İrlanda Veri Koruma Komisyonu (DPC), Google Ireland Limited hakkında yürüttüğü soruşturmanın nihai kararını açıkladı. 25 Mayıs 2018 ile 4 Şubat 2020 arasındaki dönemi kapsayan incelemede Google’ın “Web & App Activity”, “Location History” ve “Location Accuracy” özellikleri üzerinden konum verilerini işleme biçimi değerlendirildi. DPC, şirketin bazı işlemlerinin Avrupa Birliği Genel Veri Koruma Tüzüğü’ne (GDPR) aykırı olduğuna karar verdi.
Google’a 403 milyon avro ceza
DPC, Google’ın söz konusu özellikler üzerinden konum verilerini işlemesinde hukuka uygunluk, adillik ve şeffaflık yükümlülüklerini yerine getirmediğine hükmetti. Kurum ayrıca Google’ın belirli konum verilerini gereğinden uzun süre saklamasının da kullanıcıların verileri üzerindeki kontrolünü azalttığını belirtti. Bu tespitlerin ardından Google’a toplam 403 milyon avro idari para cezası uygulanmasına karar verildi. Karar, İrlanda’nın Google açısından AB içindeki başlıca veri koruma denetim makamı olması nedeniyle DPC tarafından alındı.
Konum verileri reklamları etkileyebilir
DPC Başkan Yardımcısı Graham Doyle, konum bilgilerinin kişilerin günlük hareketleri ve alışkanlıkları hakkında kapsamlı bilgiler ortaya çıkarabileceğine dikkat çekti. Doyle, Google’ın uygulamalarındaki eksiklikler nedeniyle kullanıcıların konum bilgilerinin reklamları etkilemek veya kullanıcıların ilgi alanlarını çıkarmak amacıyla kullanılabileceğinin farkında olmayabileceğini belirtti. Kuruma göre konum verilerinin gereğinden uzun süre saklanması da kullanıcıların kişisel verileri üzerindeki kontrol kaybını artırdı.
Google’ın 6 ay içinde düzenleme yapması gerekiyor
Para cezasının yanı sıra Google’a, konum verilerinin işlenmesine ilişkin uygulamalarını GDPR’a uygun hale getirmesi için 6 ay süre verildi. DPC, Google’ın ilgili üç özellikteki veri işleme faaliyetlerini hukuka uygunluk ve şeffaflık ilkeleriyle uyumlu hale getirmesini istedi. Soruşturma, Avrupa’daki çeşitli tüketici hakları kuruluşlarından gelen şikayetlerin ardından 2020 yılında başlatılmıştı. Şikayetlerde Google’ın konum verilerini hangi hukuki temele dayanarak işlediği ve kullanıcıları bu konuda ne ölçüde bilgilendirdiği sorgulanmıştı.
İnceleme Google’ın üç özelliğini kapsadı
DPC’nin incelemesinde üç ayrı özellik mercek altına alındı. “Web & App Activity”, Google hizmetlerinde gerçekleştirilen etkinliklerle birlikte bazı konum verilerinin işlenmesini; “Location History”, kullanıcının hareketleri ve ziyaret ettiği yerlerle ilgili konum bilgilerinin kaydedilmesini; “Location Accuracy” ise Android cihazlarda konumun daha hassas belirlenmesini sağlıyor. DPC, Google’ın bu özelliklerde konum verilerinin işlenmesi konusunda yeterli şeffaflığı sağlayamadığı ve bazı işlemler bakımından GDPR yükümlülüklerini yerine getiremediği sonucuna vardı.
Google’dan henüz açıklama gelmedi
Kararın ardından Google’ın konuya ilişkin kamuoyuna yönelik açıklaması henüz yayımlanmadı. DPC ise Google’ın uygulamalarını 6 aylık süre içinde mevzuata uygun hale getirmesini istedi. İrlanda Veri Koruma Komisyonu, Google’ın Avrupa merkezinin İrlanda’da bulunması nedeniyle şirketin Avrupa’daki veri işleme faaliyetleri bakımından başlıca denetleyici makam konumunda bulunuyor.
