Proč Irsko udělilo Googlu pokutu 403 milionů eur za údaje o poloze

Irská Komise pro ochranu osobních údajů (Data Protection Commission, DPC) uložila společnosti Google Ireland Limited pokuty v celkové výši 403 milionů eur za porušení GDPR při zpracování údajů o poloze. Prověřovala tři funkce: Aktivitu na webu a v aplikacích (Web & App Activity), Historii polohy (Location History) a přesnost polohy (Location Accuracy).

Šetření pokrývalo období od 25. května 2018, kdy se GDPR začalo používat, do 4. února 2020. DPC ho zahájila po stížnostech několika evropských spotřebitelských organizací, mezi nimiž byla i BEUC, Evropská spotřebitelská organizace. 4

Podstatou případu nebyl samotný sběr polohových údajů. Regulátor dospěl k závěru, že Google v posuzovaném období nesplnil pravidla GDPR pro zákonnost a spravedlnost zpracování, srozumitelné informování uživatelů, dobu uchovávání dat a prokazování souladu s předpisy. 4

Co DPC Googlu vytkla

Nezákonné a nespravedlivé zpracování

U funkcí Aktivita na webu a v aplikacích a Historie polohy DPC zjistila porušení zásady, podle níž musí být osobní údaje zpracovávány zákonně a spravedlivě. 4

Tato nastavení mohou propojovat informace o poloze s používáním služeb Googlu. Podle hodnocení DPC proto postupy firmy v daném období nenaplňovaly standard GDPR pro zákonné a spravedlivé nakládání s osobními údaji. 4

Selhání odpovědnosti u Přesnosti polohy

U funkce Přesnost polohy DPC shledala porušení povinnosti odpovědnosti. Google podle ní nedokázal prokázat, že jeho zpracování odpovídalo zásadě zákonnosti, spravedlnosti a transparentnosti. 4

Odpovědnost podle GDPR přitom neznamená jen deklarovat dodržování pravidel. Organizace musí umět doložit, že její postupy a nastavení pravidla skutečně splňují. 4

Uživatelé neměli dostatečně jasné informace

Porušení transparentnosti se podle DPC týkalo všech tří funkcí. Praktický dopad mohl být zásadní: lidé si nemuseli uvědomovat, že se jejich poloha používá například k ovlivňování reklamou nebo k odvozování jejich zájmů. Tím mohli ztrácet účinnou kontrolu nad citlivými informacemi o tom, kde se pohybovali. 4

Údaje byly uchovávány déle, než bylo nutné

Regulátor také zjistil, že Google uchovával polohové údaje ve funkcích Aktivita na webu a v aplikacích a Historie polohy déle, než bylo nezbytné. DPC to považovala za okolnost, která dále prohlubovala ztrátu kontroly uživatelů nad údaji schopnými odhalit soukromé detaily jejich života. 4

Jak reagoval Google

Google uvedl, že se případ týká „dřívějších pravidel“, která již byla změněna. Firma tvrdí, že od roku 2019 své postupy výrazně upravila a zavedla nástroje, jež mají správu údajů o poloze zjednodušit.

Poukázala také na automatické mazání dat: uživatelé si mohou nastavit průběžné odstranění dat po třech, 18 nebo 36 měsících. Tyto pozdější změny však nemění závěry DPC pro období let 2018 až 2020. 2

Google má na nápravu šest měsíců

Vedle finanční sankce DPC nařídila Googlu uvést dotčené zpracování do souladu s GDPR do šesti měsíců. 4

BEUC: rozhodnutí vítá, tempo vymáhání kritizuje

BEUC patřila mezi organizace spojené se stížnostmi, které k šetření vedly. Organizace uvedla, že rozhodnutí potvrzuje nezákonnost způsobu, jakým Google získával souhlas k využívání údajů o poloze. Zároveň kritizovala nepřiměřeně dlouhou dobu, která k rozhodnutí vedla. 24

Případ tak otevírá dvě oddělené otázky ochrany spotřebitelů: zda sledování polohy splňuje požadavky GDPR a zda je vymáhání těchto pravidel dostatečně rychlé, aby pro lidi představovalo skutečně účinnou ochranu. 24

Co z případu plyne

Nabídka nastavení sama o sobě pro soulad s GDPR nestačí. Regulátor může zkoumat, zda má zpracování platný právní základ, zda lidé rozumějí tomu, jak budou data využita, zda je jejich uchovávání odůvodněné a zda společnost dokáže soulad svého systému prokázat. V tomto případě DPC shledala nedostatky ve všech těchto oblastech a uložila pokutu 403 milionů eur. 4