16 Mart 2020 tarihinde, Fransa’da Google.fr web sitesinde bir çevrimiçi araştırma yürütülmüş ve web sitesini ziyaret eden bir kullanıcı, çerezlerin herhangi bir işlem yapmadan bilgisayarına otomatik olarak yerleştirildiğini ve bu çerezlerden birkaçının reklam amaçlı kullanıldığını fark etmesi neticesinde CNIL’a şikayette bulunmuştur. Şikâyet üzerine, yaptırımların uygulanmasından sorumlu olan CNIL’in ilgili komitesi, bilgisayara otomatik olarak yerleştirilen çerezlerin Fransız Veri Koruma Yasası’nı üç farklı şekilde ihlal ettiğini belirtmiştir. Şöyle ki;
1) Kullanıcının Önceden Onayı Alınmaksızın Çerezlerin Depolanması
Bir kullanıcı Google.fr web sitesini ziyaret ettiğinde, reklam amaçlı kullanılan birkaç çerezi herhangi bir işlem yapmasına gerek kalmadan otomatik olarak bilgisayarına yerleştirildiğini fark etmiştir. Bu tür çerezler ancak ve ancak kullanıcının rızası alındıktan yerleştirilebildiği için ilgili komite, şirketlerin önceden izin alma zorunluğuyla ilgili Fransız Veri Koruma Yasası’nın 82. maddesinde öngörülen şartlara uymadığını tespit etmiştir.
2) Google.fr Arama Motoru Tarafından Kullanıcılarına Sağlanan Bilgi Eksikliği
Kullanıcı Google.fr sayfasını ziyaret ettiğinde, sayfanın altında “Google’dan gizlilik hatırlatıcısı” notunun yer aldığı bir bilgi şeridi olan ve önünde iki düğme bulunan: “Daha sonra hatırlat” ve “Şimdi erişin” butonları bulunmaktadır. Bu başlık, kullanıcı siteye girdiğinde bilgisayarına zaten yerleştirilmiş olan çerezlerle ilgili herhangi bir bilgi vermemekteyse de kullanıcı tarafından “Şimdi erişin” butonuna tıklandığında yine kullanıcıya konuyla ilgili herhangi bir bilgi sağlanmadığı tespit edilmiştir. Bundan dolayı ilgili komite, şirketler tarafından sağlanan bilgilerin Fransa’daki kullanıcıların bilgisayarlarına çerezlerin depolanması konusunda önceden net bir şekilde bilgilendirilmediğini veya bu çerezlerin yerleştirilme amaçları hakkında bilgilendirilme yapılmadığını tespit etmiştir.
3) “Zıtlık” Mekanizmasının Kısmi Başarısızlığı
Kullanıcının, “Şimdi erişin” butonundan mevcut mekanizmayı kullanarak Google aramasındaki reklam kişiselleştirmeyi devre dışı bıraktığında reklam çerezlerinden birinin hala bilgisayarında saklanıyor olduğunu ve bağlı olduğu sunucuya yönelik bilgileri okumaya devam ettiği tespit edilmiştir. Bundan dolayı komite, şirketler tarafından kurulan “Zıtlık” mekanizmasının kısmen kusurlu olduğunu ve Fransız Veri Koruma Yasası’nın 82. maddesini ihlal ettiğini tespit etmiştir.
İlgili Komite Tarafından Uygulanan Yaptırım
İlgili komite, üç yönden incelenen bu Fransız Veri Koruma Yasası 82. maddesinin ihlalinden dolayı GOOGLE LLC’ye 60 milyon Euro ve GOOGLE IRELAND LIMITED’e 40 milyon Euro’luk bir para cezası vermiştir. Reklam çerezleri tarafından toplanan verilerden dolaylı olarak şirketler tarafından reklam gelirlerinden elde edilen önemli kazançlarına dikkat çekerken Fransa’da Google arama motorunun kapsamını ve şirketlerin uygulamalarının yaklaşık elli milyon kullanıcıyı etkilediğini belirtmiştir.
Eylül 2020 tarihinde gelen güncellemeden beri Şirketlerin Google.fr sayfasına bir kullanıcı geldiğinde otomatik olarak reklam çerezleri yerleştirmeyi bıraktıklarını belirtmiştir.
Sonuç olarak para cezalarına ek olarak ilgili komite, şirketlere kararın kendilerine tebliğinden itibaren üç ay içinde Fransız Veri Koruma Kanunu’nun 82. maddesi uyarınca kullanıcılarını gerekli seviyede bilgilendirmeleri gerektiği aksi takdirde Şirketlerin her gecikme günü için 100.000 Euro ceza ödemesi yapmak zorunda kalacağını bildirmiştir.