İspanya Veri Koruma Otoritesi, bir web sitesi sağlayıcısını, kullanıcıların rızası olmaksızın gereksiz çerezler yerleştirdiği ve bu çerezlerin varlığı ile işlevi hakkında kullanıcıları bilgilendirmediği için 90.000 Euro para cezası verilmiştir..

2023 yılı 29 Aralık tarihinde, ilgili kişi, Techpump Solutions’a karşı İspanya Veri Koruma Otoritesi’ne (“AEPD” ve “Otorite”) bir şikayette bulunmuştur. Veri sorumlusu, dijital hizmet sağlayıcısı olarak birkaç web sitesi işletmektedir.

Otorite, 27 Aralık 2023 tarihinde veri sorumlusuna yönelik bir soruşturma başlatmış ve üç URL’de aşağıdaki sorunları tespit etmiştir:

Çerezlere herhangi bir onay verilmemesine rağmen siteye üçüncü taraf çerezleri yerleştirilmiştir. Sitede “uvt” çerezi istatistiksel analiz için kullanılmış ancak “upt” çerezinin amacı belirlenememiştir.
Banner, üçüncü taraf çerezleri hakkında bilgi vermiş ancak yukarıda bahsedilen iki çerez, banner’da hiç yer almamıştır.
Onayı geri çekmek yalnızca çerez politikası sayfasını tekrar ziyaret ederek mümkün olmuştur. Ancak, ilgili kişi imleçleri ayarlayarak ya da “tümünü reddet” seçeneğine basarak onayı geri çekse dahi üçüncü taraf çerezleri çalışmaya devam etmiş ve silinmemiştir.

Veri sorumlusu, bir web sitesinde çerezlerin teknik bir hata nedeniyle geçici olarak yerleştirildiğini savunmuştur. İncelenen iki web sitesine ilişkin olarak ise, çerezlerin bir ödeme sistemi oluşturma sürecinde yerleştirildiğini, bu sistemin çerezler kabul edilmemiş olsa bile kullanıcıları tanımlayarak reşit olmayanların erişimini engellemeyi amaçladığını iddia etmiştir. Ancak soruşturma sırasında veri sorumlusu, bu ödeme sisteminin henüz uygulanmadığını kabul etmiştir.

Otorite, ilgili kişinin onayı olmadan teknik olarak gerekli olmayan çerezlerin kullanılmasının, e-Gizlilik Direktifi'nin İspanya uyarlaması olan 34/2002 sayılı Bilgi Toplumu Hizmetleri ve Elektronik Ticaret Yasası’nın (LSSI) 22.2 Maddesini ihlal ettiğini belirtmiştir.
Çerez banner’ında veya politikasında üçüncü taraf çerezleri hakkında bilgi sağlanmaması da LSSI’nin 22.2 Maddesinin ihlal edildiğini göstermiştir.
Otorite, onayın geri çekilmesinin pratikte imkansız olduğunu ve çerezlerin reddedilmesinden sonra üçüncü taraf çerezlerinin çalışmaya devam ettiğini belirterek, bu durumun da 22.2 Maddesini ihlal ettiğine karar vermiştir.

Otorite, bu ihlaller için toplamda €90.000 para cezası vermiştir ve her bir URL için ayrı ayrı €30.000 ceza uygulanmıştır.

Kararın linkine buradan ulaşabilirsiniz.