İspanya Veri Koruma Ajansı (AEPD) , popüler kısa video sosyal ağı TikTok hakkında bir kez daha endişelerini dile getirdi : Platform, AB düzenleyicilerinin bu uygulamaların Genel Veri Koruma Yönetmeliği (GDPR) ile çeliştiği sonucuna varmasına rağmen, Avrupa kullanıcılarının kişisel verilerini Çin de dahil olmak üzere üçüncü ülkelere göndermeye devam ediyor.
Bu durum, İspanya ve Avrupa'nın geri kalanındaki milyonlarca kullanıcıyı tehlikeli bir konuma getiriyor: TikTok ile veri koruma yetkilileri arasındaki hukuki mücadele İrlanda mahkemelerinde devam ederken , verileri Avrupa Ekonomik Alanı dışına çıkmaya devam ediyor . Hizmet normal şekilde çalışıyor, ancak veri işleme modeli giderek daha yoğun bir şekilde inceleniyor.
530 milyonluk rekor bir para cezası ve devam eden bir soruşturma.
Çatışma, TikTok'un AB genel merkezinin Dublin'de bulunması nedeniyle şirketin Avrupa'daki ana düzenleyicisi olarak görev yapan İrlanda Veri Koruma Komisyonu (DPC) liderliğinde, AB veri koruma yetkilileri tarafından koordine edilen bir soruşturmayla başladı. Yetkililer, uluslararası veri akışlarını yıllarca analiz ettikten sonra, üçüncü ülkelere yapılan veri transferlerinin GDPR gerekliliklerine uymadığı sonucuna vardılar.
Sonuç olarak, Nisan 2025'te Veri Koruma Komisyonu (DPC), platforma 530 milyon Euro para cezası verdi ve bir dizi düzeltici önlem alınmasını emretti. Bunlar arasında, TikTok'un belirli bir süre içinde Avrupa'dakine benzer bir koruma seviyesi garanti etmemesi durumunda , Avrupa kullanıcı verilerinin Çin'e ve Avrupa Ekonomik Alanı dışındaki diğer bölgelere aktarılmasının askıya alınması zorunluluğu da yer alıyordu.
Bu sürece Avrupa Veri Koruma Kurulu aracılığıyla aktif olarak katılan İspanya Veri Koruma Ajansı (AEPD), İrlanda kararının münferit bir karar olmadığını, aksine ortak bir analizin sonucu olduğunu belirtiyor . Düzenleyici kurumlar, şirketin sunduğu güvencelerin Çin gibi ülkelerin mevzuatıyla ilişkili riskleri yeterince azaltmadığı konusunda hemfikir oldular.
Kararda öncelikle, Avrupa düzenleyicileri tarafından yeterli görülen bir güvenlik çerçevesi olmaksızın, Çin'den Avrupa Ekonomik Alanı içindeki kullanıcı bilgilerine yıllarca süren uzaktan erişim vurgulandı. AB dışında bulunan çalışanlar tarafından bu potansiyel erişim, GDPR ile olan çatışmanın merkezinde yer almaktadır.
İrlanda mahkemelerine yapılan itiraz ve ablukanın geçici olarak askıya alınması
TikTok, Veri Koruma Komisyonu'nun kararına uymakla kalmayıp, yaptırıma ve uygulanan önlemlere karşı İrlanda mahkemelerinde itirazda bulunmaya karar verdi . Şirket, verilere sınırlı ve kontrollü uzaktan erişimi sağlamak için AB'nin kendi yasal mekanizmalarını kullandığını ve sisteminin yeterli güvenceler sunduğunu savunuyor.
Kasım 2025'te İrlanda'daki yetkili mahkeme, yasal işlemler sonuçlanana kadar veri transferlerini engelleyen kararın geçici olarak kaldırılmasına karar verdi. Uygulamada bu, denetleyici makamların değerlendirmesi devam etse de, TikTok'un nihai bir karar verilene kadar Çin de dahil olmak üzere üçüncü ülkelere veri göndermeye devam edebileceği anlamına geliyor.
Bu ihtiyati askıya alma, Veri Koruma Komisyonu'nun kararını veya diğer düzenleyici kurumların tutumunu geçersiz kılmamaktadır, ancak veri transferlerinin engellenmesi gibi en katı önlemlerden bazılarını askıya almaktadır. İspanya Veri Koruma Ajansı (AEPD), bu veri akışlarının yasallığının yargısal inceleme altında olduğunu ve İrlanda kararının bulgularının tamamen geçerli olduğunu vurgulamaktadır.
