Google, Mayıs 2018 ile Şubat 2020 arasında üç özelliğinin konum verilerini işleme biçimi nedeniyle AB'nin veri koruma yasası GDPR'ı ihlal ettiği gerekçesiyle 403 milyon euro para cezasına çarptırıldı.
İrlanda Veri Koruma Komisyonu DPC, AB'de Google'ın baş düzenleyicisi olarak şirketin işlemlerini altı ay içinde yasaya uygun hale getirmesini de emretti. DPC, emrin hangi işlemleri kapsadığını kamuoyuna açıklamadı ve tam kararının daha sonra yayımlanacağını belirtti.
Üç özellik Web & App Activity, Location History ve Location Accuracy'dir.
Web & App Activity, açık olduğunda Google'ın sitelerindeki ve uygulamalarındaki kullanıcı etkinliği verilerini işlemesine izin veren bir Google hesabı ayarlarıdır. Bu veriler konumu da içerebilir. Location History, kullanıcıların oturum açmış mobil cihazlarıyla gittikleri yerleri takip eder ve kullanıcıların açık rızasıyla çalışır; Google hizmeti kullanılmasa bile kayıt yapar.
Her iki durumda da DPC, Google'ın GDPR'ın yasal ve adil işleme kurallarını ve şeffaflık kurallarını ihlal ettiğini ve konum verilerini gerekli süreden daha uzun süre sakladığını tespit etti.
Location Accuracy, Android'de GPS'ten daha kesin konum belirlemeyi sağlayan bir özelliktir ve Google hesabı olan ya da olmayan Android kullanıcılarına sunulur. Bu özellik için DPC'nin bulguları daha dar kapsamlıdır.
Google, bu işlemin yasal, adil ve şeffaf olduğunu gösteremediği için şeffaflık kurallarını ve GDPR'ın hesap verebilirlik kurallarını ihlal etti.
DPC Başkan Yardımcısı Graham Doyle, bu eksiklikler nedeniyle insanların konumlarının reklamları etkilemek veya ilgi alanlarını çıkarmak için kullanıldığının farkında olmayabileceğini söyledi. Kişisel veriler üzerinde kontrol kaybı yaşanabildiğini ve verilerin uzun süre saklanmasının durumu daha da kötüleştirdiğini belirtti.
403 milyon euroluk ceza, DPC'nin verdiği dördüncü en büyük para cezasıdır. Ceza henüz tahsil edilemiyor çünkü DPC cezasının ödenmesi için İrlanda mahkemesinin onay vermesi gerekiyor. Google, kararın resmi tebliğinden itibaren 28 gün içinde Yüksek Mahkemeye itiraz edebilir.
Associated Press'in aktardığı bir açıklamada Google, konunun "o zamandan beri güncellenen tarihi politikalar" etrafında döndüğünü ve 2019'dan bu yana uygulamalarını önemli ölçüde değiştirdiğini söyledi.
Mayıs 2019'da DPC'nin incelediği dönemde Google, Location History ve Web & App Activity için otomatik silme kontrollerini duyurdu. Bu kontroller kullanıcıların verilerinin 3 veya 18 ay sonra otomatik silinmesini sağlıyor. Haziran 2020'de Google, Web & App Activity için yeni hesaplar ve Location History'yi ilk kez açanlar için varsayılan olarak 18 aylık otomatik silmeyi getirdi.
Aralık 2023'te Google, Timeline'ın yani Google Haritalar'da Location History'yi harita üzerinde gösteren özelliğin verilerini kullanıcı cihazlarında tutacağını duyurdu. Location History'yi ilk kez açanlar için otomatik silmenin varsayılan süresinin de 3 ay olacağı belirtildi.
DPC, bu değişikliklerin emri karşılamak için yeterli olup olmadığını kamuoyuna açıklamadı.
DPC, Avrupa tüketici gruplarından gelen şikayetler üzerine Şubat 2020'de soruşturmayı açtı. BEUC, Avrupa Tüketici Örgütü, üye gruplarının Kasım 2018'de ulusal veri koruma otoritelerine yaptığı şikayetlerin ardından harekete geçti. DPC'nin incelediği dönem, soruşturmanın 4 Şubat 2020'de duyurulduğu gün sona erdi.
Karar, soruşturmanın açılmasından 6,5 yıldan fazla bir süre sonra geldi. NewsIreland.EU'nun aktardığı yorumlarda BEUC Genel Direktörü Agustín Reyna kararı memnuniyetle karşıladı ancak sürenin uzunluğunu eleştirdi. "Geciken yaptırım, hiç yaptırım olmamasından daha zararlı olabilir" dedi.
