Google, kullanıcıların konum verilerini ele aldığı için İrlanda Veri Koruma Komisyonu (DPC) tarafından 403 milyon € para cezası aldı. Düzenleyici, Google’ın çeşitli hizmetlerinde toplanan konum bilgilerini nasıl işlediği, açıkladığı ve sakladığı konusunda birden fazla GDPR ihlalini tespit etti.
Soruşturma, Google’ın 25 Mayıs 2018 ile 4 Şubat 2020 arasındaki uygulamalarını kapsıyordu. Konum bilgisini işleyebilen üç özelliği inceledi: Web ve Uygulama Aktivitesi, Konum Geçmişi ve Konum Doğruluğu.
İrlanda DPC, Avrupa tüketici örgütlerinin şikayetleri üzerine Şubat 2020’de soruşturmasını başlattı. Google’ın Avrupa genel merkezi İrlanda’da bulunduğundan, İrlanda otoritesi, Avrupa Birliği’nde birçok sınır ötesi veri koruma konusunda şirketin baş düzenleyicisi olarak hizmet vermektedir.
Düzenleyici, Google’ın Web & App Activity ve Konum Geçmişi aracılığıyla işleme işlemlerinin yasallığı ve adil olmasıyla ilgili sorunlar tespit etti. Ayrıca, Google’ın Konum Doğruluğu ile işlenen kişisel verilerle ilgili GDPR gerekliliklerine uyum göstermediğini tespit etti.
Şeffaflık da merkezi bir konuydu. DPC’ye göre, Google kullanıcılara konum verilerinin üç hizmet boyunca nasıl işlendiği hakkında yeterince net bilgi sunmadı. Düzenleyiciler ayrıca Web & App Activity ve Konum Geçmişi aracılığıyla toplanan bazı bilgilerin gereğinden daha uzun süre saklandığı sonucuna vardı.
Konum bilgisi özellikle hassas olabilir çünkü bir kişinin hareketlerinin tekrarlanan kaydı, sık ziyaret edilen yerleri, rutinleri ve ilgi alanlarını ortaya çıkarabilir. DPC, Google’ın uygulamalarının insanların konum bilgilerinin ilgi alanlarını çıkarmak veya gösterilen reklamları etkilemek için kullanılabileceğinden habersiz bırakabileceğini belirtti.
Soruşturmanın kapsamında kapsayan üç Google özelliği farklı amaçlara hizmet ediyor. Web ve Uygulama Aktivitesi, Google hizmetleri arasında etkinliği kaydedebilirken, Konum Geçmişi kullanıcıya ait yerleri ve rotaları kaydeder ve bunları Google Haritalar Zaman Çizelgesi üzerinden gösterebilir. Konum Doğruluğu, Android cihazlarda konumlandırmayı iyileştirmek için birden fazla kaynaktan gelen sinyalleri kullanır.
Google, bulguların mevcut hizmetleri için önemini itiraz ediyor. Şirket, davanın sonrasında değiştirilen tarihsel uygulamalarla ilgili olduğunu söylüyor; son yıllarda otomatik silme seçenekleri, ek gizlilik kontrolleri ve konum verileriyle ilgili daha net bilgiler gibi önlemlere işaret ediyor.
Google, karara itiraz etmeyi planlıyor, bu da anlaşmazlığın mahkemelerde devam edebileceği anlamına geliyor. 403 milyon €’luk cezaya ek olarak, DPC şirkete etkilenen işlemleri GDPR gerekliliklerine altı ay içinde uygulamasını emretti.
Düzenleyici henüz tam kararı yayımlamadı. Bulgularının ve Google’dan gerekli olan özel uyum önlemlerinin daha kapsamlı açıklaması, nihai karar kamuoyuna açıklandığında bekleniyor.