Dünya Genelinde Kişisel Verilere İlişkin Güncel Gelişmeler

AB üye devletlerinin sızdırılan Dijital Omnibus uzlaşma önerisi, “kişisel veri” tanımına ilişkin revizyonu metinden çıkarıyor.

Sızdırılan bir taslak uzlaşma metnine göre, önerilen AB Dijital Omnibus düzenlemesi kapsamında Avrupa Birliği Konseyi tarafından Avrupa Komisyonu'nun Avrupa Birliği Genel Veri Koruma Tüzüğü’ndeki (“GDPR”) “kişisel veri” tanımına yönelik öngörülen değişikliklerin tamamen metinden çıkarılması teklif edildi. AB üye devletlerinin diplomatlarının, söz konusu geri adım önerisini ve Omnibus paketine ilişkin genel tutumu 27 Şubat’ta yapılacak toplantıda ele almasının beklendiği bildirildi.

Haberin tamamı için linke tıklayınız.

Milyonlarca kişiye ait hassas kişisel veri içeren bir veri tabanının tespit edildiği bildirildi.

Siber güvenlik şirketi UpGuard araştırmacıları tarafından, bulut hizmet sağlayıcısı Hetzner altyapısında barındırılan ve 3 milyondan fazla e-posta adresi ile 2 milyondan fazla kişisel kaydı (sosyal güvenlik numaraları dahil) içeren geniş kapsamlı bir veri tabanı keşfedildiği ileri sürüldü. Wired tarafından aktarılan habere göre, araştırmacılar söz konusu verilerin tamamının siber saldırılar sonucunda elde edilmediğini belirtmiş; veri tabanının 21 Ocak tarihinde platformdan kaldırıldığı ifade edilmiştir.

Haberin tamamı için linke tıklayınız.

ICO tarafından yetersiz yaş doğrulama kontrolleri nedeniyle Reddit’e 14,47 milyon sterlin para cezası verildi.

Birleşik Krallık Bilgi Komiserliği Ofisi (“ICO”) tarafından çocukların gizliliğine ilişkin ihlaller iddiasıyla Reddit hakkında 14,47 milyon İngiliz Sterlini tutarında idari para cezası uygulandı. ICO tarafından Reddit’in yeterince güçlü yaş doğrulama mekanizmaları uygulamadığı ve kullanıcıların yetişkinlere yönelik içeriklere erişmeden önce yaşlarını kendi beyanlarıyla bildirmelerine izin verdiği ileri sürüldü. Bilgi Komiseri John Edwards tarafından konuya ilişkin olarak, “Açık olmak gerekirse; çocukların erişme ihtimali bulunan çevrimiçi hizmetleri işleten şirketler, verilerin kullanım biçiminden kaynaklanan risklere karşı çocukları koruma sorumluluğuna sahiptir.” ifadeleri kullanıldı. Ayrıca ICO tarafından Reddit’in Ocak 2025 öncesinde çocuklara yönelik bir veri koruma etki değerlendirmesi gerçekleştirmediği belirtildi.

Haberin tamamı için linke tıklayınız.

Polonya Veri Koruma Otoritesi tarafından GDPR ihlalleri nedeniyle bir taşımacılık şirketine para cezası verildi.

Polonya Veri Koruma Otoritesi (“UODO”) tarafından, DPD Polska hakkında GDPR ihlalleri iddiasıyla toplam 11,5 milyon PLN tutarında iki ayrı idari para cezası uygulandı. UODO tarafından kargo şirketinin üçüncü taraf taşıyıcılarla kişisel veri işleme sözleşmeleri imzalamadığı ve dış hizmet sağlayıcıların belirlenen veri işleme talimatlarına uygun hareket edip etmediğini yeterince denetlemediği ileri sürüldü. Bu durumun gizlilik ve hesap verebilirlik ilkelerinin ihlaline yol açtığı belirtildi.

Haberin tamamı için linke tıklayınız.

Garante tarafından Amazon deposundaki çalışan izleme faaliyetlerinin durdurulmasına karar verildi.

İtalya Veri Koruma Otoritesi (“Garante”) tarafından İtalya’daki bir Amazon dağıtım merkezinde yürütülen çalışan izleme uygulamalarına ilişkin inceleme sonrasında çalışan verilerinin işlenmesinin derhal durdurulmasına karar verildi. İnceleme kapsamında, söz konusu dağıtım merkezinde 1.800’den fazla mevcut ve eski çalışanın iş durumlarına ilişkin hassas kişisel verileri toplayan ve bu verileri 10 yıl süreyle saklayan bir devam takip sisteminin bulunduğu tespit edildi. Ayrıca, çalışan faaliyetlerine ilişkin görüntü toplayan tesis içindeki dört kameranın da Garante kararı uyarınca devre dışı bırakılması gerektiği belirtildi.

