AB’den Google’a 403 milyon avroluk konum verisi cezası
Avrupa Birliği'nde kişisel verilerin korunması kapsamında Google’a yönelik yürütülen soruşturma tamamlandı. Google Ireland Limited hakkında karar veren İrlanda Veri Koruma Komisyonu (DPC), şirketin kullanıcıların konum verilerini belirli Google hizmetleri ve özellikleri üzerinden işlemesinde AB kurallarına aykırılıklar bulunduğuna hükmetti.
DPC’nin 21 Eylül 2026 tarihli kararına göre Google’a toplam 403 milyon avro idari para cezası uygulanırken, şirketin veri işleme faaliyetlerini 6 ay içerisinde mevzuata uygun hale getirmesine karar verildi.
Soruşturmanın odağında konum verileri vardı
Soruşturma, Avrupa’daki çeşitli tüketici hakları kuruluşlarının Google’ın konum verilerini işlemesine ilişkin şikayetlerinin ardından başlatıldı.
İrlanda Veri Koruma Komisyonu, Google’ın Avrupa’daki merkezi İrlanda’da bulunduğu için şirketin AB kapsamındaki kişisel veri işleme faaliyetlerinde başlıca denetleyici otorite konumunda bulunuyor. DPC, soruşturmayı Şubat 2020'de kendi inisiyatifiyle başlattı.
İncelemenin kapsamına “Web ve Uygulama Etkinliği”, “Konum Geçmişi” ve “Konum Doğruluğu” özellikleri girdi. Soruşturma, GDPR’ın uygulanmaya başladığı 25 Mayıs 2018 ile 4 Şubat 2020 arasındaki dönemi kapsadı.
Google’ın hangi uygulamaları incelendi?
DPC kararında, Google’ın Web ve Uygulama Etkinliği ile Konum Geçmişi kapsamında konum verilerini işlemesinin hukuka uygunluğu ve adilliğiyle ilgili ihlaller tespit edildi.
Ayrıca Google’ın Konum Doğruluğu özelliğinde kişisel verilerin işlenmesine ilişkin hukuka uygunluk, adillik ve şeffaflık ilkelerine uyduğunu gösterecek yeterli kanıt sunamadığı belirtildi.
Kararda, söz konusu üç özellik bakımından Google’ın şeffaflık yükümlülüklerini de yerine getirmediği ifade edildi. DPC ayrıca Web ve Uygulama Etkinliği ile Konum Geçmişi kapsamında konum verilerinin gerekli olandan daha uzun süre tutulmasını da ihlal başlıkları arasında değerlendirdi.
“Kullanıcılar konum bilgilerinin nasıl kullanıldığından habersiz kalabilir”
DPC tarafından yapılan değerlendirmede, konum verilerinin kişisel veri niteliğine dikkat çekildi. Komisyon, konum bilgilerinin kişinin bulunduğu yerin yanı sıra başka bilgilerle birlikte kişinin hareketleri ve ilgi alanları hakkında önemli çıkarımlar yapılmasına imkan verebileceğini belirtti.
DPC, Google’ın söz konusu veri işleme faaliyetlerindeki eksiklikleri nedeniyle kullanıcıların konum bilgilerinin örneğin reklamları etkilemek veya ilgi alanlarını belirlemek amacıyla kullanılabileceğinden haberdar olmayabileceğini ve kişisel verileri üzerindeki kontrolünü kaybedebileceğini değerlendirdi. Komisyon ayrıca konum verilerinin gerekli süreden daha uzun süre saklanmasının bu kontrol kaybını artırdığını belirtti.
Google’a 6 aylık süre
İrlanda Veri Koruma Komisyonu, uygulanan 403 milyon avroluk para cezasının yanı sıra Google’ın veri işleme faaliyetlerini 6 ay içerisinde GDPR kurallarına uygun hale getirmesine hükmetti.
DPC, kararın ayrıntılı metninin daha sonra yayımlanacağını da bildirdi.
Google’a yönelik karar, Avrupa Birliği’nde kişisel verilerin işlenmesi ve kullanıcıların konum bilgilerinin korunmasına ilişkin denetimlerin devam ettiğini gösteren son gelişme oldu.