Buna karşılık, yasağın geçici olarak kaldırılması, şirketin ek şeffaflık yükümlülüklerini yerine getirmesine bağlıdır . Bu gerekliliğe yanıt olarak TikTok, Avrupa'daki kullanıcılara uygulama içinde özel bildirimler göstermeye başladı ve bir soruşturmanın devam ettiğini ve itiraz süreci tamamlanana kadar Çin'e veri aktarımlarının devam edebileceğini açıkladı.
İspanya'da ve Avrupa Ekonomik Alanı'nın geri kalanında, birçok internet kullanıcısı "Avrupa Ekonomik Alanı kullanıcı verilerinin uzaktan erişim yoluyla Çin'e aktarılması" gibi başlıklar altında 530 milyon avroluk para cezasını, askıya alma kararını ve İrlanda mahkemesindeki temyiz başvurusunu özetleyen bir mesaj gördü . Platformun kendisi de bu bildirimlerin şeffaflık taahhütlerine uyumun bir parçası olduğunu doğruladı.
Avrupa'dan hangi veriler dışarı çıkabiliyor ve bu durum düzenleyicileri neden endişelendiriyor?
Sorunun özü, yalnızca Çin veya diğer ülkelerden uzaktan erişimin varlığında değil, aynı zamanda verilerin Avrupa ortamından ayrıldıktan sonra tabi olduğu yasal çerçevede de yatmaktadır . GDPR, kişisel veriler üçüncü ülkelere aktarıldığında, bu ülkelerin Avrupa'dakine esasen eşdeğer bir koruma düzeyi sunmasını veya belirli maddeler ve mekanizmalar aracılığıyla sağlam güvenceler oluşturmasını gerektirir.
Çin örneğinde, AB veri koruma yetkilileri, ulusal güvenlik, terörle mücadele ve casuslukla mücadele yasalarının, yetkililerin gerekli gördükleri takdirde teknoloji şirketlerinin yönettiği bilgilere erişim talep etmelerine olanak tanıdığına dikkat çekiyor. Düzenleyicilerin görüşüne göre, bu potansiyel yasal yetki, Avrupa çerçevesiyle doğrudan çelişiyor ve Avrupa Birliği vatandaşlarının verilerinin gizliliğinin garanti altına alınmasını zorlaştırıyor.
Soruşturma sırasında TikTok, Avrupa Ekonomik Alanı'ndaki kullanıcı verilerini Çin'de bulunan fiziksel sunucularda sistematik olarak depolamadığını savundu. Ancak soruşturma ilerledikçe, şirket iç hatalar veya münferit olaylar nedeniyle bazı verilerin Çin sistemlerine ulaştığını kabul etmek zorunda kaldı; bu durum da düzenleyicilerin endişelerini artırdı.
Avrupa yetkilileri, Çin hükümetinin Avrupa'daki TikTok kullanıcı verilerine gerçekten eriştiğine dair kamuoyuna açık bir kanıt sunmadıkları konusunda ısrar ediyor . Bununla birlikte, riskin yalnızca halihazırda gerçekleşmiş erişime değil, aynı zamanda GDPR'nin gerektirdiği kontrollere benzer kontroller olmaksızın bu tür erişime izin verecek yasal çerçeveye de bağlı olduğunu belirtiyorlar.
Ortalama kullanıcı için bu yasal çerçeve daha basit bir şekilde anlaşılabilir: Eğer Avrupa'da TikTok kullanıyorsanız, yasaklamaya karşı ihtiyati tedbir yürürlükte kaldığı ve yasal mücadele devam ettiği sürece verilerinizin bir kısmına Çin ve Avrupa Ekonomik Alanı dışındaki diğer ülkelerden erişilebilir. Bu, teknik bilgileri, uygulama kullanım verilerini ve verilen izinlere bağlı olarak potansiyel olarak hassas verileri içerir.
İspanya Veri Koruma Ajansı (AEPD) ve diğer Avrupa yetkililerinden gelen yanıt.
Uygulama içi uyarıların dile getirdiği endişeler göz önüne alındığında, İspanya Veri Koruma Ajansı (AEPD), Avrupa yetkililerinin hukuki değerlendirmesinin değişmediğini yineleyen çeşitli açıklamalar yayınladı . AEPD'ye göre TikTok, Avrupa kullanıcılarının kişisel verilerini, GDPR'ye uymayan koşullar altında Çin de dahil olmak üzere üçüncü ülkelere aktarmaya devam ediyor.
