Kaliforniya Başsavcısı Rob Bonta, Pazartesi günü yaptığı açıklamada, genetik test şirketi 23andMe'nin iflas sürecinde eyaletin 6 milyon dolarlık tazminat ödemesi alacağını duyurdu. 2023 yılında meydana gelen veri ihlali, milyonlarca müşterinin genetik ve kişisel bilgilerini açığa çıkarmış, ihlalden 855 binden fazla Kaliforniyalı etkilenmişti. Anlaşma, Kaliforniya'nın 23andMe'ye karşı yürüttüğü hukuki mücadelenin bir parçası olarak iflas sürecinde çözüme kavuştu.
Veri İhlalinin Arka Planı
23andMe, kullanıcılarından topladığı DNA örnekleri ve kişisel bilgilerle genetik soy araştırmaları sunan bir şirket olarak biliniyor. 2023'te ortaya çıkan ihlal, şirketin güvenlik açıkları nedeniyle milyonlarca kullanıcının hassas verilerinin çalınmasıyla sonuçlandı. Saldırganlar, kullanıcıların genetik mirasları, aile bağlantıları ve sağlık risklerine dair özel bilgilere erişim sağladı. Bu durum, özellikle genetik verilerin kalıcılığı ve değiştirilemezliği göz önüne alındığında ciddi gizlilik endişeleri yarattı.
Kaliforniya, ABD'de veri gizliliği konusunda en sıkı düzenlemelere sahip eyaletlerden biri. Başsavcı Bonta, yaptığı açıklamada, "Şirketler, kullanıcılarının en hassas bilgilerini korumakla yükümlüdür. Bu anlaşma, veri ihlallerinin sonuçsuz kalmayacağını gösteriyor" ifadelerini kullandı. 6 milyon dolarlık ödeme, doğrudan etkilenen bireylere tazminat olarak dağıtılacak mı yoksa eyalet hazinesine mi aktarılacak henüz netleşmedi. Ancak anlaşmanın, 23andMe'nin iflas sürecinde alacaklılarla yapılan görüşmelerin bir parçası olduğu belirtiliyor.
23andMe, iflas başvurusunu geçtiğimiz yıl yapmıştı. Şirket, veri ihlalinin ardından artan hukuki maliyetler ve itibar kaybıyla mücadele ediyordu. İflas süreci, şirketin varlıklarının satışı ve alacaklılara dağıtımı konusunda karmaşık bir hal almış durumda. Kaliforniya'nın elde ettiği bu anlaşma, diğer eyaletler ve etkilenen bireyler için emsal teşkil edebilir.
Küresel Boyut ve Veri Güvenliği
23andMe veri ihlali, yalnızca ABD'yi değil, dünya genelinde milyonlarca kullanıcıyı etkiledi. Genetik test hizmetleri, kişilerin en mahrem bilgilerini içerdiğinden, siber saldırıların hedefi haline geliyor. Bu tür ihlaller, veri koruma yasalarının yetersizliğini ve şirketlerin güvenlik önlemlerinin sorgulanmasını gündeme getiriyor. Avrupa Birliği'nde GDPR kapsamında benzer ihlallerde yüksek cezalar uygulanırken, ABD'de eyalet bazlı düzenlemeler farklılık gösteriyor.
Uzmanlar, genetik verilerin uzun vadeli risklerine dikkat çekiyor: Çalınan DNA bilgileri, sigorta şirketleri veya işverenler tarafından ayrımcılık amacıyla kullanılabilir. Ayrıca, verilerin karanlık web'de satışa çıkarılması, kimlik hırsızlığı ve dolandırıcılık riskini artırıyor. 23andMe vakası, biyoteknoloji ve sağlık verisi sektörlerinde siber güvenlik standartlarının yeniden gözden geçirilmesi gerektiğini gösteriyor.
Kaliforniya'nın aldığı tazminat, eyaletlerin veri ihlalleri karşısında daha agresif bir tutum sergileyebileceğinin işareti. Benzer şekilde, Türkiye'de de Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında cezalar uygulanıyor ancak yaptırımların caydırıcılığı tartışılıyor. Küresel ölçekte, veri ihlallerinin sınır aşan doğası, uluslararası işbirliğini zorunlu kılıyor.
Türkiye Açısından Değerlendirme
23andMe veri ihlali, Türkiye'yi doğrudan etkilemese de genetik verilerin korunması ve siber güvenlik konusunda önemli dersler içeriyor. Türkiye'de de genetik test hizmetleri sunan şirketler faaliyet gösteriyor ve KVKK kapsamında hassas veri kategorisinde değerlendirilen genetik bilgilerin korunması kritik. Bu olay, Türkiye'nin veri koruma mevzuatını güçlendirmesi ve denetimleri artırması gerektiğini gösteriyor. Ayrıca, biyoteknoloji alanında uluslararası işbirliklerinde veri güvenliği standartlarının önemi artıyor. Türk şirketlerinin benzer ihlallerde karşılaşabileceği yaptırımlar ve itibar kaybı, önleyici tedbirlerin gerekliliğini ortaya koyuyor.
