Hollandalı Düzenleyici Uber'e Rekor Kıran Cezaya İmza Attı

26 Ağustos 2026'da Hollanda Veri Koruma Otoritesi (Autoriteit Persoonsgegevens), Uber Technologies Inc.'e Avrupa'nın Genel Veri Koruma Tüzüğü'nü ihlal ettiği için yaklaşık 966 milyon dolara denk gelen 825 milyon avro para cezası kestiğini duyurdu. Uber'e kesilen bu GDPR cezası, şirketin sürücüleri uygun bir bildirim yapmadan veya bu sürücülere kararı itiraz etmek için anlamlı bir yol sunmadan hesapları askıya almak ve devre dışı bırakmak için otomatik sistemler kullanmasına odaklanıyor.

Bu ceza, şimdiye kadar verilmiş en büyük GDPR yaptırımları arasında yer alıyor ve Uber'in aynı düzenleyiciden aldığı cezalar listesine ekleniyor. 2024'te Hollanda Veri Koruma Otoritesi, Uber'e Amerika Birleşik Devletleri'ne yapılan hatalı veri transferleri nedeniyle 290 milyon avro ceza kesmiş ve şirketin kişisel verileri Avrupa Ekonomik Alanı dışına taşıma konusundaki GDPR'nin katı gerekliliklerini karşılayamadığına hükmetmişti. Bu son ve çok daha büyük ceza, Hollandalı düzenleyicilerin bunu izole bir uyum açığı değil, bir örüntü olarak gördüğünü gösteriyor.

Otomatik Karar Alma Neden İnceleme Altında

GDPR, şirketlerin kendilerini önemli ölçüde etkileyen kararlar almak için otomatik sistemler kullanması durumunda bireylere belirli korumalar sağlar; buna açıklama alma hakkı ve insan incelemesi talep etme hakkı da dahildir. Bir sürücünün hesabını devre dışı bırakmak, gelirini kesmek ve bunu şeffaf bir bildirim veya itiraz süreci olmadan yapmak, tüzüğün kısıtlamak için tasarlandığı türden otomatik kararların tam olarak kendisidir.

İş modeli büyük ölçüde sürücü iş gücünün algoritmik yönetimine dayanan Uber gibi bir şirket için bu durum yapısal bir gerilim yaratıyor. Otomatik sistemler dolandırıcılığı, güvenlik ihlallerini veya politika ihlallerini büyük ölçekte tespit etmede verimlidir ancak GDPR, bu verimliliğin kişinin kendisi hakkında verilen kararları anlama ve bunlara itiraz etme hakkı pahasına olmamasını gerektirir. Düzenleyiciler bildirim ve itiraz mekanizmalarının yetersiz veya hiç olmadığını tespit ettiğinde, ihlal teknik bir evrak hatasından ziyade temel bir korumaya dokunduğu için ortaya çıkan cezalar tam da bu nedenle ağır olabilir.

Daha Geniş Bir Veri Hesap Verebilirliği Örüntüsünün Parçası

Bu ceza izole bir olay değil. Düzenleyiciler ve mahkemeler, kişisel verilerin nasıl toplandığını, işlendiğini veya sonuç doğuran kararlar almak için nasıl kullanıldığını korumada başarısız olan şirketlere giderek artan bir şekilde önemli cezalar uyguluyor. Örneğin eğitim sektöründe, PowerSchool'un Naviance öğrenci takibi üzerine 17,25 milyon dolarlık uzlaşması, bu durumda öğrenci etkinliği gibi sessizce toplanan verilerin gün yüzüne çıktığında nasıl büyük yasal risklere yol açabileceğini gösterdi. Veri koruma başarısızlıkları yalnızca kasıtlı kötüye kullanımla sınırlı değil; karanlık web'de satışa sunulan Iliad Italia müşteri verileri gibi olaylar, kişisel verilerin kurumsal politikadan ziyade ihlaller yoluyla nasıl ifşa olabileceğini ve yine de şirketleri düzenleyici ve itibar kaybıyla karşı karşıya bıraktığını gösteriyor.

Birlikte ele alındığında, bu davalar tutarlı bir temaya işaret ediyor: kişisel verileri veya bu veriler üzerine inşa edilen otomatik kararları düşük öncelikli bir uyum meselesi olarak gören kuruluşlar, giderek artan bir şekilde kendilerini sekiz ve dokuz haneli cezaların yanlış tarafında buluyor.

Bu Sizin İçin Ne Anlama Geliyor

Uber veya benzeri bir platform için araç kullanıyorsanız, bu dava size otomatik sistemler tarafından hesabınız hakkında verilen kararlarla ilgili olarak GDPR kapsamında (AB'deyseniz) haklarınız olduğunu hatırlatır. Genel olarak otomatik bir kararın neden verildiğini bilme ve bu kararı yalnızca bir algoritmanın değil, bir insanın incelemesini talep etme hakkına sahipsiniz.

Araç çağırma uygulamalarının ve veri odaklı hesap yönetimine yoğun şekilde dayanan diğer platformların günlük kullanıcıları için bu ceza, bu şirketlerle ilişkinizin ne kadarının doğrudan görmediğiniz otomatik sistemler üzerinden yürüdüğünün de altını çiziyor. Uygulama tabanlı hizmetlere verdiğiniz izinleri ve veri erişimini periyodik olarak gözden geçirmek ve bu kadar büyük bir cezanın, altta yatan uygulamaların henüz değiştiğinin kanıtı değil, düzenleyicilerin bu sistemlerin nasıl kullanıldığını aktif olarak izlediğinin bir işareti olduğunu anlamak faydalı olacaktır.

Uygulanabilir Çıkarımlar

  • AB'deki gig ekonomisi çalışanıysanız, otomatik bir sistem hesabınız veya geliriniz hakkında önemli bir karar verdiğinde GDPR'nin size açıklama ve insan incelemesi hakkı verdiğini bilin.
  • Bir platformdan aldığınız hesap askıya alma, devre dışı bırakma bildirimi veya itiraz yazışmalarının kayıtlarını saklayın; bir karara itiraz etmeniz gerekirse bu belgeler önemlidir.
  • Gig, teslimat veya araç çağırma uygulamalarına verdiğiniz gizlilik ayarlarını ve veri izinlerini gözden geçirin ve artık ihtiyaç duymadığınız erişimleri iptal edin.
  • Bu davayla ilgili düzenleyici güncellemeleri takip edin; çünkü bu boyuttaki GDPR cezaları genellikle temyize yol açar ve tamamen sonuçlanması yıllar alabilir; bu da platformların gelecekte nasıl faaliyet göstereceğini etkileyebilir.

Uber'e kesilen GDPR cezası, Avrupa'nın büyük teknoloji platformlarını otomatik sistemlerin gerçek insanların geçim kaynaklarını nasıl etkilediği konusunda hesap verebilir kılma yönündeki devam eden çabasında önemli bir işarettir. Bunun Uber'in uygulamalarını hemen değiştirip değiştirmeyeceği henüz görülmeyecek; ancak veri koruma haklarının geleneksel veri işleme kadar algoritmik kararlar için de geçerli olduğu argümanına gerçek bir mali ağırlık katıyor.