İspanyol kurumu, Veri Koruma Komisyonu (DPC) tarafından üzerinde mutabık kalınan düzeltici önlemlerin, mahkeme kararıyla geçici olarak askıya alınmış olsa da, Avrupa Veri Koruma Kurulu'nun ortak soruşturma ve analizine dayanmaya devam ettiğini vurguluyor . Başka bir deyişle, yaptırımın ve önerilen kısıtlamaların dayanağı, düzenleyicilerin gözünde geçerliliğini koruyor.
Ayrıca, İspanya Veri Koruma Ajansı (AEPD), TikTok'un Avrupa'daki ana merkezi olarak İrlanda'yı belirlediğini ve bu nedenle İrlanda Veri Koruma Komisyonu'nun (DPC) birincil denetim otoritesi olduğunu, ancak her zaman ulusal muadilleriyle koordinasyon içinde çalıştığını vurgulamaktadır. İspanyol ajansı , GDPR tarafından oluşturulan işbirliği ve tutarlılık mekanizmalarına katılmakta ve yetki alanı dahilindeki gelişmeleri yakından takip ettiğini teyit etmektedir.
İspanya Veri Koruma Ajansı'nın (AEPD) dile getirdiği başlıca endişelerden biri, bu uygulamaların TikTok izleyici kitlesinin önemli bir bölümünü oluşturan genç kullanıcılar üzerindeki etkisidir . Düzenleyici kurum, çocukların ve gençlerin verilerinin nasıl kullanıldığı konusunda yaşlarına uygun bir dilde ve gereksiz teknik jargon kullanılmadan açık ve anlaşılır bilgiler almasının şart olduğunu düşünmektedir.
Bu arada, İspanyol ajansı doğrudan bir mesaj vermek istedi: Bazı önlemlerin askıya alınması geçici olsa da, risk ortadan kalkmadı . Bu nedenle, Avrupa vatandaşlarının sadece mahkeme kararını beklemek yerine, gizliliklerini daha iyi korumak için pratik adımlar atmalarının çok önemli olduğunu düşünüyor.
TikTok'un söylemi: güvenlik projeleri ve uyumluluk vaatleri
Düzenleyici kurumlar eksiklikleri vurgularken, TikTok gizlilik konusundaki kamuoyuna verdiği mesajı güçlendirmeyi tercih etti. Şirket, Avrupalı kullanıcıların verilerinin korunmasını çok ciddiye aldığını ve son yıllarda altyapı ve kontrollere önemli yatırımlar yaptığını belirtiyor.
Bu girişimler arasında, şirketin açıklamasına göre, Avrupa Ekonomik Alanı kullanıcılarının verilerini İrlanda, Norveç, diğer Avrupa ülkeleri ve Brezilya veya Amerika Birleşik Devletleri gibi bazı dış merkezlerde bulunan veri merkezlerinde kısıtlı ve denetimli erişim şemaları altında bulmak ve güvence altına almak için milyarlarca avroyu seferber eden ünlü Clover Projesi öne çıkıyor.
Platform, Çin'de bulunan çalışanların telefon numaraları veya tam IP adresleri gibi belirli hassas verilere erişemediğini ve yetkisiz erişim riskini olabildiğince sınırlamak için takma adlandırma ve sıkı izin kontrolü gibi teknikler kullanıldığını iddia ediyor.
Şirketin bakış açısına göre, bu önlemler sağlam güvenceler sunuyor ve Avrupa çerçevesiyle uyumlu . TikTok, teknik destek, içerik denetimi ve genel hizmet bakımı gibi görevler için belirli ve gerekçeli uzaktan erişimi yetkilendirmek amacıyla GDPR'nin kendi yasal araçlarına (standart sözleşme maddeleri ve etki değerlendirmeleri gibi) güvendiğini savunuyor.
Bununla birlikte, düzenleyiciler temkinli bir tutum sergiliyor. İspanya Veri Koruma Ajansı (AEPD) ve diğer yetkililer, bu adımların daha sorumlu bir yöne doğru atılmış bir adım olduğunu kabul etmekle birlikte, Çin mevzuatının potansiyel olarak geniş erişim gereksinimlerine izin vermeye devam ettiği sürece , bir şirketin iç güvenlik önlemlerinin Avrupalı kullanıcıların hak ve özgürlüklerine yönelik riskleri tamamen ortadan kaldırmak için yeterli olmadığını belirtiyorlar.
