Fransa, Gmail Reklamları ve Çerez İhlalleri Nedeniyle Google'a 325 Milyon € Ceza Verdi

Fransa'nın veri koruma kurumu CNIL, geçerli kullanıcı onayı olmadan Gmail'de reklam içeriği göstererek ve çerez onayı kurallarına uymayarak Avrupa gizlilik yasalarını ihlal ettiği gerekçesiyle Google şirketine 325 milyon € para cezası verdi. Eylül 2025'in başında açıklanan karar, büyük teknoloji platformlarının Avrupa Birliği'nde kişisel verileri nasıl işlediğine yönelik artan denetimi gözler önüne seriyor.

Bu ceza, CNIL'in bugüne kadar verdiği en büyük cezalardan biri ve kurumun ePrivacy Direktifi ile Genel Veri Koruma Tüzüğü'nü (GDPR) en güçlü dijital şirketlere karşı bile uygulama konusundaki kararlılığını ortaya koyuyor.

Onaysız Gmail Reklamları

CNIL soruşturması, Google'ın sıradan epostalara benzeyecek şekilde tasarlanmış tanıtım içerikleri gösterdiği Gmail'in "Promosyonlar" ve "Sosyal" sekmelerine odaklandı. CNIL'e göre bu reklam mesajları yalnızca istenmeyen içerikler olmakla kalmıyor, aynı zamanda kullanıcıların aldığı epostalardan ayırt edilemeyecek biçimde düzenleniyordu. Bu şeffaflık eksikliği kafa karışıklığı yarattı ve kullanıcıların gelen kutuları üzerindeki kontrolünü zayıflattı.

Daha da önemlisi bu reklamlar, AB gizlilik hukukunun temel bir gerekliliği olan önceden alınmış ve bilgilendirilmiş kullanıcı onayı olmadan gösterildi. CNIL, Google'ın özellikle yeni oluşturulan hesaplarda, Gmail içinde hedefli reklamcılık amacıyla kullanıcı verilerini işlemek için geçerli bir hukuki dayanak elde etmediği sonucuna vardı. Bu uygulamadan tahminen 50 ila 60 milyon kullanıcı etkilendi (Euractiv).

Çerez Politikası İhlalleri

CNIL, Gmail reklamları sorununa ek olarak Google'ın çerez bildirimi ve veri toplama uygulamalarının AB standartlarını karşılamadığını tespit etti. Hesap oluşturma sürecinde kullanıcılara, onları kişiselleştirilmiş reklam takibini kabul etmeye yönlendiren seçenekler sunuldu. Teoride onayı reddetme seçeneği bulunsa da CNIL, kullanıcı arayüzünün reddetmeyi zor ya da belirsiz kılacak şekilde tasarlandığını ve bu nedenle verildiği varsayılan onayın geçersiz olduğunu belirtti (Reuters).

Ayrıca kişiselleştirilmiş reklamcılıkla ilgili çerezlerin, anlamlı bir onay alınmadan önce kullanıcıların cihazlarına yerleştirildiği iddia ediliyor. Bu uygulama, zorunlu olmayan çerezler için açık onay şartı getiren ePrivacy Direktifi ile doğrudan çelişiyor.

Cezanın Dağılımı

325 milyon €'luk ceza iki Google şirketi arasında paylaştırıldı: ABD merkezli ana şirket Google LLC'ye 200 milyon €, Google'ın Avrupa operasyonlarının büyük bölümünü yürüten Google Ireland Limited'e ise 125 milyon € ceza verildi. Bu yapı, Google'ın sınır ötesi faaliyetlerini ve her tüzel kişiliğin sorumluluk kapsamını yansıtıyor.

CNIL, cezaya ek olarak Google'ın Gmail reklam uygulamalarını altı ay içinde tamamen uyumlu hale getirmesini zorunlu kılan, hukuken bağlayıcı bir karar da verdi. Şirket bu süreye uymazsa, uyumsuzluğun devam ettiği her gün için 100.000 € ek para cezasıyla karşı karşıya kalacak (Wall Street Journal).

CNIL'in Açıklaması ve Hukuki Dayanak

CNIL resmi açıklamasında, özellikle sıradan epostalar gibi görünecek şekilde gizlendiğinde, eposta yoluyla gönderilen istenmeyen reklamların bir tür spam olduğunu vurguladı. Avrupa gizlilik hukukuna göre bu tür iletişim, önceden, özgür iradeyle ve bilgilendirilerek verilmiş onay gerektiriyor.

Kurum ayrıca kararının yalnızca GDPR'a değil, elektronik iletişimi düzenleyen ve eposta, mesajlaşma platformları ve çerezler aracılığıyla yapılan pazarlamaya katı kurallar getiren ePrivacy Direktifi'ne de dayandığını açıkladı.

