Veri sorumlusu AS Watson (Health & Beauty Continental Europe) B.V., çeşitli toptan ve perakende satış işletmelerini yöneten ve işleten bir finansal holding şirketidir. Bu işletmelerden biri, Hollandalı bir perakende ve eczane zinciri olan Kruidvat'tır.
2019 yılında, Hollanda Veri Koruma Otoritesi (''Otorite''), web sitelerinin (izleme/takip) çerezleri yerleştirirken GDPR'a uyup uymadığını incelemek için Kruidvat.nl dahil olmak üzere farklı web siteleri hakkında bir soruşturma başlatmıştır. İlk bakışta Otorite, web sitesinin GDPR kapsamında izin alma gerekliliklerine uymadığını tespit etmiştir. Bu nedenle, Otorite 29 Kasım 2019 tarihinde veri sorumlusuna bir bildirim yazısı göndererek veri sorumlusunun izleme çerezleri için onay alma kuralına uymadığını belirtmiştir. Yazıda veri sorumlusunu izleme çerezleri için onay alma uygulamalarını değiştirmesini istemiştir.
Otorite, birden fazla incelemenin ardından 16 Haziran 2020 tarihinde veri sorumlusunun uygulamalarını hala değiştirmediğini tespit etmiştir. Bu nedenle, veri sorumlusu hakkında resen bir soruşturma başlatmaya karar vermiştir.
Otorite, soruşturmasında, veri sorumlusunun bir çerez paneli aracılığıyla kullanıcılardan onay almadan önce izleme çerezleri yerleştirdiğini, ayrıca çerez panelinde ''tüm çerezleri kabul et'' seçeneğinin varsayılan olarak seçili olduğunu tespit etmiştir. Kullanıcının ancak dört farklı adımı tıkladıktan sonra çerezleri reddedebildiği görülmüştür.
Veri sorumlusu, Otorite tarafından yapılan soruşturmanın hukuka aykırı olduğunu çünkü Otorite’nin veri sorumlusunun izni veya bilgisi olmadan veri sorumlusunun sanal tesislerine girdiğini ileri sürmüştür. Ayrıca Otorite'nin soruşturma başlatmak için yasal bir dayanağı olmadığını da belirtmiştir.
İlk olarak Otorite, veri sorumlusunun argümanını reddetmiş ve veri sorumlusunun web sitesinin kamuya açık bir web sitesi olduğunu ve bunun bir iş yerine girmekle bir tutulamayacağını belirtmiştir. Ayrıca Otorite, GDPR ve Hollanda GDPR Uygulama Kanunu (Uitvoeringswet Algemene verordening gegevensbescherming) kapsamında GDPR'ın ihlal edilmesi halinde soruşturma yapma ve yaptırım uygulama yetkisine sahip olduğunu vurgulamıştır.
İkinci olarak Otorite, veri sorumlusunun onay almadan önce izleme çerezleri yerleştirerek GDPR Madde 6(1) ve GDPR Madde 5(1)(a)'yı ihlal ederek kullanıcıların kişisel verilerini hukuka aykırı bir şekilde işlediğini tespit etmiştir.
Üçüncü olarak Otorite, veri sorumlusunun çerez paneli aracılığıyla çerezlerin reddedilmesine ilişkin C-673/17 Planet49 davasındaki ABAD kararını dikkate almıştır. ABAD'a göre, ilgili kişinin cihazlarına çerez yerleştirilmesinde, ilgili kişinin rızayı reddetmek için işaretini kaldırması gereken varsayılan bir onay kutusu kullanılıyorsa, yasal olarak geçerli bir rıza yoktur. Bu nedenle Otorite, önceden işaretlenmiş (izleme) çerezleri kullanarak, veri sorumlusunun GDPR Madde 4(11) kapsamında özgürce verilmiş, belirli, bilgilendirilmiş ve açık bir rıza almadığına karar vermiştir. Dolayısıyla veri sorumlusu, rıza almayarak kişisel verileri hukuka aykırı bir şekilde işlediği için GDPR Madde 6(1) ve GDPR Madde 5(1)(a)'yı ihlal etmiştir.
Otorite, ihlallerin süresini dikkate almış ve veri sorumlusunun 1 Ekim 2020'den bu yana uygulamalarını değiştirdiğini kaydetmiştir. Artık çerez onaylarının otomatik olarak işaretlenmediği ve onay alınmadan önce çerez yerleştirilmediği tespit edilmiştir.
Bu nedenle Otorite, GDPR Madde 6(1) ve GDPR Madde 5(1)(a)'yı ihlal ettiği için veri sorumlusuna 600.000 Euro para cezası vermiştir.
İspanya Veri Koruma Otoritesi (''Otorite'') Avrupa Dijital Haklar Merkezi (''noyb'') tarafından, gerekli olmayan çerezlerin yüklenmesi ve çerez paneline ilişkin kusurlu onay alma uygulamaları konusunda çerez şikayetinde bulunulmasının ardından bir şirkete 2.000 Euro para cezası vermiştir.
noyb tarafından temsil edilen bir ilgili kişi, bir web sitesinin, kullanıcının onay verebileceği çerez paneli ile etkileşime girmesinden önce zorunlu olmayan çerezleri (onay gerektiren) yüklediğinden şikayetçi olmuştur.
Çerez paneli ile ilgili rıza kavramının iki nedenden dolayı kusurlu olduğuna dikkat çekilmiştir. İlk olarak, çerez kontrol panelindeki onayın ayrıntı içermediği, çerez gruplarından herhangi birine izin verilmemesinin tercih edildiği durumlarda, imlecin ''devre dışı'' konumundan hareket ettirilemediği ve ''kaydet ve çık'' seçeneğine tıklanmadığı takdirde, web sitesinin başlangıçta tespit edilen aynı çerezleri kullanmaya devam ettiği görüntülenmiştir.
İkinci olarak, çerezlerin kullanımına izin verildikten ve web taraması başladıktan sonra onayı değiştirmek için kontrol paneline geri dönmeyi mümkün kılan bir mekanizma bulunmadığı, dolayısıyla onayın geri çekilmesinin imkansız hale geldiği görülmüştür.
Otorite yapmış olduğu incelemede; web sitesine ilk kez girmiş ve çerezleri kabul etmeden veya sayfada herhangi bir eylem gerçekleştirmeden performans çerezlerinin yanı sıra hedefleme çerezlerinin işlendiğini tespit etmiştir. Ayrıca, teknik veya zorunlu olarak tanımlanamayan ancak web sitesinden sorumlu olmayan üçüncü taraflara ait çerezler de belirlenmiştir.
''Çerezleri devre dışı bırak'' ön ayarının hiçbir etkisi olmadığı ve ''çerezleri devre dışı bırak'' ayarını hareket ettirmeden ''kaydet ve çık'' seçeneğine tıklandığında, web sitesinde daha önce yukarıda tespit edilen aynı çerezleri kullanmaya devam edildiği görülmüştür. Aynı zamanda çerezlere onay verdikten sonra kontrol paneline kalıcı erişime izin veren herhangi bir mekanizmanın bulunmadığı da doğrulanmıştır.
Otorite, LSSI madde 22.2'yi ihlal ettiği gerekçesiyle şirkete 2.000 Euro tutarında para cezası vermiştir. Şirketin Otorite’nin yürüttüğü süreci sonlandırmak için para cezasını gönüllü olarak ödemesi nedeniyle ceza 1.600 Euro'ya düşürülmüştür.