Google'a İrlanda'dan konum verisi cezası: 403 milyon euro

İrlanda'nın veri koruma kurumu, Google'a konum verilerini işleme biçimi nedeniyle 403 milyon euro (yaklaşık 345 milyon sterlin) para cezası verdi. İrlanda Veri Koruma Komisyonu (DPC) tarafından verilen bu ceza, kurumun bu tür dosyalarda uyguladığı en büyük yaptırımlardan biri oldu.

Soruşturma, altı yıl önce bir dizi Avrupalı tüketici hakları kuruluşunun şikayette bulunması üzerine başlatılmıştı. DPC pazartesi günü yaptığı açıklamada, incelemenin Google'ın verileri "hukuka uygun", "adil" veya "şeffaf" olmayan bir şekilde işlediğini tespit ettiğini duyurdu.

İnceleme, Google'ın 25 Mayıs 2018 ile 4 Şubat 2020 arasında üç özellikteki konum verisi işlemesini kapsıyordu: Web ve Uygulama Etkinliği, Konum Geçmişi ve Konum Doğruluğu.

Konum verisi, bir kişinin bulunduğu yerin tahmin edilmesinde kullanılabilecek her türlü veriyi ifade ediyor. DPC başkan yardımcısı Graham Doyle pazartesi günü yaptığı yazılı açıklamada, bu verilerin "bir kişi hakkında, doğası gereği özel olan bilgiler de dahil olmak üzere önemli miktarda bilgi ortaya koyabileceğini" belirtti.

Rapora göre Google'ın uygulamaları, 25 Mayıs 2018'de yürürlüğe giren ve Avrupa Birliği (AB) içinde katı veri gizliliği ve güvenliği kuralları getiren Genel Veri Koruma Tüzüğü'nü (GDPR) ihlal etti.

Kişisel veriler üzerindeki kontrol kaybı

Doyle açıklamasında şu ifadeleri kullandı: "GDPR, Avrupa Ekonomik Alanı (EEA) genelinde kişisel verilerin yüksek düzeyde korunmasını sağlıyor ve kişisel verilerin işlenmesinin hukuka uygun, adil ve şeffaf bir şekilde yapılmasını şart koşuyor."

Doyle, "Google'ın bu eksiklikleri nedeniyle bireyler, konumlarının örneğin reklamlarla kendilerini etkilemek ya da ilgi alanlarını tahmin etmek için kullanıldığından haberdar olmayabilir ve kişisel verileri üzerindeki kontrolünü kaybedebilirdi. Kullanıcıların konum verilerinin gereğinden uzun süre saklanması bu kontrol kaybını daha da ağırlaştırdı" dedi.

Google'a verilen para cezasının yanı sıra, veri işleme faaliyetlerini altı ay içinde mevzuata uygun hale getirmesi de emredildi.

Google yaptığı açıklamada şunları kaydetti: "Bu dava, o dönemden bu yana güncellenen geçmiş politikaları kapsıyor. 2019'dan itibaren uygulamalarımızı önemli ölçüde geliştirdik ve konum verilerini yönetmeyi kolaylaştıran güçlü araçlar devreye aldık."

Şirket, son yıllarda veri korumada iyileştirmeler yaptığını belirterek, tüm kullanıcıların hesaplarının verilerini üç, 18 veya 36 aylık dönemlerle otomatik olarak silmesine olanak tanıyan "sektörde bir ilk" otomatik silme kontrollerini örnek gösterdi.

Google ayrıca kişiselleştirilmiş reklamları tamamen kapatmaya izin veren "basit reklam yönetimi" ve konum verisi uygulamaları ile hesap ayarlarına ilişkin ayrıntılı bilgilerin bir arada sunulduğu "artırılmış şeffaflık" gibi başka önlemler de aldığını duyurdu.

Kararın Avrupa'daki veri kuralları açısından önemi

İrlanda, Google ve Meta gibi birçok büyük teknoloji şirketinin Avrupa merkezlerine ev sahipliği yaptığı için GDPR kapsamındaki denetimlerde önemli bir rol üstleniyor. DPC'nin verdiği kararlar, AB genelinde kişisel verilerin işlenmesine dair standartları şekillendirebiliyor.

GDPR, şirketlere kullanıcıların rızası olmadan kişisel veri toplama ve işleme konusunda ciddi sınırlamalar getiriyor. Mevzuata aykırı işleme yapıldığının tespiti halinde, cironun önemli bir kısmına denk gelebilecek cezalar uygulanabiliyor. Bu davada inceleme, konum verilerinin günlük kullanımdaki işlenme biçimini hedef aldı.