Google ถูกปรับ 403 ล้านยูโรจากการจัดการข้อมูลตำแหน่งที่ไม่เป็นไปตาม GDPR

คณะกรรมการคุ้มครองข้อมูลของไอร์แลนด์ หรือ Data Protection Commission (DPC) สั่งปรับ Google เป็นเงิน 403 ล้านยูโร ฐานละเมิดกฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป หรือ GDPR จากวิธีจัดการข้อมูลตำแหน่งของผู้ใช้ผ่าน 3 ฟีเจอร์ ได้แก่ Web & App Activity, Location History และ Location Accuracy ในช่วง 25 พฤษภาคม 2561 ถึง 4 กุมภาพันธ์ 2563 5

การสอบสวนเริ่มขึ้นหลัง DPC ได้รับข้อร้องเรียนจากองค์กรคุ้มครองผู้บริโภคยุโรปหลายแห่ง รวมถึง BEUC ซึ่งเป็นองค์กรผู้บริโภคระดับยุโรป 5

DPC พบอะไรบ้าง

ประเด็นสำคัญไม่ได้อยู่แค่ว่า Google เก็บข้อมูลตำแหน่ง แต่เป็นเรื่อง ฐานทางกฎหมาย วิธีปฏิบัติที่เป็นธรรม ความชัดเจนในการแจ้งผู้ใช้ และการเก็บข้อมูลนานเกินจำเป็น

• DPC วินิจฉัยว่าการประมวลผลข้อมูลผ่าน Web & App Activity และ Location History ไม่ชอบด้วยกฎหมายและไม่เป็นธรรมภายใต้ GDPR 5
• สำหรับ Location Accuracy หน่วยงานระบุว่า Google ไม่ปฏิบัติตามหลักความรับผิดชอบ (accountability) เพราะไม่สามารถแสดงให้เห็นได้ว่าการประมวลผลสอดคล้องกับหลักการดำเนินการอย่างชอบด้วยกฎหมาย เป็นธรรม และโปร่งใส 5
• Google ละเมิดหน้าที่ด้านความโปร่งใสในทั้ง 3 ฟีเจอร์ โดยผู้ใช้อาจไม่ทราบว่าข้อมูลตำแหน่งของตนถูกใช้เพื่อส่งผลต่อโฆษณาที่เห็น หรือเพื่ออนุมานความสนใจของตน 5
• บริษัทยังเก็บข้อมูลตำแหน่งใน Web & App Activity และ Location History ไว้นานเกินความจำเป็น ซึ่ง DPC มองว่าเพิ่มความเสี่ยงที่ผู้ใช้จะสูญเสียการควบคุมข้อมูลส่วนบุคคลที่อาจเผยรายละเอียดชีวิตส่วนตัวอย่างมาก 5

DPC จึงสั่งให้ Google ปรับการประมวลผลข้อมูลให้เป็นไปตาม GDPR ภายใน 6 เดือน 5

Google ตอบว่าอย่างไร

Google ระบุว่าคดีนี้เกี่ยวข้องกับ “นโยบายในอดีต” ที่ได้รับการปรับปรุงไปแล้ว บริษัทกล่าวว่าตั้งแต่ปี 2562 ได้ปรับเปลี่ยนแนวปฏิบัติอย่างมีนัยสำคัญ และเปิดตัวเครื่องมือเพื่อให้ผู้ใช้จัดการข้อมูลตำแหน่งได้ง่ายขึ้น 1

บริษัทยังกล่าวถึงระบบลบข้อมูลอัตโนมัติ ซึ่งให้ผู้ใช้ตั้งค่าลบข้อมูลเป็นรอบทุก 3, 18 หรือ 36 เดือน รวมถึงเครื่องมือจัดการโฆษณา 1

ค่าปรับนี้ใหญ่แค่ไหน

ค่าปรับ 403 ล้านยูโร ถือเป็นค่าปรับที่สูงเป็นอันดับ 4 ที่ DPC ของไอร์แลนด์เคยสั่ง 2 โดย DPC ทำหน้าที่เป็นหน่วยงานกำกับดูแลหลักของ Google ในสหภาพยุโรปสำหรับกรณีนี้ 2

มุมมองของ BEUC

BEUC เป็นหนึ่งในองค์กรที่ยื่นเรื่องร้องเรียนจนเกิดการสอบสวน องค์กรยืนยันว่า Google ไม่ได้ขอความยินยอมที่มีผลใช้ได้และให้โดยเสรี สำหรับการติดตามข้อมูลขนาดใหญ่ตามที่กล่าวหาในคำร้อง อีกทั้งวิจารณ์กระบวนการบังคับใช้ที่ยืดเยื้อ โดยระบุว่าความล่าช้าเช่นนี้อาจ “สร้างผลเสียไม่ต่างจากการไม่มีการบังคับใช้เลย” และสะท้อนความจำเป็นที่ต้องคุ้มครองสิทธิผู้บริโภคให้รวดเร็วกว่านี้ 56