Google ukarany za dane lokalizacyjne

Google ukarany wysoką karą w UE

403 mln euro – taką sankcję nałożono na Google za naruszenia związane z przetwarzaniem danych lokalizacyjnych użytkowników w ramach przepisów GDPR. Decyzję wydała irlandzka Data Protection Commission (DPC), która pełni rolę głównego regulatora firmy w Unii Europejskiej.

Sprawa dotyczyła sposobu działania trzech funkcji: Web & App Activity, Location History oraz Location Accuracy. Dochodzenie obejmowało okres od 25 maja 2018 r. do 4 lutego 2020 r., czyli od wejścia w życie GDPR do dnia ogłoszenia kontroli.

Co zarzucono Google

Regulator uznał, że firma naruszyła przepisy w kilku obszarach:

• brak zgodności przetwarzania z zasadami legalności i rzetelności w przypadku Web & App Activity oraz Location History,
• naruszenie obowiązków informacyjnych, ponieważ użytkownicy nie byli wystarczająco jasno informowani o wykorzystywaniu danych lokalizacyjnych,
• niespełnienie wymogów rozliczalności w odniesieniu do Location Accuracy,
• przechowywanie danych dłużej, niż było to konieczne.

W praktyce oznaczało to, że osoby korzystające z usług takich jak Google Maps czy funkcji dokładniejszej lokalizacji na Androidzie mogły nie zdawać sobie sprawy, że ich położenie może służyć do profilowania, w tym do wyciągania wniosków o zainteresowaniach czy kierowania reklam.

Dlaczego lokalizacja jest tak wrażliwa

Przedstawiciel irlandzkiego regulatora podkreślił, że dane lokalizacyjne należą do szczególnie wrażliwych informacji. Mogą one z jednej strony poprawiać działanie usług online, ale z drugiej ujawniają bardzo dużo o życiu prywatnym użytkownika – od miejsc zamieszkania i pracy po codzienne nawyki.

Zdaniem DPC nadmierne przechowywanie takich danych dodatkowo pogłębia ryzyko utraty kontroli nad własnymi informacjami.

Termin na dostosowanie i możliwość odwołania

Google otrzymało również nakaz dostosowania swoich procesów do wymogów prawa w ciągu sześciu miesięcy. Sama kara nie jest jeszcze ostateczna – firma może odwołać się do High Court w Irlandii w ciągu 28 dni od otrzymania formalnego zawiadomienia.

Warto też zaznaczyć, że grzywna w tej wysokości jest jedną z najwyższych, jakie wydał irlandzki regulator.

Google wskazuje na zmiany w polityce

Firma przekonuje, że sprawa dotyczy historycznych zasad, które zostały już zmienione. Google podkreśla, że od 2019 roku znacząco przebudowało sposób zarządzania danymi lokalizacyjnymi i udostępniło użytkownikom narzędzia ułatwiające kontrolę nad tymi informacjami.

Wśród późniejszych zmian znalazły się m.in. automatyczne usuwanie danych po 3 lub 18 miesiącach, a także zmiany dotyczące funkcji Timeline w Google Maps, która przechowuje historię lokalizacji.

Sprawa ciągnęła się latami

Śledztwo rozpoczęto w lutym 2020 r., po skargach europejskich organizacji konsumenckich. Sam wynik postępowania pokazuje, że spór o sposób obchodzenia się z danymi lokalizacyjnymi i transparentność ustawień prywatności może mieć dla dużych platform bardzo realne konsekwencje finansowe i prawne.

Dla użytkowników to kolejny sygnał, że ustawienia lokalizacji w usługach mobilnych i webowych warto regularnie sprawdzać – nie tylko ze względu na reklamy, ale też na skalę informacji, jakie można z nich odczytać.