Google, Avrupa Birliği’nin veri koruma kurallarını konum verilerini işleme biçimi nedeniyle ihlal ettiği gerekçesiyle İrlanda’da 403 milyon euro para cezasına çarptırıldı. İrlanda Veri Koruma Komisyonu, şirketin üç farklı özelliği üzerinden Mayıs 2018 ile Şubat 2020 arasında yürütülen işlemlerde GDPR’a aykırı davrandığını belirledi.
Karar, özellikle Web & App Activity, Location History ve Location Accuracy özelliklerinin konum verisini nasıl topladığı, ne kadar süre sakladığı ve kullanıcıya ne kadar açık biçimde anlattığına odaklanıyor. Kurum, Google’a veri işleme süreçlerini altı ay içinde yasaya uygun hale getirme talimatı da verdi. Ancak hangi işlem akışının bu emre dahil olduğu kamuoyuna açıklanmadı; komisyonun tam karar metninin daha sonra yayımlanacağı aktarıldı.
Üç özellik, üç ayrı uyum sorunu
Web & App Activity, kullanıcı etkinleştirdiğinde Google’ın kendi siteleri ve uygulamalarındaki kullanım verilerini işlemesine izin veren bir hesap ayarı olarak çalışıyor. Bu veriler arasında konum bilgisi de yer alabiliyor. Location History ise kullanıcıların açık onay vermesiyle devreye giriyor ve kişi Google hizmetini kullanmıyor olsa bile oturum açılmış mobil cihazın nerede bulunduğunu kaydediyor.
Komisyon, bu iki özellikte Google’ın hem hukuka uygun ve adil işleme hem de şeffaflık kurallarını ihlal ettiğini değerlendirdi. İncelemeye göre şirket, konum verisini gerektiğinden uzun süre tuttu. Düzenleyici kurumun bulguları, kullanıcıların verilerinin hangi amaçlarla işlendiğini yeterince anlayamadan sistemde kaldığı yönünde.
Location Accuracy tarafındaki bulgular ise daha dar kapsamda kaldı. Android’de çalışan bu özellik, cihazın yerini yalnızca GPS’e kıyasla daha hassas şekilde belirliyor ve bir Google hesabı olsun ya da olmasın Android kullanıcılarına açık. Komisyon, bu işlem için Google’ın şeffaflık kurallarını ve GDPR’ın hesap verebilirlik yükümlülüklerini ihlal ettiğine hükmetti; şirketin bu işlemenin hukuka uygun, adil ve şeffaf olduğunu kanıtlayamadığı belirtildi.
İrlanda Veri Koruma Komisyonu Başkan Yardımcısı Graham Doyle, eksiklerin insanların konum bilgilerinin örneğin reklamları etkilemek veya ilgi alanlarını çıkarmak için kullanıldığından habersiz kalmasına yol açabileceğini söyledi. Doyle’a göre kişisel veriler üzerindeki kontrolün kaybı, konum bilgisinin uzun süre saklanmasıyla daha da büyüyor.
Verilen 403 milyon euroluk ceza, komisyonun bugüne kadar açıkladığı en yüksek dördüncü yaptırım oldu. Ancak para cezası hemen tahsil edilmeyecek. İrlanda hukukuna göre cezanın ödenebilir hale gelmesi için önce bir İrlanda mahkemesinin kararı onaylaması gerekiyor. Google da resmi bildirimden itibaren 28 gün içinde Yüksek Mahkeme’ye itiraz edebilecek.
Şirket, Associated Press tarafından aktarılan açıklamasında dosyanın “sonradan güncellenmiş eski politikalara” dayandığını savundu ve 2019’dan bu yana uygulamalarında ciddi değişiklikler yaptığını belirtti. Google’ın bu dönemde attığı adımlar arasında, Mayıs 2019’da Location History ve Web & App Activity için otomatik silme kontrollerini duyurması yer alıyor. Bu seçenekler, kullanıcıların verilerini 3 ay ya da 18 ay sonunda otomatik silecek şekilde ayarlanabiliyordu.
Haziran 2020’de Google, yeni hesaplarda Web & App Activity için 18 aylık otomatik silmeyi varsayılan hale getirdi. Location History’yi ilk kez açan kullanıcılar için de aynı varsayılan geçerli oldu. Aralık 2023’te ise Google Maps içindeki Timeline özelliği için yeni bir değişiklik duyuruldu. Buna göre konum geçmişi artık kullanıcıların cihazında tutulacaktı ve Location History’yi ilk kez etkinleştirenler için otomatik silme varsayılanı 3 aya çekilecekti.
Komisyon, bu değişikliklerin verilen emri karşılayıp karşılamadığını kamuoyuna söylemedi.
Soruşturmanın başlangıcı Şubat 2020’ye uzanıyor. Avrupa’daki tüketici örgütlerinden gelen şikayetler üzerine açılan incelemede, BEUC üyesi gruplar Kasım 2018’de ulusal veri koruma otoritelerine başvurmuştu. Komisyonun değerlendirdiği dönem, incelemenin başlatıldığının duyurulduğu 4 Şubat 2020 günü sona eriyor.
Kararın açıklanması, soruşturmanın açılmasından 6,5 yıldan fazla zaman sonra geldi. NewsIreland.EU’nun aktardığı değerlendirmede BEUC Genel Direktörü Agustín Reyna, kararı memnuniyetle karşıladıklarını ancak sürecin fazla uzadığını söyledi. Reyna, “Geç gelen yaptırım, yaptırım olmaması kadar zararlı olabilir” ifadesini kullandı.