İrlanda Veri Koruma Komisyonu, Google’a kullanıcı konum verilerini işleme biçimi nedeniyle toplam 403 milyon avro idari para cezası verdi. DPC’nin 21 Eylül 2026 tarihli kararına göre şirket, Avrupa Birliği Genel Veri Koruma Tüzüğü kapsamındaki hukukilik, adillik, hesap verebilirlik, şeffaflık ve saklama süresi yükümlülüklerinin birden fazlasını ihlal etti.
Soruşturma Şubat 2020’de başlatıldı ve 25 Mayıs 2018 ile 4 Şubat 2020 arasındaki uygulamaları inceledi. İncelemenin merkezinde Web ve Uygulama Etkinliği, Konum Geçmişi ve Konum Doğruluğu ayarları bulunuyor. Bu hizmetler arama, harita ve cihaz işlevlerini kişiselleştirmek için konum sinyallerini kullanabiliyor. DPC, kullanıcıların hangi ayarın ne tür veri ürettiğini yeterince açık biçimde anlayamadığı sonucuna vardı.
Karar yalnızca izin ekranındaki ifadeleri değil, verilerin hangi hukuki dayanakla işlendiğini de ele alıyor. Kullanıcı onayı, özgürce verilmiş, belirli, bilgilendirilmiş ve açık olmalı. Farklı hizmetlerden gelen verilerin tek ayar altında toplanması veya seçeneklerin etkisinin anlaşılmaması, geçerli rıza değerlendirmesini zayıflatabiliyor. Düzenleyici ayrıca Google’ın aldığı kararları belgeleyerek hesap verebilirliği göstermesi gerektiğini vurguluyor.
Saklama süresi de dosyanın önemli parçalarından biri. Konum verisi kişinin günlük rutini, sağlık hizmeti ziyareti veya inanç yeri gibi hassas çıkarımlara kapı açabiliyor. Bu nedenle verinin amaç için gerekenden uzun tutulmaması gerekiyor. DPC, incelenen dönemdeki saklama uygulamalarının GDPR beklentilerini karşılamadığına karar verdi. Karar geçmiş döneme ilişkin olsa da düzeltme yükümlülüğü güncel ürünleri etkileyebilir.
Google veri işleme süreçlerini altı ayda değiştirecek
Google’a yalnızca para cezası verilmedi. Şirketin işleme faaliyetlerini kararla uyumlu hâle getirmesi için altı ay süre tanındı. Bu süreçte ayar metinleri, varsayılan seçenekler, saklama politikaları veya kullanıcı denetimleri değişebilir. Hangi ürünlerin nasıl güncelleneceği Google’ın uygulama planı ve DPC denetimiyle netleşecek. Kararın tam metni daha sonra yayımlanacak.
Google karara itiraz etme hakkına sahip. Büyük GDPR dosyalarında şirketler idari ve adli yolları kullanabildiği için cezanın kesin tahsil süreci zaman alabilir. İtiraz, kararın hemen tüm etkilerini ortadan kaldırdığı anlamına gelmez; uygulanacak hukuki süreç İrlanda ve Avrupa Birliği kurallarına göre ilerleyecek. Google’ın resmî yanıtı, ürün değişiklikleri ve olası itiraz gerekçeleri bakımından izlenecek.
Kullanıcılar bu sırada Google Hesabı içindeki Veri ve Gizlilik bölümünden Web ve Uygulama Etkinliği ile Konum Geçmişi ayarlarını ayrı ayrı kontrol edebilir. Otomatik silme süresi seçilebilir, mevcut geçmiş görüntülenebilir ve istenmeyen kayıtlar kaldırılabilir. Bir ayarı kapatmak daha önce toplanmış verileri her zaman kendiliğinden silmez; geçmiş kayıtlar için ayrıca silme işlemi gerekebilir.
403 milyon avroluk karar, konum verisinin sıradan bir kişiselleştirme girdisi olmadığını bir kez daha gösteriyor. Düzenleyiciler yalnızca rıza düğmesinin bulunmasına değil, kullanıcının sonucu gerçekten anlayıp anlamadığına bakıyor. Google’ın altı aylık uyum döneminde yapacağı değişiklikler, benzer veri akışları kullanan diğer platformlar için de ölçüt oluşturabilir. Kararın ayrıntılı metni yayımlandığında ihlal başlıklarının ürün bazındaki karşılığı daha açık görülecek.
Günün Öne Çıkan Fırsatları
