İrlanda Veri Komisyonu (DPC), sosyal medya devi Instagram’ın 13 yaşından küçük çocukların işletme hesaplarını işletmesine izin vererek Avrupa Birliği’nin Genel Veri Koruma Yönetmeliği’ne (GDPR) uymadığı gerekçesiyle 405 Milyon Euro para cezası verdi. Bu zamana kadar GDPR kapsamında verilen en yüksek ikinci ceza oldu.
Instagram’ın çatı şirketi Meta’nın bir sözcüsü, cezanın hesaplanma şekline itiraz ederek, bunun “GDPR metnine uygun olmadığını” ve bunun diğer GDPR ile ilgili para cezalarından önemli ölçüde daha büyük bir para cezasıyla sonuçlandığını savundu.
Soruşturma, Eylül 2020’de başlatıldı
DPC tarafından yürütülen soruşturma, üçüncü bir taraftan gelen bir bilgiye yanıt olarak 21 Eylül 2020’de başlatılmıştı. Soruşturma konusu ise Instagram işletme hesabı özelliğini kullanan 13-17 yaş arası çocukların e-posta adreslerinin ve telefon numaralarının, kamuya açıklanmasını ve çocukların kişisel Instagram hesapları için varsayılan olarak herkese açık ayarını içeriyordu.
Soruşturmasının ardından DPC, AB’deki emsal düzenleyicilere bir karar taslağı sundu. Sunulan taslağa ulusal düzenleyicilerden altısı itirazda bulundu ve DPC itirazlar konusunda diğer düzenleyicilerle fikir birliğine varamadı. Davayı Avrupa Veri Koruma Kurulu’na (EDPB) havale etti.
EDPB , davayla ilgili bağlayıcı kararını Temmuz ayında kabul ederek pek çok itirazı reddetti. Ancak, DPC’nin, verilerin yasal olarak işlenmesine atıfta bulunan bir GDPR maddesinin ihlali bulgusunu içerecek şekilde taslak kararını değiştirmesini ve önerilen para cezalarını yeniden değerlendirmesini gerektiren itirazları onayladı.
DPC’nin ilk taslak kararında 405 milyon Euro’ya kadar para cezası önermişti. EDPB’nin kararı dikkate alınarak Instagram’a verilen para cezası, Madde 6(1)’in ihlali nedeniyle 20 milyon Euro’luk bir para cezası da dahil olmak üzere toplam 405 milyon Euro olarak belirlendi.
Instagram, Temmuz 2021’de bu konu kapsamında yeni özellik duyurdu
Bu idari para cezalarına ek olarak, DPC ayrıca Meta’nın bu konuda bir dizi düzeltici önlem alarak işlemesini uygun hale getirmesini gerektiren bir emir de getirdi. Şirket bu kapsamda, Temmuz 2021’de Birleşik Krallık ve Avrupa Birliği’ndeki tüm yeni 18 yaş altı kullanıcı hesaplarını varsayılan olarak gizli yapmaya başladığını duyurmuştu.
