Koreli yetkililerin son kararıyla küresel e-ticaret ortamı ciddi bir uyarı aldı. Başlangıçta münferit bir teknik sorun gibi görünen olay, büyük bir skandala dönüşerek, büyük platformların her satın alma işleminde kendilerine emanet ettiğimiz bilgileri nasıl yönettikleri sorusunu gündeme getirdi.
Güney Kore Kişisel Bilgi Koruma Komisyonu'nun (PIPC) sert bir tavır alarak benzeri görülmemiş bir para cezası uygulamaya karar vermesinin ardından haberler patlak verdi. Güney Kore'nin Amazon'u olarak kabul edilen teknoloji devi Coupang, milyonlarca müşterisinin özel verilerini yeterince koruyamadığı için yaklaşık 385 milyon avro para cezasıyla karşı karşıya kalacak ; bu, Asya teknoloji düzenlemelerinde bir dönüm noktası olan şaşırtıcı bir rakam.
Pek de karmaşık olmayan bir güvenlik açığı.
Genellikle filmlerde gördüğümüz, inanılmaz becerilere sahip bilgisayar korsanlarının karmaşık sistemleri atlattığı durumların aksine, Coupang'da yaşananlar çok daha sıradan ve bu nedenle daha endişe vericiydi. Soruşturmalar, asıl nedenin, şirket büyüklüğü göz önüne alındığında açıkça yetersiz olan kimlik doğrulama anahtarlarının ve erişim kontrollerinin ihmalkar yönetimi olduğunu ortaya koydu . Bu, son teknoloji bir siber saldırı değil, bilginin olmaması gereken yerlere akmasına izin veren en temel güvenlik önlemlerindeki bir eksiklikti.
Felaketin büyüklüğünü kavramak zor: yaklaşık 37,5 milyon kişinin verilerinin ifşa edildiği tahmin ediliyor. Güney Kore'nin nüfusunun yaklaşık 52 milyon olduğu göz önüne alındığında, bu, her üç vatandaştan ikisinin bir şekilde etkilendiği anlamına geliyor. Çevrimiçi olarak dolaşan bilgiler arasında isimler, iletişim numaraları ve sipariş geçmişleri yer alıyor ve bu da kullanıcıları gelecekteki olası dolandırıcılıklara karşı son derece savunmasız bırakıyor.
İnceleme altındaki yaptırım ve uygulamaların ayrıntılı açıklaması
PIPC rastgele bir rakam belirlemek yerine, ihlallerin ciddiyetine göre cezayı çeşitli kategorilere ayırdı. Miktarın büyük çoğunluğu, yaklaşık 241 milyon Euro, doğrudan kişisel bilgilerin büyük çaplı sızdırılmasıyla ilgili . Ancak yetkili kurum, 11 milyon kullanıcının çevrimiçi faaliyetlerine ilişkin verileri önceden izinleri olmadan toplamak nedeniyle de ek olarak 114 milyon Euro para cezası kesti; bu durum, kendi düzenlemelerimiz nedeniyle Avrupa'da bize çok tanıdık geliyor.
Dahası, şirketin lojistik iştiraklerinden birinin bir tür çalışan kara listesi tuttuğu keşfedildi ve bu da gruba ek yasal baskı getirdi . Bu davranış, şirketin ihlalin gerçek boyutunu tespit etme ve bildirme konusundaki yavaş tepkisiyle birleşince (ilk tahmin sadece 4.500 hesaptan milyonlarca hesaba ulaştı), düzenleyicilerin sabrı tükendi ve mümkün olan en katı önlemleri uygulamaya koydular.
Avrupa GDPR çerçevesiyle karşılaştırma
İspanya'dan veya Avrupa'nın geri kalanından bu haberleri takip edenlerimiz için bu durum, Genel Veri Koruma Yönetmeliği (GDPR) ile benzerliği nedeniyle tanıdık geliyor. Her bölgenin kendi yasaları olsa da, Güney Kore harekete geçtiğini ve uygulama kapasitesinin Avrupa Birliği'ninkiyle karşılaştırılabilir olduğunu gösteriyor . Para cezasının platformun yerel gelirinin bir yüzdesine dayanması, Meta ve Google gibi şirketlere burada zaten uygulandığını gördüğümüz bir strateji.
Açık olan şu ki, veri koruma artık isteğe bağlı veya ertelenebilecek bir idari formalite değil. Büyük ölçekte faaliyet gösteren herhangi bir pazar yeri için siber güvenliğe yatırım, mutlak bir yönetim önceliği olmalıdır . Bir çalışanın herhangi bir alarm tetiklenmeden milyonlarca hesaba erişebilmesi, şirketin iç yapısında kesinlikle bir sorun olduğunun göstergesidir ve dünya çapındaki düzenleyiciler de tam olarak bunu daha sert bir şekilde cezalandırmaya başlıyor.
Ücretlendirme ve platformun geleceği
Coupang, karara itiraz etmeyi değerlendireceğini açıklamış olsa da, şirket durumu yatıştırmak için zaten adımlar atmıştı. 2025 yılının sonunda, etkilenen kullanıcılara yaklaşık 34 € değerinde alışveriş çeki dağıtılmasını da içeren milyonlarca avroluk bir tazminat planı önerildi . Bu jest takdir edilse de, birçok kişi için kişisel verilerinin bilinmeyen sunucularda dolaşma riskiyle karşılaştırıldığında yetersiz kalmaktadır.
Bu olay, Kore ekonomisi için hayati önem taşıyan bir markanın itibarını kurtarmaya yönelik istifalarla birlikte üst yönetim düzeyinde değişikliklere bile yol açtı. Ancak, hasar çoktan verilmişti ve tüketici güveni ciddi şekilde sarsılmıştı. Bundan böyle, bu tür dev şirketler çok daha yakından ve sürekli olarak denetlenecek , çünkü hızlı büyümenin her zaman orantılı bir güvenlik önlemi artışıyla birlikte gitmediği gösterilmiştir.
Bu çatışmanın çözümü, teknoloji endüstrisinde bir dönüm noktasıdır ve büyük miktarda özel bilgi işleyen tüm şirketler için çok açık bir ders niteliğindedir. Rekor düzeydeki idari para cezası ve etkilenenlere doğrudan tazminat ödeme maliyetleri, uluslararası düzeyde uyumluluk stratejilerinin yeniden düşünülmesini zorunlu kılacak , destansı boyutlarda bir mali darbe anlamına gelmektedir . Bu dersin, kullanıcı gizliliğinin kurumsal bütçelerin çirkin ördek yavrusu olmaktan çıkıp, en başından beri olması gereken temel direk haline gelmesini sağlayıp sağlamayacağını göreceğiz.