BfDI: Yeni güvenlik yetkilerine “izin verilmiyor”

Louisa Specht-Riemenschneider, iki yıldan kısa bir süre sonra, halefi belirlenir belirlenmez sağlık nedenleriyle Federal Veri Koruma ve Bilgi Edinme Özgürlüğü Komiseri (BfDI) görevinden ayrılacak. Ama hâlâ geçen sene yapacak çok işi olan 386 çalışandan sorumlu. Bu, Çarşamba günü Berlin'de Specht-Riemenschneider tarafından sunulan 2025 faaliyet raporundan ortaya çıkıyor.

Bu verilere göre, geçen yıl BfDI 11.824 şikayet ve talep aldı; bu, 2024'e kıyasla üçte bir oranında daha fazla ve dolayısıyla rekor bir seviye: yalnızca GDPR'nin yürürlüğe girdiği yıl olan 2018'de şikayetlerin düzeyi daha yüksekti. GDPR'nin 33. Maddesi kapsamında kontrolörler tarafından bildirilen veri koruma ihlallerinin sayısı da 9.110 ile yüksek kaldı.

Federal yetkililerin yanı sıra posta ve telekomünikasyon hizmetlerinden de sorumlu olan BfDI, geçen yıl 80 yerinde denetim ve 40 yazılı kontrol prosedürü gerçekleştirdiğini söyledi. Kurum toplam 129 “denetim tedbirinden” bahsediyor. Bunlardan biri Vodafone'a açılan ve 45 milyon euroluk cezayla sonuçlanan davaydı.

2025 yılında otorite sağlık verilerine daha fazla odaklandı. Elektronik sağlık kaydı (ePA), veri koruma, veri güvenliği ve kullanım kolaylığı bir araya getirildiğinde bakım ve araştırmayı iyileştirme potansiyeline sahiptir. Pek çok vatandaş ePA'ya açık ancak aynı zamanda hala bilgiye ihtiyaç var. BfDI ayrıca ReguLab ile sağlık sektöründe de faaliyet göstermektedir.

Veri saklamaya alkış yok

Specht-Rienschneider izindeyken politikayı yoğun bir şekilde eleştirdi ve çok sayıda yeni iç güvenlik yasasıyla ilgili endişelerini dile getirdi. Specht-Rienschneider, “Güvenlik yetkilerinin kapsamı ve yoğunluğu artıyor” uyarısında bulundu. Aynı zamanda güvenlik yetkililerinin kontrolü de sınırlı olacak. Veri koruma görevlisi, “Olayların neden bu şekilde olduğunu anlayamıyorum” dedi. Bu ülkede izin verilemeyeceğini düşündüğüm bir yoğunluk” dedi.

Specht-Riemenschneider, veri saklamanın planlanan üçüncü baskısı hakkında uyardı. Veri koruma görevlisi tasarıyı “çılgınca alkışlayamayacağını” söyledi. Koridor hala çok dar ve Avrupa Adalet Divanı'nın Hadopi kararı bile IP bağlantı verilerinin saklanmasına “yalnızca kesinlikle gerekli olan süre boyunca” izin verildiğini kabul etti. Ancak federal hükümet şu ana kadar üç aylık depolama ihtiyacına dair kanıt sunamadı.

Görevden ayrılan veri koruma komiseri, istihbarat yetkilerinin genişletilmesi ve aynı zamanda veri koruma incelemesinden çıkarılması gerektiğini “büyük saçmalık” olarak nitelendirdi. Temel haklara müdahale ancak işleyiş ve etkin denetimle haklı gösterilebilir. Specht-Riemenschneider, denetimin federal bir bilgi servisinin çalışmasını etkilemesinin imkansız olduğuna inanıyor. “BND'de şu anda 6.500 kişi çalışıyor” diye hesapladı. “Üç kişiyle geliyoruz.”

AB yasaları: “Yanlış yön”

Specht-Rienschneider, AB düzeyinde toplu veri ticareti ve geçerliliğini yitirmiş e-gizlilik direktifi konusunda eyleme geçilmesi gerektiğini düşünüyor. Ancak şimdilik bunların hiçbirini göremiyor: Veri koruma görevlisi “Benim için her şey yanlış yöne gidiyor” diye eleştirdi. “Veri koruma kanununda önemli olabilecek her şey torba kanunda yer almıyor.”

Ancak veri koruması göz ardı edilmez. Bakanlıklar, dijital cüzdan EUDI-Wallet'in Almanca versiyonuna gelince çok dikkatli dinlediler. İdareyi dijitalleştirirken veri korumayı en baştan düşünmek ve onu veri koruma uyumlu hale getirmek imkansız değildir. Bunun önkoşulu şeffaflıktır: Vatandaşların haklarını savunabilmeleri için verilerinin nerede kullanıldığını bilmeleri gerekir.

Specht-Riemenschneider, doğum tarihini biyometrik tabanlı “yüz doğrulamaya” aktarmadan yaş doğrulamaya izin veren bir cüzdanı tercih edeceğini vurguladı. Ancak aynı zamanda, EUDI cüzdanı aracılığıyla doğrulanan farklı verilerin toplanması yoluyla bile hiçbir veri sızıntısının meydana gelmemesi sağlanmalıdır.

Henüz cüzdan yok

Specht-Riemenschneider, şu anda bunu cüzdan açısından kimlik kartının tam bir temsili olarak görmediğini vurguladı. Belki de bugün oldukları yerde kayıtlarda daha iyi saklanması gereken veriler var – ancak Alman cüzdanının uygulamaya konulmasının duyurulduğu tarihten yedi ay önce, bunun gerçekte ne içermesi gerektiğine dair teknik tasarım konusunda hala bir konsept yok.

İki yıl önce Ulrich Kelber'in yerine geçen Specht-Riemenschneider'in hazırladığı değerlendirme, eskisinden daha az iyimser görünüyor. Bazı yerlerde yasayı uygulama kapasitesi yoktur. Mesela ABD'de hukuki yardım anlaşmaları eksik olsaydı veya uygulanmasaydı şu anda söylenecek başka bir şey olmazdı: “Bunun iyi bir şey olduğunu düşünmüyoruz”.

Bu nedenle BfDI'nın başka bir gelişmeyi memnuniyetle karşılaması tutarlıdır: zararlar için tazminat talep etme yolunun giderek daha fazla takip edilmesi. Specht-Riemenschneider, hukukun diğer birçok alanında olduğu gibi, özel hukuk ile resmi yaptırımın bir arada bulunmasının doğru olduğunu söylüyor. Federal yetkililere karşı tazminat talepleri de veri korumayı güçlendirmenin mantıklı bir yolu olabilir mi? Görevden ayrılan federal veri koruma komiseri, şu anda gizli servisler üzerinde sahip olduğu etkisiz kontrol göz önüne alındığında, bu fikirleri yeniden gözden geçirmesi gerektiğini söylüyor.

(vbr)