Haberin tamamı için linke tıklayınız.

PPA ve Sağlık Bakanlığı tarafından, tıbbi bilgilerin anonimleştirilmesine yönelik bir kılavuz yayımlandı.

Kılavuz; yaygın anonimleştirme yöntemlerinin yanı sıra, bu sürecin zorlukları ve yeniden kimlik tespiti risk analizlerinin nasıl yapılacağına dair bilgiler içeriyor. Öte yandan İsrail Veri Koruma Otoritesi (“PPA”) tarafından, Kreşlerdeki Çocukların Korunması İçin Kamera Kurulması Yasası hakkında da bir rehber yayımlandı. Bu rehber; kameraların yalnızca video kaydı yapmasını ve sadece çalışma saatleri içinde çocukların güvenliğini sağlamak amacıyla kullanılmasını garanti altına alan maddeler içeriyor.

Haberin tamamı için linke tıklayınız.

PPA tarafından, PPL uyarınca "bilgilendirilmiş rıza"nın ne anlama geldiğine dair görüşlerini içeren bir belge yayımlandı.

PPA tarafından, Gizlilik Koruma Yasası (“PPL”) kapsamında "bilgilendirilmiş rıza"nın ne olduğunu belirten bir görüş yazısı yayımlandı. PPA tarafından kurumların, tüketiciler ile kuruluşlar arasındaki olası güç dengesizliklerini kavraması ve bireylere neye onay verdikleri konusunda açık bilgi sunması gerektiği belirtildi. Rızanın zımni olduğu durumlarda, özellikle hassas verilerin toplanması veya gizliliğin ciddi şekilde ihlal edilebileceği faaliyetler söz konusu olduğunda, mümkün olduğunca bireyin açık rızasının alınmasının tavsiye edildiğini vurguladı.

Haberin tamamı için linke tıklayınız.

AI sohbet robotu etkileşimlerinin gizlilik risklerini nasıl yeniden şekillendirdiği ele alındı.

New York Times tarafından, yapay zeka sohbet robotlarının yaygınlaşması ve giderek gelişmesi ile veri gizliliği risklerine ilişkin görüşlerin nasıl yeniden şekillendiği ele alındı. Sohbet robotları kullanıcı etkileşimleri yoluyla daha fazla veri tüketse de, genel veri tüketimine ilişkin endişeler büyük ölçüde değişmeden kalıyor. Ancak, sohbetlerde paylaşılan daha hassas kişisel verilerin giderek daha fazla toplanması ve saklanması, siber saldırı ve veri ihlali risklerinin artmasıyla ilgili önemli bir sorun teşkil ediyor.

Haberin tamamı için linke tıklayınız.

NAI tarafından, sağlıkla ilgili reklamların yayınlanmasında gizlilik hususlarına ilişkin rapor yayımlandı.

Network Advertising Initiative (“NAI”) tarafından, kurumların sağlıkla ilgili reklam süreçlerinde kullanıcıların hassas kişisel bilgilerini nasıl koruyabileceklerini ayrıntılı olarak açıklayan bir rapor yayımlandı. Rapor; kaynak, içerik ve kullanım amacı dahil olmak üzere sağlık verilerinin işlenmesinde dikkate alınması gereken faktörleri özetlemektedir. Rapor, kuruluşların veriye dayalı reklamcılık uygulamalarının ABD federal veya eyalet düzenlemelerini veya NAI Özdenetim Çerçevesi standartlarını ihlal etmemesini nasıl sağlamaları gerektiğini ele almaktadır.

Haberin tamamı için linke tıklayınız.

GDPR kapsamındaki güvenlik yükümlülüklerinin, veriler saldırganın elinde anonim olsa bile geçerliliğini koruyacağına hükmedildi.

Bird & Bird ortağı Ruth Boardman'ın aktardığına göre; Birleşik Krallık Temyiz Mahkemesi'nin DSG Retail Limited v. The Information Commissioner davasında verdiği güncel kararda; bir veri sorumlusunun, verilerin üçüncü bir tarafın elinde anonim olmasını, en başta verileri güvende tutmak için uygun önlemleri alma yükümlülüğü bulunmadığını savunmak için kullanamayacağına hükmedildi. Boardman tarafından, Üst Mahkeme'nin (Upper Tribunal) bu kararı kısmen, "saldırganın veri sahiplerinin kimliğini tespit edemediği durumlarda GDPR uyarınca fidye yazılımlarına karşı korunma ihtiyacının ortadan kalkacağı" anlamına gelebileceği gerekçesiyle verdiği belirtildi.

Haberin tamamı için linke tıklayınız.

Haftalık IAPP Haberleri 23.02.2026 - 27.02.2026