkları ve bilgi çalan kötü amaçlı yazılımlar dahil olmak üzere, kimlik bilgilerini elde etmek için birden fazla yöntem aradığı tespit edildi. Fidye yazılımları, yapay zeka ve ulus-devlet saldırılarının siber suç dünyasında yaygınlık kazandığı bir dönemde, mağdurların hesaplarının ele geçirilmesi öne çıkan bir saldırı türü oldu.

Haberin tamamı için linke tıklayınız.

Apple, şifrelenmiş bulut verilerine erişim konusunda İngiltere'deki temyiz davasını kaybetti.

Computer Weekly'nin haberine göre, Birleşik Krallık Soruşturma Yetkileri Mahkemesi tarafından Apple'ın, İçişleri Bakanlığı'nın İngiliz kullanıcılarının iCloud'da depolanan şifrelenmiş verilerine kolluk kuvvetlerinin erişimini sağlamasını gerektiren yeni emrine karşı yaptığı itirazı reddedildi. İçişleri Bakanlığı'nın emri uyarınca, kolluk kuvvetlerinin erişimine yalnızca Birleşik Krallık kullanıcılarının şifrelenmiş verileri sunulacaktı. İngiltere hükümetinin Apple'a gönderdiği önceki bildirim, İngiltere hükümetinin ABD'deki Apple müşterilerinin verilerine erişebileceği endişesi nedeniyle ABD ile diplomatik bir gerginliğe yol açmıştı. Mahkeme kararının ardından Apple tarafından, emre uymak yerine Gelişmiş Veri Koruma hizmetini İngiltere'deki müşterilerine sunamayacağı doğrulandı. Kampanya grupları Privacy International ve Liberty tarafından, Apple'a yönelik yeni emir hakkında ayrı bir hukuki itirazın devam etmesi bekleniyor.

Haberin tamamı için linke tıklayınız.

OAIC tarafından, sosyal medya yasası kapsamında yaş doğrulama işleminin gerçekleştirilmesine ilişkin kılavuz yayımlandı.

Avustralya Bilgi Komiserliği Ofisi (“OAIC”) tarafından, sosyal medya şirketleri ve üçüncü taraf yaş doğrulama sağlayıcılarının sosyal medyaya erişim için asgari yaşı belirleyen yeni yasanın 10 Aralık'ta yürürlüğe girmesiyle birlikte, hem 1988 tarihli Gizlilik Yasası’na ve hem de 2021 tarihli Çevrimiçi Güvenlik Yasası'nın 4A Bölümü'ne uyum sağlamalarına yardımcı olmak amacıyla bir kılavuz yayımlandı. 4A Bölümü, kapsam dahilindeki kuruluşların yaş doğrulaması yapmak için kişisel bilgileri işlemesi gerekebileceğini belirtmekte olup kılavuz, şirketlerin yasaya uymak için daha katı gereklilikleri yerine getirmelerine yardımcı olmayı amaçlamaktadır.

Haberin tamamı için linke tıklayınız.

Sızdırılan rapor, kredi kartı şirketinin güvenlik kontrollerinde 'sistemik hatalar' olduğunu ortaya koyuyor.

The Sydney Morning Herald tarafından ele geçirilen OAIC kaynaklı sızdırılmış bir rapor, American Express'in siber güvenlik protokollerinde "sistemik başarısızlıklar" bulunduğunu ve bu durumun 1 milyondan fazla Avustralyalı kart sahibini riske atmış olabileceğini gösteriyor. Rapora göre, OAIC tarafından, bir kişinin kısa süreli çıktığı bir erkeğin yasa dışı bir şekilde kendisini gözetlemek için American Express sistemlerine erişim sağladığını iddia etmesi üzerine, Mart 2023'te kredi kartı şirketine soruşturma başlatıldı. Şirket tarafından, yasa dışı erişimin tek bir kişinin eylemi sonucu olduğu ve sorunun çözüldüğü iddia edildi. Ancak raporda, şirketin müşteri hesaplarının %78'inden fazlasında çalışanların erişimini izlemediği iddia edildi. OAIC tarafından yapılan açıklamada, raporun "ön" hazırlık aşamasında olduğu ve henüz resmi bir bulguya varılmadığı belirtildi.

Haberin tamamı için linke tıklayınız.

Florida başsavcısı tarafından çocukların hassas kişisel verilerinin satıldığı iddiasıyla Roku'ya dava açıldı.