CNIL basın bülteninde "Kullanıcılar özel yazışmalar ile reklamları açıkça ayırt edebilmelidir. Şirketler, reklamları kişisel iletişime benzeyen bir hizmetin içine yerleştirerek onay gerekliliklerini atlatamaz" ifadelerini kullandı.

Google'ın Yanıtı

Google cezaya hayal kırıklığını dile getirerek ve reklam uygulamalarını savunarak yanıt verdi. Şirket sözcüsü şu açıklamayı yaptı:

"Kullanıcılarımıza reklam kişiselleştirme konusunda açık bilgiler ve basit kontroller sunuyoruz; şeffaflığı ve seçim imkanını artırmak için zaman içinde iyileştirmeler yaptık. CNIL'in kararını dikkatle inceleyeceğiz ve Avrupa genelindeki düzenleyicilerle yapıcı biçimde çalışmaya devam edeceğiz."

Google ayrıca Gmail reklamlarının kullanıcıların epostalarının içeriğine dayanmadığını ve platformun kullanıcıların kişiselleştirilmiş reklamlardan çıkmasına olanak tanıyan ayarlar sunduğunu yineledi. Ancak CNIL, bu ayarların sunulma biçiminin GDPR kapsamında özgür iradeyle ve bilgilendirilerek verilmiş onay kriterlerini karşılamadığını savundu.

Gizlilik Savunucularının Rolü

Dava, aktivist ve avukat Max Schrems tarafından kurulan Avusturya merkezli gizlilik hakları örgütü NOYB'nin (None of Your Business) yaptığı bir şikayetle başladı. NOYB, Avrupa genelinde pek çok yüksek profilli gizlilik davasının öncüsü oldu ve Google, Meta, Amazon ve diğer büyük dijital platformlar hakkında çok sayıda şikayette bulundu.

NOYB, CNIL kararının ardından yaptığı açıklamada kararın kullanıcılar için önemli bir kazanım ve "meşru içerik kılığına girmiş eposta spamini" ortadan kaldırma yolunda bir adım olduğunu söyledi. Örgüt, Google'ın Gmail promosyonlarının "kullanıcıların hiçbir zaman onay vermediği yeni bir ticari müdahale biçimine" dönüştüğünü belirtti (NOYB).

Daha Geniş Düzenleyici Bağlam

Google, Avrupa'da gizlilik sorunları nedeniyle ilk kez hukuki işlemle karşılaşmıyor. Şirket önceki yıllarda da reklam kişiselleştirme, konum takibi ve çerez onayı ile ilgili olarak AB veri koruma kurumlarından çeşitli cezalar aldı. Son ceza, Google'ın onay mekanizmalarını ve veri işleme politikalarını AB standartlarına uygun şekilde elden geçirmesi yönündeki baskıyı artırıyor.

CNIL son aylarda başka şirketlere de büyük cezalar verdi; bunlar arasında benzer çerez onayı ihlalleri nedeniyle hızlı moda perakendecisi Shein'a verilen 176 milyon €'luk ceza da bulunuyor (Reuters).

Hukuk uzmanları, özellikle Avrupa Komisyonu Dijital Hizmetler Yasası (DSA) ve Dijital Piyasalar Yasası (DMA) kapsamında dijital düzenlemelerin daha sıkı uygulanması için baskı yapmayı sürdürürken, CNIL'in Google kararının AB genelindeki veri koruma kurumlarının gelecekte benzer davaları nasıl ele alacağı konusunda emsal oluşturabileceğini öne sürüyor.

Bu Neden Önemli?

Dava, dijital hizmetlerde kullanıcı onayının sınırlarına dair temel soruları gündeme getiriyor. Çevrim içi platformlar gelir elde etmek için davranışsal verilere giderek daha fazla bağımlı hale geldikçe, düzenleyiciler neyin bilgilendirilmiş ve gönüllü onay, neyin manipülasyon sayılacağı konusunda daha net sınırlar çiziyor.

Dünya genelinde 1,5 milyardan fazla kişinin kullandığı Google Gmail, temel bir iletişim aracı işlevi görüyor. Reklamlar kişisel iletişimle iç içe geçmeye başladığında gizlilik ve şeffaflık açısından riskler önemli ölçüde artıyor.

CNIL'in bu kararı, düzenleyici kurumların yalnızca veri ihlallerinin veya siber saldırıların peşine düşmeye istekli olmadığını, aynı zamanda şirketlerin kullanıcı ilgisini ve onayını kâr amacıyla istismar edebileceği incelikli yöntemlere de giderek daha fazla odaklandığını gösteriyor.