İrlanda Veri Koruma Komisyonu (DPC), Google’ın konum verisi işlemesine ilişkin soruşturmasını 21 Eylül pazartesi günü sonuçlandırdı ve şirkete toplam 403 milyon euro ceza kesti. Kurum, Google’a altı ay içinde uyum sağlama talimatı verdi.
Karar Google’ın üç özelliğini kapsıyor: Web ve Uygulama Etkinliği, Konum Geçmişi ve Konum Doğruluğu. Soruşturma, 25 Mayıs 2018 ile 4 Şubat 2020 arasındaki dönemi inceledi.
DPC’nin tanımına göre Web ve Uygulama Etkinliği yalnızca Google hesabı olan kullanıcılarda bulunan bir ayar. Konum Geçmişi, cihaz yanındayken kullanıcının konumunu izleyen ve zaman çizelgesi özelliğiyle gezileri haritada gösteren bir hizmet. Konum Doğruluğu ise Android cihazlarda konumu GPS’in ötesinde belirleyen ve Google hesabı olmayan kullanıcılarda da çalışan bir ayar.
DPC, şirketin konum verisini hukuka uygunluk ve dürüstlük ilkelerine aykırı işlediğini, şeffaflık yükümlülüğünü üç özellikte de ihlal ettiğini ve veriyi gereğinden uzun sakladığını tespit etti. Kurum ayrıca Google’ın hesap verebilirlik yükümlülüğünü yerine getirmediğini belirtti: şirket Konum Doğruluğu özelliğinde bu ilkelere uyduğunu gösteremedi.
Kararı açıklayan DPC’den sorumlu komiser yardımcısı Graham Doyle, konum verisinin kişisel veri niteliğine dikkat çekti: “Kullanıcıların konum verisinin gereğinden uzun saklanması bu kontrol kaybını ağırlaştırdı.” Kurum, konum verisinin tek başına ya da başka bilgilerle birleştiğinde kişinin nerede olduğunu göstermeye yetebildiğini de ekledi.
Soruşturma Şubat 2020’de Avrupalı tüketici örgütlerinin şikâyetleri üzerine başlatıldı; Avrupa Tüketici Örgütleri Bürosu (BEUC) şikâyetçiler arasında yer aldı. Kararı veri koruma komiserleri Des Hogan, Dale Sunderland ve Niamh Sweeney imzaladı.
DPC, kararın tam metnini ilerleyen günlerde yayımlayacağını duyurdu. Kurumun bugünkü açıklamasında cezanın hangi kalemlere ayrıldığı yer almıyor.
Google, kararın güncellenmiş eski politikalara ilişkin olduğunu savundu. Şirket sözcüsü, “2019’dan itibaren uygulamalarımızı ciddi biçimde geliştirdik ve konum verisini yönetmeyi kolaylaştıran güçlü araçlar sunduk” dedi.
Şirketin getirdiği araçlar arasında verileri otomatik silme ayarları, reklam yönetimi araçları ve verinin nasıl kullanıldığına dair daha fazla şeffaflık var. RTÉ’nin aktardığına göre Google, kararı yasal konularla sınırlı biçimde temyize götürecek.
Karar, Avrupa’daki veri koruma kurumlarının konum ve yapay zekâ dosyalarında sıklaşan denetiminin parçası. İspanya veri koruma kurumu bu ay bir yapay zekâ ajanına bağlanan ilk veri ihlali bildirimini kayda geçirmişti.
Türkiye’de de idari para cezaları aynı eksende ilerliyor: KVKK, 797 sunucuya yayılan fidye yazılımı ihlalinde 1 milyon lira ceza kesmişti.
DPC’nin talimatı Google’a uyum için altı aylık bir süre tanıyor. Kurum, sürenin sonunda işlemenin kurallara uygun hâle gelip gelmediğini değerlendirecek.
Temyiz süreci ve tam kararın yayımlanması, cezanın kesinleşip kesinleşmeyeceğini belirleyecek. Alphabet, kararın mali etkisine ilişkin bir açıklama yayımlamadı.