Florida Başsavcılığı Ebeveyn Hakları Ofisi tarafından yayın cihazı şirketi Roku'ya, eyaletin Dijital Haklar Bildirgesi ve Aldatıcı ve Haksız Ticaret Uygulamaları Yasası'nın ihlal edildiği iddiasıyla dava açıldı. Davada, Roku'nun ebeveynlerin izni olmadan çocukların izleme geçmişleri ve ses kayıtları dahil olmak üzere hassas kişisel verilerini sattığı iddia ediliyor. Başsavcı James Uthmeier tarafından davada ayrıca Roku'nun “gizlilik kontrolleri ve devre dışı bırakma araçlarının etkinliği” konusunda yanlış beyanda bulunduğu iddia ediliyor.

Haberin tamamı için linke tıklayınız.

Google, Birleşik Krallık’taki gizlilik alanı taahhütlerinden muaf tutuldu.

Birleşik Krallık Rekabet ve Piyasalar Otoritesi (“Otorite”) tarafından, Google’ın Chrome tarayıcısında üçüncü taraf çerezlerini engelleme planından vazgeçmesinin ardından, bu konudaki taahhütlerinden serbest bırakıldığı açıklandı. Otorite tarafından Haziran ayında bu yönde bir karar alınmasının planlandığı belirtilmiş ve kamuoyunun görüşü talep edilmişti. Söz konusu taahhütler, Google’ın Gizlilik Alanı (Privacy Sandbox) girişimini kendi reklam teknolojisi hizmetlerini rakiplerine kıyasla önceliklendirmeyecek şekilde tasarlamasını sağlamak amacıyla getirilmişti.

Haberin tamamı için linke tıklayınız.

EDPB tarafından 2026 yılı Koordineli Uygulama Çerçevesi kapsamında GDPR’ın şeffaflık yükümlülükleri odak alanı olarak belirlendi.

Avrupa Veri Koruma Kurulu (“EDPB”) tarafından gerçekleştirilen son genel kurul toplantısında 2026 yılında gerçekleştirilecek beşinci Koordineli Uygulama Eylemi kapsamında odaklanılacak konu belirlendi. Bu kapsamda katılımcı üye ülke veri koruma otoriteleri, Avrupa Birliği Genel Veri Koruma Tüzüğü’nün (“GDPR”) 12 ila 14. maddelerinde düzenlenen şeffaflık ve bilgilendirme yükümlülükleri çerçevesinde çalışmalarını uyumlu hale getirmeye odaklanacak. EDPB tarafından yapılan açıklamada, “Bilgilendirilme hakkı, şeffaflığın temel unsurlarından biridir ve bireylerin verileri üzerinde daha fazla kontrol sahibi olmasını sağlar” ifadelerine yer verildi.

Haberin tamamı için linke tıklayınız.

LinkedIn'in izleme pikseli kullanımına ilişkin davalar ilerliyor.

Bloomberg Law’un haberine göre, Kaliforniya Kuzey Bölgesi ABD Bölge Mahkemesi tarafından LinkedIn’in eyalet anayasasını ve California Gizliliğin İhlali Yasası’nı ihlal ettiği iddiasına ilişkin üç davanın ilerletilmesine karar verildi. Davalarda, LinkedIn’in dört sağlık kuruluşunun ilgili internet sitesinde kullandığı izleme pikselleri aracılığıyla davacıların verilerini rızaları olmadan topladığı iddia edildi. LinkedIn ise davacıların rıza verdiğini ve LinkedIn’in söz konusu verileri kendi amaçları için kullanmayı planladığına ilişkin yeterli bir kanıt sunulmadığını belirterek davanın reddini talep etti.

Haberin tamamı için linke tıklayınız.

Çalışan geçmiş kontrollerine ilişkin yakın tarihli bir Alman mahkemesi kararının etkileri değerlendirildi.

Orrick Herrington & Sutcliffe ortağı Christian Schröder tarafından, Alman Federal İş Mahkemesi’nin işe alım süreciyle ilgili tazminat taleplerine ilişkin kararının etkileri değerlendirildi. Schröder tarafından şirketlerin geçmiş kontrolü kapsamında topladıkları verilere dikkat etmeleri, veri toplama faaliyetlerinde açık ve şeffaf olmaları gerektiği, ayrıca belirli bir gerekçe bulunmadıkça kamuya açık verilerin toplanmasının GDPR kapsamında meşru kabul edilmeyebileceği ve bu durumun sorumluluk doğurabileceği belirtildi.

Haberin tamamı için linke tıklayınız.

Haftalık IAPP Haberleri 13.10.2025 - 17.10.2025