İspanya Veri Koruma Ajansı'ndan (AEPD) tavsiye: İzinleri gözden geçirin ve uygulamayı kullanmaya devam etmeyi düşünün.
TikTok özelinde yaşananların ötesinde, İspanya Veri Koruma Ajansı (AEPD), konunun yarattığı ünden yararlanarak, herhangi bir dijital hizmete uygulanabilecek , ancak özellikle kişisel verilerin yoğun kullanıldığı ve çok genç bir kullanıcı tabanına sahip platformlar için geçerli olan bir dizi tavsiyeyi yineledi.
Öncelikle, kurum kullanıcılara kayıt olurken veya hizmet şartlarındaki değişiklikleri kabul ederken görünen gizlilik bildirimlerini ve politikalarını dikkatlice okumalarını tavsiye ediyor. Uzun görünseler de, hangi verilerin toplandığı, hangi amaçlarla toplandığı ve hangi ülkelere aktarılabileceği hakkında önemli bilgiler içeriyorlar . TikTok örneğinde, bu bildirimlerde Çin ile ilgili durum ve devam eden yasal süreçlerden açıkça bahsediliyor.
İkinci olarak, kurum uygulama gizlilik ayarlarının sık sık gözden geçirilmesinin önemini vurguluyor . Bu, kamera, mikrofon, kişiler, konum, depolama vb. erişim izinlerinin kontrol edilmesini ve bunların hizmeti nasıl kullandığınız için gerçekten gerekli olup olmadığının değerlendirilmesini içerir. Bu izinleri en aza indirmek, platformun sunucularına gönderilen bilgi miktarını sınırlamaya yardımcı olabilir.
İspanya Veri Koruma Ajansı (AEPD) ayrıca sosyal medya ve video uygulamalarında paylaşılan içerik konusunda da dikkatli olunmasını tavsiye ediyor . Özellikle tıbbi bilgiler, finansal detaylar, resmi belgeler veya kişisel yaşamın mahrem yönleri gibi hassas verilerin yanlış ellere geçmesi veya bağlamından koparılarak yeniden kullanılması durumunda sorun yaratabileceği için bu tür verilerin yayılmasından kaçınılmasını öneriyor.
Son olarak, düzenleyici kurum, çok açık bir şekilde olmasa da, net bir mesaj veriyor: Kullanıcıları, veri koruma düzeyi Avrupa'dakine kıyasla düşük olan ülkelere bilgi aktaran hizmetleri kullanmaya devam etmek isteyip istemediklerini ciddi olarak düşünmeye çağırıyor . Pratikte bu, bir kişinin verilerinin daha müdahaleci bir mevzuata tabi olma olasılığından rahatsız olması durumunda TikTok veya benzeri uygulamaları kullanmayı bırakmayı düşünmesi anlamına geliyor.
Bu tartışmanın tamamı , Avrupa Birliği Adalet Divanı ve gizlilik düzenleyicileri tarafından yerel yasaların sunduğu güvencelerin her zaman yeterli görülmediği Amerika Birleşik Devletleri veya Çin gibi yargı bölgelerine uluslararası veri transferleri konusunda yaşanan daha geniş bir Avrupa tartışması çerçevesinde ele alınmaktadır .
TikTok davası, küresel platformlar, Avrupa yetkilileri ve üçüncü ülkelerin yasal çerçeveleri arasındaki gerilimlerin özellikle görünür bir örneği haline geldi. İrlanda mahkemeleri para cezasını ve kısıtlamaları onaylayıp onaylamayacağına karar verirken , sosyal ağ İspanya'da ve Avrupa'nın geri kalanında normal şekilde faaliyet göstermeye devam ediyor ve yoğun kamuoyu ve düzenleyici denetim altında üçüncü ülkelere veri aktarımlarını sürdürüyor. Bu bağlamda, İspanya Veri Koruma Ajansı (AEPD), kullanıcılara sadece izleyici olmadıklarını hatırlatıyor: Hesap ayarlarını değiştirme, izinleri kısıtlama ve kişisel verileri yönetme yöntemleri tartışmalı olan bir hizmeti kullanmaya devam etmenin değerli olup olmadığına karar verme gücüne sahipler.
