Google’a 403 milyon euro GDPR cezası: Konum verisi ihlalleri ve 6 aylık uyum süresi
İrlanda Data Protection Commission (DPC), 21 Eylül 2026’da Google Ireland’a 403 milyon euro GDPR cezası kesti. Soruşturma, Web & App Activity, Location History ve Location Accuracy ürünlerinde Mayıs 2018 – Şubat 2020 arasındaki konum verisi işleme pratiklerini inceledi. Google’ın işlemeyi 6 ay içinde uyumlu hale getirmesi emredildi; şirket 28 gün içinde temyiz hakkına sahip.
Ana Gelişme
DPC soruşturması Şubat 2020’de açıldı; karar 6 yıl sonra verildi. İhlal dönemi 25 Mayıs 2018 – 4 Şubat 2020. Dört ana ihlal kategorisi tespit edildi:
- Lawfulness (hukuka uygunluk) — İşlemenin yasal dayanağı yetersiz
- Fairness (adillik) — Tüketici manipülasyonu iddiaları
- Transparency (şeffaflık) — Konum verisi toplama ve kullanımı hakkında yetersiz bilgilendirme
- Accountability (hesap verebilirlik) — Veri işleme kayıtları ve denetim eksiklikleri
- Retention (saklama) — Veri saklama süreleri ve silme politikaları
Google, cezanın tarihsel politikalarla ilgili olduğunu ve 2019’dan itibaren güncellemeler yapıldığını belirtti. Şirket temyiz etme olasılığını açık tutuyor. Tam karar metni henüz yayınlanmadı; ihlal kategorilerine göre ceza dağılımı bilinmiyor.
Neden Önemli?
Bu ceza, AB’deki en büyük GDPR para cezalarından biri. Konum verisi işleme pratikleri, milyarlarca Android ve Google hesabı kullanıcısını etkiliyor. 6 aylık uyum emri, Google’ın konum verisi UX, consent flow’ları ve retention politikalarını değiştirmesini gerektirebilir.
Türk mobil geliştiriciler için çıkarım: GDPR enforcement, global privacy standartlarını şekillendiriyor. KVKK paralellikleri, consent flow tasarımı ve veri saklama politikaları için referans niteliği taşıyor.
Teknik Detaylar
İncelenen Ürünler
| Ürün | İşlev | İhlal Bağlamı |
|---|---|---|
| Web & App Activity | Arama ve uygulama aktivite kaydı | Konum verisi türetme |
| Location History | Konum geçmişi saklama | Şeffaflık ve retention |
| Location Accuracy | Konum doğruluğu ayarları | Consent ve fairness |
DPC, bu ürünlerdeki işleme pratiklerinin GDPR’nin temel ilkelerini ihlal ettiğini tespit etti. Guardian raporlaması, tüketici manipülasyonu ve sağlık/ilgi alanı çıkarımı endişelerini vurguluyor.
Ceza ve Uyum Süreci
- Ceza tutarı: €403 milyon
- Uyum süresi: 6 ay
- Temyiz: Google’ın 28 gün içinde itiraz hakkı var
- Mahkeme onayı: Ceza henüz mahkeme onayı bekliyor
Google’ın “politikalar 2019’dan itibaren güncellendi” savunması, ihlal döneminin 2018–2020 olduğu gerçeğiyle dengelenmeli. Tam karar metni yayınlandığında, spesifik ürün değişiklikleri netleşecek.
Bağlam
GDPR enforcement trendi, Big Tech şirketlerine artan baskıyı gösteriyor. Konum verisi gizliliği, mobil ekosistemde en hassas veri kategorilerinden biri. DPC’nin Google kararı, consent flow tasarımı ve dark pattern kullanımı için precedent oluşturuyor.
Google’ın AB düzenleme cluster’ındaki konumu: Digital Markets Act, AI regulation ve GDPR enforcement birlikte şirketin operasyonel modelini etkiliyor. Android security ve privacy-first AI tartışmaları, bu kararın bağlamında değerlendirilmeli.
KVKK Paralellikleri
Türk geliştiriciler için pratik çıkarımlar:
- Consent flow: Konum izni isteme ve bilgilendirme metinleri şeffaf olmalı
- Retention: Veri saklama süreleri ve silme politikaları dokümante edilmeli
- Transparency: Hangi verinin neden toplandığı kullanıcıya açıkça belirtilmeli
- Accountability: Veri işleme kayıtları ve denetim izleri tutulmalı
KVKK, GDPR ile uyumlu bir çerçeve sunuyor; AB enforcement kararları, Türkiye’deki uygulama pratikleri için referans olabilir.
Düzenleyici Süreç
DPC, Google Ireland’ın AB’deki lead supervisory authority olarak konumda. Soruşturma, Avrupa tüketici hakları gruplarının şikayetleriyle başladı. 6 yıllık süreç, karmaşık cross-border veri işleme soruşturmalarının zaman çizelgesini yansıtıyor.
Google’ın temyiz süreci, İrlanda mahkemelerinde yıllar sürebilir. Önceki İrlanda DPC kararlarında (Meta, Twitter/X) temyiz yolları uzun süreli hukuki süreçlere dönüştü. Bu kararın nihai sonucu, mahkeme sürecine bağlı.
Sonraki Adımlar
Tam karar metninin yayınlanması ve Google’ın temyiz kararı izlenecek. 6 aylık uyum emrinin kapsamı — hangi ürün değişiklikleri gerekli — karar metniyle netleşecek. Konum verisi UX ve consent flow standartları, mobil geliştirme toplulukları için güncellenmiş rehberler gerektirebilir.
Kaynaklar
- Data Protection Commission fines Google €403 million — Ireland DPC
- Google €403M fine — RTE — Irish national broadcaster
- Google location data fine — The Guardian — The Guardian
- Four infringement counts — PPC.land — PPC.land