AB veri kurumundan Google’a 403 milyon euro ceza

Avrupa Birliği’nde dijital gizlilik standartları açısından kritik bir gelişme yaşandı. İrlanda Veri Koruma Komisyonu (DPC), Google Ireland Limited aleyhine yürüttüğü kapsamlı soruşturmanın nihai sonucunu duyurdu. Kurum, teknoloji devine kullanıcıların konum verilerini AB mevzuatına aykırı biçimde işlemesi nedeniyle 403 milyon euro tutarında idari para cezası kesilmesine hükmetti. Bu karar, kişisel veri koruma alanında şirketlerin karşılaştığı en yüksek mali yükümlülüklerden biri olarak öne çıkıyor ve sektördeki denetim mekanizmalarının ciddiyetini bir kez daha gözler önüne seriyor.

Soruşturmanın Kapsamı ve Başlangıcı

Uygulanan yaptırım, çeşitli Avrupa tüketici hakları kuruluşlarının ilettiği şikayetler üzerine başlatılan süreçle şekillendi. İrlanda DPC, 25 Mayıs 2018 ile 4 Şubat 2020 tarihleri arasındaki dönemi inceleyen bir soruşturma yürüttü. Bu süreçte, şirketin veri işleme pratikleri detaylı bir şekilde mercek altına alındı. Soruşturma, yalnızca tek bir ihlali değil, farklı veri kategorilerindeki uygulamaların bütüncül bir analizini içeriyordu. Tüketici örgütlerinin baskısı, denetleyici otoritenin bu konudaki kararlılığını tetikleyen temel faktör oldu.

Cezanın Hukuki Dayanakları

Komisyonun kararı, Google’ın belirli veri işleme faaliyetlerindeki hukuki eksikliklere dayanıyor. Kurum, şirketin şu üç alandaki yükümlülüklerini yerine getirmediğini tespit etti:

• Web uygulama etkinliği ve konum geçmişi verilerinin işlenmesinin hukuka uygunluğu ile adillik ilkelerine uyumunun kanıtlanamaması.
• Konum doğruluğu özelliğindeki kişisel verilerin işlenmesinde hukuka uygunluk, adillik ve şeffaflık ilkelerine tam olarak riayet edilmemesi.
• Söz konusu üç özelliğin tamamına ilişkin şeffaflık yükümlülüklerinin ihlal edilmesi.

Bu maddeler, şirketin kullanıcılarına verilerinin nasıl kullanıldığı konusunda yeterli ve açık bilgi vermediğini, işleme süreçlerinin adil olmadığını gösteriyor. Hukuka uygunluk kanıtının sunulamaması, cezanın temel gerekçesi olarak öne çıkıyor.

İrlanda DPC’nin Yetki Alanı ve Sonraki Adımlar

İrlanda Veri Koruma Komisyonu’nun bu dosyada yetkili otorite olması, Google’ın Avrupa’daki merkezinin İrlanda’da bulunmasından kaynaklanıyor. Bu durum, şirketin AB genelindeki kişisel veri işleme faaliyetleri bakımından başlıca denetleyici konumunu sağlıyor. Kararın ardından İrlanda DPC, Google’a veri işleme faaliyetlerini mevcut mevzuata uygun hale getirmesi için 6 aylık bir süre tanıdı. Bu süre, şirketin tespit edilen ihlalleri gidermesi ve sistemlerini güncellemesi için kritik bir pencere oluşturuyor. Uygulanan ceza ve verilen süre, AB’nin dijital haklar alanındaki denetim kapasitesinin ve yaptırım gücünün somut bir yansıması niteliğinde.