Google får bøde på 403 mio. euro for håndtering af lokationsdata

Irlands databeskyttelsesmyndighed, Data Protection Commission (DPC), har givet Google en bøde på 403 mio. euro for brud på EU's databeskyttelsesforordning, GDPR. Sagen handler om virksomhedens behandling af brugeres lokationsdata via funktionerne Web & App Activity, Location History og Location Accuracy i perioden fra 25. maj 2018 til 4. februar 2020. 5

Undersøgelsen blev indledt i februar 2020 efter klager fra flere europæiske forbrugerorganisationer, blandt andre BEUC, den europæiske forbrugerorganisation. 5

Derfor faldt bøden

DPC konkluderede, at Google ikke levede op til flere centrale GDPR-krav:

• Behandlingen af data gennem Web & App Activity og Location History var hverken lovlig eller rimelig efter GDPR. 5
• For Location Accuracy overholdt Google ikke sit ansvar for at kunne dokumentere, at behandlingen fulgte princippet om lovlig, rimelig og gennemsigtig behandling. 5
• Google overtrådte gennemsigtighedskravene for alle tre funktioner. Brugere kunne derfor være uvidende om, at deres lokation eksempelvis blev anvendt til at påvirke de annoncer, de så, eller til at udlede deres interesser. 5
• Lokationsdata i Web & App Activity og Location History blev opbevaret længere end nødvendigt. Ifølge DPC forværrede det brugernes tab af kontrol over personoplysninger, som kan afsløre meget private forhold. 5

Tilsynet har desuden pålagt Google at bringe den pågældende databehandling i overensstemmelse med GDPR inden for seks måneder. 5

Googles svar: Reglerne og værktøjerne er siden ændret

Google beskriver sagen som et spørgsmål om "historiske politikker", der efterfølgende er blevet opdateret. Virksomheden oplyser, at den fra 2019 ændrede sin praksis væsentligt og indførte værktøjer, der skulle gøre det enklere for brugere at styre lokationsdata. 1

Google peger blandt andet på automatiske slettefunktioner, hvor brugere kan vælge løbende sletning af data efter tre, 18 eller 36 måneder. 1

En af DPC's største bøder

Med 403 mio. euro er sanktionen den fjerdestørste bøde, som Irlands DPC har udstedt. 2

BEUC, der var blandt organisationerne bag de klager, som førte til undersøgelsen, har fastholdt, at Google ikke indhentede gyldigt og frit givet samtykke til den omfattende sporing, organisationen beskrev i sin klage. BEUC kritiserede også det lange sagsforløb og advarede om, at forsinket håndhævelse kan være "lige så skadelig som slet ingen håndhævelse". 56