Irlandzki DPC ukarał Google karą 403 mln euro za dane o lokalizacji

Decyzja

To pierwsza kara, jaką DPC nałożyła na Google, podał The Record. Regulator nakazał też firmie zmienić przetwarzanie objęte decyzją.

DPC jest wiodącym organem ochrony danych Google w Unii Europejskiej, bo europejska siedziba firmy znajduje się w Dublinie. Jej decyzje obowiązują więc w całej Wspólnocie. Postępowanie objęło okres od 25 maja 2018 r., gdy zaczęło obowiązywać RODO, do 4 lutego 2020 r.

Co ustalił DPC

Trzej komisarze DPC stwierdzili cztery naruszenia w trzech funkcjach, podał BetaNews. Przetwarzanie przez Web & App Activity i Location History nie spełniło standardu zgodności z prawem i rzetelności. Location Accuracy nie spełniło standardu rozliczalności, bo Google nie potrafił wykazać, że spełnia wymogi zgodności z prawem, rzetelności i przejrzystości. Wszystkie trzy funkcje naruszyły wymóg przejrzystości, a Google przechowywał dane z dwóch pierwszych funkcji dłużej, niż było to konieczne.

Graham Doyle, zastępca komisarza DPC, powiedział, że dane o lokalizacji „mogą ujawnić wiele informacji o człowieku, w tym informacje z natury prywatne”. Dodał, że użytkownicy mogli nie wiedzieć, iż ich lokalizacja jest wykorzystywana „na przykład do wpływania na nich reklamami albo do wnioskowania o ich zainteresowaniach”, i mogli stracić kontrolę nad swoimi danymi osobowymi. Przechowywanie danych dłużej, niż trzeba, „pogłębiło tę utratę kontroli”, powiedział.

Trzy funkcje

Web & App Activity to ustawienie konta, które może zapisywać wyszukiwania, historię przeglądania i dane o lokalizacji. Location History, dziś pokazywana jako Google Maps Timeline, zapisuje odwiedzone miejsca i przebyte trasy, także wtedy, gdy ktoś nosi urządzenie, ale nie korzysta z usług Google. Location Accuracy to funkcja Androida, która łączy GPS, Wi-Fi, stacje bazowe i czujniki i działa bez konta Google.

DPC wszczęła postępowanie w lutym 2020 r. po skargach kilku europejskich organizacji konsumenckich, w tym BEUC, podała DPC. Od tego czasu minęło ponad sześć lat.

Odpowiedź Google

Google oświadczył: „Ta sprawa dotyczy dawnych zasad, które od tego czasu zostały zaktualizowane”. Firma podała, że jej praktyki „znacznie się zmieniły” od 2019 r. i że wprowadziła narzędzia do zarządzania danymi o lokalizacji.

Wskazała na mechanizmy automatycznego usuwania, które pozwalają użytkownikom usuwać dane w trybie kroczącym co trzy, 18 lub 36 miesięcy. Dane z Google Maps Timeline są teraz przechowywane na urządzeniu, a dane starsze niż trzy miesiące są usuwane automatycznie, podał BleepingComputer. Google twierdzi też, że przy wyszukiwaniu zapisuje przybliżony ogólny obszar, a nie dokładną lokalizację urządzenia. Firma dodała, że wprowadziła prostsze narzędzia do zarządzania reklamami, które pozwalają całkowicie wyłączyć reklamy spersonalizowane. Jej dokumentacja podaje, że Timeline jest domyślnie wyłączona, choć Google ostrzega, że wyłączenie jej niekoniecznie zatrzymuje zapisywanie lokalizacji przez inne ustawienia.

Skala i co dalej

Kara 403 mln euro jest czwartą największą, jaką DPC nałożyła. Jest mniejsza od kary 1,2 mld euro, którą DPC nałożyła na Metę, i od kar na TikTok. Dolicza się do ponad 4 mld euro kar, które DPC nałożyła od 2018 r., gdy objęła wiodącą rolę przy RODO. Wartość w dolarach podano na około 461 mln do 463 mln dol.

Trzy kolejne postępowania ustawowe wobec Google pozostają otwarte i są na zaawansowanym etapie, podała DPC. Regulator obiecał opublikować pełną decyzję.