Meta, bu hafta Avrupalıların verilerinin hukuksuz bir şekilde ABD’ye aktarılması nedeniyle üzerine çıkarılan 1,2 milyar Euro (1,3 milyar dolar) tutarındaki GDPR cezasını temyiz edeceğini açıkladı.
Irlanda Veri Koruma Komisyonu’nun (DPC) kararı Pazartesi sabahı yayınlandı ve AB ile ABD arasında veri transferlerini AB vatandaşlarının veri gizliliği endişeleri nedeniyle durdurmaya zorladı. DPC, Facebook’taki mevcut veri transferi uygulamalarının “veri sahiplerinin temel hakları ve özgürlüklerine yönelik riskleri ele almadığını” ve GDPR’yi ihlal ettiğini belirtiyor.
Veri transferleri önceden transatlantik ‘Privacy Shield’ tarafından korunuyordu, bu da başlangıçta AB ve ABD arasında, farklı veri koruma bölgelerinde faaliyet gösteren güvenli veri transferlerine izin vermek için oluşturuluyor.
Ancak bu, Meta’nın (o zamanlar Facebook olarak adlandırılan) ve Max Schrems arasındaki bir dava sonrasında, standardın ABD gözetim yasalarına çok fazla müsamaha gösterdiği sonucuna varıldıktan sonra geçersiz kılınıyor. DPC, söz konusu transferlerle birlikte “ek tamamlayıcı önlemler” alınmış olan 2021’de Avrupa Komisyonu tarafından kabul edilen güncellenmiş standart sözleşme hükümleri (SCC’ler) kullanıldığını belirtiliyor.
Avrupa veri sahiplerinin hak ve özgürlüklerini koruma konusunda yetersiz bulunuyor
Privacy Shield geçersiz kılındığından beri, büyük ve küçük işletmeler kıta arası veri transferleri konusunda net bir yönerge olmadan bırakıldılar. AB, hala AB ve ABD arasında güvenli ve güvence altına alınmış veri transferleri için net bir mekanizma belirlemiş değil, ancak bu yıl sonuna kadar bir tane bekleniyor.
Meta, kararı “haksız ve gereksiz” olarak tanımladı ve sert bir tepki verdi
Meta’nın küresel işlerden sorumlu başkanı Nick Clegg, bir blog yazısında DPC’nin kararını eleştirdi ve “ABD hükümetinin veriye erişim kuralları ile Avrupa gizlilik hakları arasında temel bir hukuk çatışması” olduğunu söylüyor. Clegg, “Bu kararları temyize götürüyoruz ve bu emirlerin neden olacağı zararları göz önüne alarak, uygulama sürelerini durduran mahkemelerde hemen bir duraklama talep edeceğiz, bunlar arasında her gün Facebook’u kullanan milyonlarca insan da bulunmaktadır” dedi. Clegg bu açıklamayı baş hukuk müşaviri Jennifer Newstead ile birlikte yazıyor. Bilgisayar ve İletişim Endüstrisi Derneği (CCIA), kararın ABD merkezli firmalar için mevcut veri transferi protokolleri üzerindeki kafa karışıklığını artıracağı konusunda uyarıda bulunuyor.
“AB Mahkemesi 2020’de önceki AB-ABD veri çerçevesini geçersiz kıldığından beri, Avrupa ve ABD kuruluşları ve tüm büyüklüklerdeki şirketler transatlantik veri transferleri için net yönergeler olmadan bırakıldı,” kar amacı gütmeyen kuruluş bir açıklamada belirtiyor.
“Bugüne kadar, bu belirsizlik sadece şirketleri değil, aynı zamanda kar amacı gütmeyen kuruluşları, hayır kurumlarını, hükümetleri ve diğerlerini de etkiliyor. AB ve ABD arasındaki veri akışları, dünyanın en yoğun internet rotasını oluşturuyor ve transatlantik ticaret için hayati öneme sahip. Ancak, bugünkü karar, AB’den ABD’ye veri transferlerini askıya alma kararı bu gerçeği göz ardı ediyor.”
Geçen yıl, Biden yönetimi Avrupa vatandaşları için yeni veri koruma güvencelerini tanıtan bir yönetmelik imzaladı. CCIA, bunların “yeni ve güçlendirilmiş bir AB-ABD veri gizlilik çerçevesinin önünü açması gerektiğini” söylüyor.
Ancak, her iki taraftaki yasama organlarının “çerçevenin yürürlüğe girebilmesi için bunu nihai hale getirmesi gerekiyor”.
CCIA Europe’un kamu politikası direktörü Alexandre Roure, “Bugünkü hukuki belirsizlik, bu yeni veri transfer mekanizması AB üye devletleri tarafından resmi olarak onaylanmadıkça devam edecek. Komisyonun yeterlilik kararını gecikmeksizin onaylamaları için 27 AB ulusal hükümetine çağrıda bulunuyoruz,” dedi. Meta’ya verilen ceza, 2018’de GDPR’nin yürürlüğe girdiği tarihten bu yana verilen en büyük ceza oldu. Bu ayrıca, dönüm noktası olan düzenlemenin beşinci yıldönümünden bir gün önce veridi. Teknoloji devine 746 milyon Euro ($807 milyon) ödeme emri verildi ve davayla ilgili detaylar hiçbir zaman tam anlamıyla açıklanmıyor. O zamanlar verilen ceza, Fransız veri koruma düzenleyicisi CNIL tarafından 2019’da Google’a verilen o dönemki rekor cezanın neredeyse 15 katı büyüklüğündeydi.