BfDI: Yeni güvenlik yetkilerine “izin verilmiyor”

İki yıldan kısa bir süre sonra Louisa Specht-Riemenschneider, halefi belirlenir belirlenmez sağlık nedenleriyle Federal Veri Koruma ve Bilgi Edinme Özgürlüğü Komiserliği (BfDI) ofisinden ayrılacak. Ancak kendisi hâlâ geçen yıl yapacak çok işi olan 386 çalışanın patronu. Bu, Specht-Riemenschneider'in Çarşamba günü Berlin'de sunduğu 2025 faaliyet raporundan ortaya çıkıyor.

Buna göre, BfDI geçen yıl 11.824 şikayet ve soruşturma aldı; 2024'e göre üçte bir daha fazla ve dolayısıyla rekor bir seviye: yalnızca GDPR'nin yürürlüğe girdiği 2018'de şikayet düzeyi daha yüksekti. GDPR'nin 33. Maddesi kapsamında sorumlular tarafından bildirilen veri koruma ihlallerinin sayısı da 9.110 gibi yüksek bir seviyede kaldı.

Federal yetkililerin yanı sıra posta ve telekomünikasyon hizmetlerinden de sorumlu olan BfDI, geçen yıl 80 yerinde denetim ve 40 yazılı kontrol prosedürü gerçekleştirdiğini söyledi. Yetkili, toplam 129 “denetleyici tedbirden” söz ediyor. Bunlardan biri Vodafone'a yönelik 45 milyon avroluk para cezasıyla sonuçlanan davaydı.

Yetkili makam, 2025 yılında sağlık verilerine bir kez daha odaklandı. Elektronik hasta kaydı (ePA), veri koruma, veri güvenliği ve kullanıcı dostu olma özellikleri bir araya getirildiğinde daha iyi bakım ve araştırma potansiyeline sahiptir. Pek çok vatandaş ePA'ya açık ancak aynı zamanda hala bilgiye ihtiyaç var. BfDI ayrıca ReguLab ile sağlık sektöründe de çalışıyor.

Veri saklamaya alkış yok

Specht-Rienschneider veda konuşmasında siyaseti yoğun bir şekilde eleştirdi ve iç güvenliğe ilişkin çok sayıda yeni yasayla ilgili endişelerini dile getirdi. Specht-Rienschneider, “Güvenlik yetkilerinin kapsamı ve yoğunluğu artıyor” diye uyardı. Aynı zamanda güvenlik yetkililerinin kontrolü de kısıtlanacak. Veri koruma görevlisi, “Bunun neden bu şekilde olduğunu anlayamıyorum” dedi. Bu ülkede izin verilemeyeceğini düşündüğüm bir yoğunluk” dedi.

Specht-Riemenschneider, veri saklamanın planlanan üçüncü baskısı hakkında uyardı. Veri koruma görevlisi yasa taslağını “çılgınca alkışlayamayacağını” söyledi. Koridor hala çok dar ve Avrupa Adalet Divanı'nın Hadopi kararı da IP bağlantısı veri depolamasına “yalnızca kesinlikle gerekli olan süre boyunca” izin verileceğini hükmetti. Ancak federal hükümet şu ana kadar üç aylık depolama ihtiyacına dair kanıt sunamadı.

Görevden ayrılan veri koruma komiseri, istihbarat yetkilerinin genişletilmesi ve aynı zamanda veri koruma kontrolünden çıkarılması gerektiği gerçeğini “büyük saçmalık” olarak nitelendirdi. Temel haklara müdahale ancak işleyiş ve etkin denetimle haklı gösterilebilir. Specht-Riemenschneider, denetimin federal istihbarat servisinin çalışmasını etkilemesinin imkansız olduğuna inanıyor. “BND'de şu anda 6.500 kişi çalışıyor” diye hesapladı. “Üç kişiyle geliyoruz”

AB yasaları: “Yanlış yön”

Specht-Rienschneider, AB düzeyinde verilerin toplu ticareti ve geçerliliğini yitirmiş e-gizlilik direktifi konusunda eyleme geçilmesi gerektiğini düşünüyor. Ancak şu anda bunların hiçbirini göremiyor: Veri koruma görevlisi, “Benim için her şey yanlış yöne gidiyor” diye eleştirdi. “Veri koruma kanununda önemli olabilecek her şey torba kanunda yer almıyor.”

Ancak veri koruması göz ardı edilmiyor. Bakanlıklar, dijital cüzdan EUDI-Wallet'in Almanca versiyonuna gelince çok dikkatli dinlediler. Yönetimi dijitalleştirirken veri korumayı en baştan düşünmek ve veri korumayla uyumlu hale getirmek imkansız değil. Bunun önkoşulu şeffaflıktır: Vatandaşların haklarını savunabilmeleri için verilerinin nerede kullanıldığını bilmeleri gerekir.

Specht-Riemenschneider, biyometrik bazda “yüz doğrulama” yerine, doğum tarihini aktarmadan yaş doğrulamaya izin veren bir cüzdanı tercih edeceğini vurguladı. Ancak aynı zamanda, EUDI cüzdanı aracılığıyla doğrulanan farklı verilerin bir araya getirilmesi yoluyla bile hiçbir veri çıkışının meydana gelmesine izin verilmemesi sağlanmalıdır.

Henüz cüzdan yok

Specht-Riemenschneider, şu anda bunu kimlik kartının cüzdan bazında tam bir temsili olarak görmediğini vurguladı. Belki de bugünkü kayıtlarda daha iyi saklanması gereken veriler var; ancak Almanya'daki cüzdan uygulamasının duyurulan başlangıcından yedi ay önce, bunun gerçekte ne içermesi gerektiğine dair teknik tasarım konusunda hâlâ bir konsept yok.

İki yıl önce Ulrich Kelber'in halefi olarak görevi devralan Specht-Riemenschneider'ın çizdiği denge, eskisinden daha az iyimser görünüyor. Bazı yerlerde kanunları uygulama yeteneğinden yoksundur. Mesela ABD'deki hukuki yardım anlaşmaları eksik olsaydı ya da uygulanmıyor olsaydı, şu anda söylenecek tek şey şu olurdu: “Bunun iyi bir şey olduğunu düşünmüyoruz.”

Bu nedenle BfDI'nın başka bir gelişmeyi memnuniyetle karşılaması tutarlıdır: tazminat talebi yolunun giderek daha sık kullanılması. Specht-Riemenschneider, hukukun diğer birçok alanında olduğu gibi, özel hukuk ile resmi yaptırımın bir arada bulunmasının doğru olduğunu söylüyor. Federal yetkililere karşı tazminat talepleri de veri korumayı güçlendirmenin mantıklı bir yolu olabilir mi? Görevden ayrılan Federal Veri Koruma Komiseri, şu anda istihbarat servisleri üzerinde sahip olduğu etkisiz kontrol gücü göz önüne alındığında, bu tür fikirler üzerinde tekrar düşünmesi gerektiğini söylüyor.

(vbr)