Teknoloji ve Hukuk Bülten de bu hafta

Fransa Veri Koruma Otoritesi CNIL, 26 Mayıs 2026 tarihinde IQVIA Operations France'a, sağlık veri ambarında uygulanan güvenlik tedbirlerindeki eksiklikler gerekçesiyle 5 milyon Euro idari para cezası uygulamıştır. Söz konusu karar; hassas sağlık verilerinin yetersiz korunması ile GDPR'ın 32. maddesi kapsamında gerekli teknik ve organizasyonel önlemlerin hayata geçirilmemesine dayandırılmaktadır. Bu yaptırım, kamuoyuna yansıyan bilgiler çerçevesinde 2026 yılında tek bir GDPR kararı kapsamında uygulanan en yüksek para cezası olma özelliğini taşımaktadır.

Kişisel Verileri Koruma Kurulu, 14 Mayıs 2026 tarihli duyurusuyla 2025 yılı verilerine göre VERBİS'e kayıt ve bildirim yükümlülüğü bulunan veri sorumlularının kayıt süresini 5 Haziran 2026 (Cuma) tarihine kadar uzatmıştır. Uzatma kararının gerekçesi olarak, orijinal son tarih olan 30 Mayıs 2026'nın Kurban Bayramı tatil dönemine denk gelmesi ve bu durumun veri sorumluları açısından mağduriyet yaratabilecek olması gösterilmiştir. Kurul, söz konusu uzatma kararıyla yükümlü veri sorumlularının idari yaptırımla karşılaşmaksızın kayıt işlemlerini tamamlayabilmelerine imkân tanımayı amaçlamıştır.

Avrupa Komisyonu, Dijital Hizmetler Yasası (DSA) çerçevesinde X (eski adıyla Twitter) platformuna Aralık 2025'te 120 milyon Euro idari para cezası uygulamış ve akabinde Ocak 2026'da X'in yapay zeka aracı Grok'un kullanımına ilişkin ayrı bir soruşturma başlatmıştır. 17 Şubat 2026 tarihinde ise Komisyon, Çinli hızlı moda devi Shein aleyhine sistemik risk yönetimi, içerik güvenliği ve şeffaflık yükümlülüklerinin ihlali gerekçesiyle resmi işlem başlatmıştır. Bu gelişmeler, DSA'nın AB teknoloji düzenlemesinin temel yaptırım aracı olarak etkinliğini pekiştirdiğini ve Komisyon'un büyük dijital platformlara yönelik denetim kapasitesini artırdığını ortaya koymaktadır.

2026 yılı, ABD'de Texas, Kaliforniya, Colorado ve Illinois gibi eyaletlerde yürürlüğe giren yapay zeka mevzuatının kavramsal aşamadan fiili uygulamaya ve yaptırıma geçtiği kritik bir dönüm noktası olarak değerlendirilmektedir. Küresel alanda ise AB Yapay Zeka Tüzüğü'nün önerilen 'Dijital Omnibus' düzenlemesiyle yeniden kalibre edilmesi ihtimali ve Kanada'nın Yapay Zeka ve Veri Yasası'ndaki (AIDA) ilerleme, sınır ötesi uyum yükümlülüklerini köklü biçimde dönüştürebilecek gelişmeler olarak öne çıkmaktadır. Söz konusu çok katmanlı ve birbirleriyle çakışan düzenleyici çerçeveler, hukuk ve uyum ekiplerinin yalnızca tek bir yargı alanına değil, eş zamanlı olarak birden fazla ulusal ve uluslararası mevzuata uyum sağlamasını zorunlu kılmaktadır.

Avrupa Birliği'nin Dijital Piyasalar Yasası (DMA) kapsamında yürütülen denetim süreçleri, 2025 yılında Apple'a App Store'daki yönlendirme karşıtı kural ihlalleri nedeniyle 500 milyon Euro, Meta'ya ise kullanıcılara gerçek anlamda takip içermeyen bir seçenek sunulmaması gerekçesiyle 200 milyon Euro idari para cezası uygulanmasıyla somut yaptırım boyutuna taşınmıştır. Bunun yanı sıra, Google'ın arama sonuçlarında medya içeriklerine yaklaşımına ilişkin yeni bir AB soruşturması başlatılmış olup Microsoft ve Amazon'un bulut hizmetlerinin 'bekçi' (gatekeeper) statüsüne alınıp alınmayacağına dair değerlendirmeler sürmektedir. Söz konusu değerlendirmelerin 2026 yılındaki bir sonraki gözden geçirme döngüsü öncesinde tamamlanması beklenmektedir.