爱尔兰数据保护委员会(DPC)对谷歌处以4.03亿欧元罚款,原因是该公司在2018年5月25日至2020年2月4日期间,通过“网络与应用活动”(Web & App Activity)、“位置记录”(Location History)及“位置精度”(Location Accuracy)三项功能处理用户位置数据时,违反了欧盟《通用数据保护条例》(GDPR)。调查由DPC于2020年2月启动,起因是包括欧洲消费者组织(BEUC)在内的多个欧洲消费者权益团体提出投诉。
5
监管机构认定了哪些问题?
DPC的核心结论不只是“收集了位置数据”,而是谷歌未能以GDPR要求的方式处理这些数据:
- **处理不够合法、公平:**在“网络与应用活动”和“位置记录”功能中,DPC认定谷歌的位置数据处理不符合GDPR规定的合法与公平处理原则。
5
- **未履行问责义务:**对于“位置精度”功能,DPC认为谷歌未能证明自身遵守了合法、公平和透明处理这一基本原则,因此违反了GDPR的问责要求。
5
- **信息披露不够透明:**三项功能均存在透明度问题。监管机构指出,用户可能没有意识到,自己的位置数据会被用于影响其看到的广告,或被用来推断其兴趣偏好。
5
- **保存时间超出必要范围:**谷歌在“网络与应用活动”和“位置记录”中保存位置数据的时间超过必要期限。DPC认为,这会进一步削弱用户对个人数据的控制;位置数据可能揭示高度私密的信息。
5
换言之,DPC的判断聚焦于数据处理的法律基础、公平性、告知透明度、企业能否证明合规,以及数据是否被保留得过久,而非单一的技术设置问题。
谷歌需要做什么?
DPC除作出罚款决定外,还要求谷歌在六个月内使相关数据处理活动符合GDPR要求。
5
4.03亿欧元的金额,也使该案成为爱尔兰DPC开出的第四高罚单。
2
谷歌如何回应?
谷歌表示,本案涉及的是已经更新的“历史政策”。该公司称,自2019年起已大幅调整做法,并推出更便于用户管理位置数据的工具。谷歌还提到自动删除控制,用户可设置按滚动的3个月、18个月或36个月周期自动删除数据。
1
BEUC为何批评此案处理过慢?
BEUC是推动调查的消费者组织之一。该组织认为,谷歌并未就被投诉所指的大规模追踪取得有效且自由作出的同意;同时,BEUC批评执法历时过长,认为这类延迟“可能与没有执法一样有害”,并称这凸显了更快落实消费者权利保护的必要性。
5
6