İrlanda Veri Koruma Komisyonu, teknoloji şirketinin üç farklı Google özelliğinde Avrupa Birliği’nin kişisel verilerin korunmasına ilişkin kurallarını ihlal ettiğine karar verdi. Google’a uygulamalarını değiştirmesi için altı ay süre tanındı.

İrlanda Veri Koruma Komisyonu’nun (DPC) yıllardır devam eden Google soruşturmasında karar çıktı.  Avrupa’daki çeşitli tüketici kuruluşlarının şikayetlerinin ardından Şubat 2020’de başlatılan soruşturmada, Google’ın kullanıcıların konum bilgilerini nasıl topladığı, kullandığı ve sakladığı mercek altına alındı.

İnceleme, Avrupa Birliği Genel Veri Koruma Tüzüğü’nün (GDPR) uygulanmaya başladığı 25 Mayıs 2018’den 4 Şubat 2020’ye kadar olan dönemi kapsadı.

Google’ın üç özelliği incelendi

Soruşturmanın merkezinde “Web ve Uygulama Etkinliği”, “Konum Geçmişi” ve “Konum Doğruluğu” olmak üzere üç Google özelliği yer aldı.

DPC, Web ve Uygulama Etkinliği ile Konum Geçmişi üzerinden gerçekleştirilen konum verisi işlemlerinde hukuka uygunluk ve adillik ilkelerinin ihlal edildiği sonucuna vardı. Konum Doğruluğu dahil incelenen uygulamalarda şeffaflık ve hesap verebilirlik konusunda da ihlaller tespit edildi.

Düzenleyici kurumun üzerinde durduğu konulardan biri de kullanıcıların konum bilgilerinin ne amaçla kullanıldığını yeterince anlayıp anlayamadığı oldu.

DPC Başkan Yardımcısı Graham Doyle, tespit edilen eksiklikler nedeniyle kullanıcıların konum bilgilerinin reklamları etkilemek veya ilgi alanlarını belirlemek amacıyla kullanıldığından haberdar olmayabileceklerine dikkat çekti. Konum bilgilerinin gerekenden uzun süre tutulmasının da kişilerin kendi verileri üzerindeki kontrol kaybını ağırlaştırdığı belirtildi.

Ceza 403 milyon euro

Soruşturma sonucunda Google Ireland Limited hakkında toplam 403 milyon euro idari para cezasına karar verildi.

Bu rakam, İrlanda Veri Koruma Komisyonu’nun GDPR kapsamında bugüne kadar verdiği en yüksek cezalardan biri oldu. Reuters’a göre 403 milyon euroluk yaptırım, kurumun verdiği cezalar arasında büyüklük bakımından dördüncü sırada bulunuyor.

İrlanda’nın bu dosyada öne çıkmasının nedeni ise Google’ın Avrupa operasyonlarının merkezinin ülkede bulunması. Bu nedenle DPC, Google’ın AB kapsamındaki birçok veri işleme faaliyeti açısından başlıca denetleyici kurum konumunda.

Google ne diyor?

Google ise kararın geçmişte uygulanan politikalara ilişkin olduğuna dikkat çekiyor.

Şirket, 2019’dan itibaren konum bilgilerinin yönetilmesine ilişkin uygulamalarını önemli ölçüde değiştirdiğini ve kullanıcılara konum verileri üzerinde daha fazla kontrol sağlayan araçlar sunduğunu açıkladı.

Ancak DPC’nin kararı yalnızca geçmişteki uygulamalara para cezası verilmesiyle sınırlı değil. Google’ın ilgili veri işleme faaliyetlerini GDPR’ye uygun hale getirmesi de gerekiyor.

Peki şimdi ne olacak?

Kararın ardından Google açısından iki ayrı süreç önem taşıyor.

Birincisi, şirketin DPC tarafından tespit edilen sorunları gidermesi gerekiyor. Düzenleyici kurum bunun için Google’a altı aylık süre verdi. Bu süre içerisinde ilgili konum verisi işleme uygulamalarının GDPR hükümleriyle uyumlu hale getirilmesi isteniyor.

İkincisi ise 403 milyon euroluk cezanın hukuki süreci.

İrlanda’daki sistem gereği DPC tarafından kesilen para cezaları doğrudan tahsil edilmiyor. Bir cezanın ödenebilir hale gelmesi için mahkeme tarafından onaylanması gerekiyor.

Google karara itiraz etmezse DPC, cezanın onaylanması için İrlanda Circuit Court’a başvuruyor. Mahkeme cezayı onayladıktan sonra şirkete ödeme bildirimi gönderiliyor ve tutarın 28 gün içinde ödenmesi gerekiyor.

Google itiraz ederse ne olur?

Şirketin karara karşı hukuki yollara başvurma seçeneği bulunuyor.

Google’ın itiraz etmesi durumunda 403 milyon euroluk ceza, dava devam ederken tahsil edilemiyor. İrlanda Veri Koruma Komisyonu’nun açıkladığı prosedüre göre bu tür itirazlar cezanın miktarına bağlı olarak Circuit Court veya High Court önüne gidebiliyor.

Dolayısıyla açıklanan 403 milyon euro, Google’ın bugün itibarıyla İrlanda makamlarına hemen yatıracağı bir para anlamına gelmiyor. Kararın kesinleşme ve olası itiraz süreci ayrıca takip edilecek.

Kullanıcılar açısından ne değişebilir?

Kararın kullanıcılar bakımından en önemli sonucu, Google’ın konum bilgilerinin hangi şartlarda toplandığını, ne kadar süre tutulduğunu ve hangi amaçlarla kullanıldığını daha açık ve GDPR ile uyumlu hale getirmek zorunda olması.

DPC’nin kararı, Google’ın bütün konum özelliklerini kapatacağı anlamına gelmiyor. Düzenleyicinin talebi, söz konusu kişisel verilerin işlenmesinin hukuka uygun, adil ve şeffaf hale getirilmesi.

Google’ın 2019’dan bu yana sistemlerinde değişiklik yaptığını açıklaması nedeniyle altı aylık süreçte hangi ek düzenlemelerin yapılması gerekeceği de kararın uygulanmasında önem taşıyacak.

Google için dosya kapanmış değil

403 milyon euroluk kararla birlikte Google üzerindeki Avrupa veri denetimi de sona ermiyor.

DPC, Google hakkında üç ayrı yasal soruşturmanın daha devam ettiğini ve bunların ileri aşamada olduğunu açıkladı. Bu nedenle şirketin Avrupa’daki kişisel veri uygulamalarına ilişkin yeni kararların önümüzdeki dönemde gündeme gelmesi mümkün.

Son karar ise özellikle konum verilerinin sıradan bir teknik bilgi olarak değerlendirilemeyeceğini bir kez daha gündeme taşıdı. Bir kişinin düzenli olarak bulunduğu yerler; çalışma hayatından günlük alışkanlıklarına, ilgi alanlarından özel yaşamına kadar çok sayıda bilgi çıkarılmasına imkan verebildiği için Avrupa veri koruma hukukunda konum bilgilerinin nasıl işlendiği yakından denetleniyor.