Derfor fik Google en bøde på 403 mio. euro for lokationsdata

Irlands databeskyttelsesmyndighed, Data Protection Commission (DPC), har pålagt Google Ireland Limited bøder på i alt 403 mio. euro for brud på EU's databeskyttelsesforordning, GDPR. Sagen drejede sig om, hvordan tre Google-funktioner behandlede lokationsdata: Web & App Activity, Location History og Location Accuracy.

Undersøgelsen omfattede perioden fra 25. maj 2018, da GDPR begyndte at gælde, til 4. februar 2020. Den blev indledt i februar 2020 efter klager fra flere europæiske forbrugerorganisationer, herunder BEUC, den europæiske forbrugerorganisation. 4

Det afgørende var altså ikke kun, at Google indsamlede oplysninger om brugernes placering. DPC konkluderede, at Googles håndtering i den undersøgte periode ikke levede op til GDPR's krav om lovlig og rimelig behandling, klar information til brugerne, begrænset opbevaring samt dokumentation for, at reglerne blev fulgt. 4

Tilsynets kritik af de tre funktioner

Web & App Activity og Location History

DPC fandt, at behandlingen af lokationsdata gennem Web & App Activity og Location History ikke var lovlig og rimelig efter GDPR. 4

De to indstillinger kan knytte lokationsoplysninger sammen med en persons brug af Googles tjenester. Ifølge DPC opfyldte Googles praksis i den relevante periode ikke kravet om, at personoplysninger behandles lovligt og rimeligt. 4

Location Accuracy og kravet om ansvarlighed

For Location Accuracy fastslog DPC en overtrædelse af GDPR's ansvarlighedskrav. Google kunne ikke dokumentere, at behandlingen overholdt princippet om, at data skal behandles lovligt, rimeligt og gennemsigtigt. 4

Ansvarlighed betyder ikke blot, at en virksomhed siger, at den følger reglerne. Den skal også kunne påvise, at dens konkrete praksis og styring faktisk gør det. 4

Brugerne fik ikke tilstrækkelig klar besked

DPC fandt mangler i gennemsigtigheden for alle tre funktioner. Konsekvensen kunne være, at brugerne ikke var klar over, at deres lokationsdata eksempelvis blev brugt til at påvirke dem med annoncer eller til at udlede deres interesser. 4

Dermed kunne folk miste reel kontrol over oplysninger, der kan afsløre meget private detaljer om deres liv og færden. 4

Data blev gemt længere end nødvendigt

Tilsynet vurderede også, at Google beholdt lokationsdata i Web & App Activity og Location History længere, end det var nødvendigt. DPC betragtede dette som en skærpende omstændighed, fordi det yderligere svækkede brugernes kontrol over følsomme oplysninger om deres liv. 4

Googles svar: Det handler om gamle politikker

Google har sagt, at sagen vedrører "historiske politikker", som siden er blevet opdateret. Selskabet oplyser, at det fra 2019 ændrede sin praksis markant og lancerede værktøjer, der skulle gøre det enklere at styre lokationsdata. 2

Google fremhæver blandt andet automatiske sletteindstillinger, hvor brugere kan vælge løbende sletning af data efter tre, 18 eller 36 måneder. 2

De ændringer ændrer ikke DPC's vurdering af perioden 2018-2020, men de er centrale for Googles argument om, at selskabets nuværende praksis er anderledes end den, tilsynet undersøgte. 2

Google har seks måneder

Ud over bøden har DPC pålagt Google at bringe den omhandlede behandling af data i overensstemmelse med GDPR inden for seks måneder. 4

BEUC: God afgørelse, men alt for langsom proces

BEUC var blandt de forbrugerorganisationer, der var knyttet til klagerne bag undersøgelsen. Organisationen mener, at afgørelsen bekræfter, at Googles måde at indhente samtykke til brug af folks lokationsdata på var ulovlig. Samtidig kritiserede BEUC, at afgørelsen kom næsten otte år efter de første klager. 24

For BEUC rejser sagen derfor to spørgsmål: om virksomheders sporing af brugere overholder GDPR, og om myndighedernes håndhævelse sker hurtigt nok til at give forbrugerne en meningsfuld beskyttelse. 24

Hvad sagen viser om lokationsdata

Sagen understreger, at det ikke er nok at have en menu med privatlivsindstillinger. Myndigheder kan vurdere, om der er et gyldigt retsgrundlag for databehandlingen, om brugerne reelt forstår, hvordan oplysningerne bruges, om opbevaringen er begrundet, og om virksomheden kan dokumentere sin efterlevelse.

I dette tilfælde fandt DPC mangler på tværs af disse områder og udstedte derfor en bøde på 403 mio. euro. 4