爱尔兰为何因定位数据向谷歌开出4.03亿欧元罚单

爱尔兰数据保护委员会（DPC）对谷歌爱尔兰有限公司处以总计4.03亿欧元的GDPR罚款，原因并不只是谷歌收集了定位信息，而是其在处理这些信息的方式上，被认定未达到欧盟《通用数据保护条例》（GDPR）的要求。

此次调查涵盖2018年5月25日（GDPR开始适用之日）至2020年2月4日期间，聚焦谷歌三项与位置相关的功能：“网络与应用活动”（Web & App Activity）、“位置记录”（Location History）和“定位精度”（Location Accuracy）。调查于2020年2月启动，背景是包括欧洲消费者组织BEUC在内的多个欧洲消费者权益团体提出投诉。4

监管机构认定了哪些问题？

DPC认为，三项功能存在彼此关联、但性质不尽相同的违规。

“网络与应用活动”和“位置记录”未做到合法、公平处理

DPC认定，谷歌通过“网络与应用活动”及“位置记录”处理定位数据时，违反了GDPR关于个人数据处理必须合法且公平的原则。4

这两项设置可能将用户的位置信息与其使用谷歌服务的活动联系起来。监管机构的结论是：在被调查期间，谷歌的相关处理方式未达到GDPR规定的合法、公平标准。4

“定位精度”涉及未能证明合规的问责问题

对于“定位精度”，DPC认定谷歌未履行GDPR规定的问责义务：谷歌无法证明其处理方式符合“合法、公平、透明”的基本原则。4

GDPR中的问责，并不只是企业宣称自己遵守规则；企业还必须能够实际证明，其数据处理设计和管理措施确实符合要求。4

三项功能均存在透明度不足

DPC还认定，三项功能都存在透明度违规。实际影响在于，用户可能并不知道自己的位置信息会被如何利用，例如用于影响其所看到的广告，或据此推断其兴趣偏好。

监管机构认为，这种信息不清晰的状况，会让用户难以有效掌控极具私密性的行踪数据——这些数据可能反映一个人去过哪里、关注什么，甚至生活习惯。4

部分定位数据保存时间超过必要期限

DPC同时发现，谷歌在“网络与应用活动”和“位置记录”中保存定位数据的时间超过必要限度。监管机构认为，这进一步加剧了用户对可揭示私人生活细节的数据失去控制的问题。4

谷歌如何回应？

谷歌表示，此案针对的是已经更新的“历史政策”。该公司称，自2019年起已显著调整相关做法，并推出旨在简化定位数据管理的工具。

谷歌还提到自动删除功能，用户可将账户设置为按滚动周期自动删除数据，周期可选3个月、18个月或36个月。2

不过，这些后续调整并不改变DPC针对2018年至2020年期间作出的认定；谷歌的立场是，目前的政策和控制工具已不同于被调查的旧做法。2

六个月整改期限

除4.03亿欧元行政罚款外，DPC还命令谷歌在六个月内使涉案数据处理活动符合GDPR要求。4

BEUC：裁决值得肯定，但执法不应拖延

欧洲消费者组织BEUC是与此次投诉相关的团体之一。BEUC表示，这项决定确认了谷歌获取用户定位数据使用同意的方式不合法；同时，它批评监管流程耗时过长。

BEUC的观点也点出了消费者保护中的两个问题：一是定位追踪是否满足GDPR标准；二是即使最终作出处罚，执法能否足够及时，从而真正为消费者提供有效救济。24

这起案件说明了什么？

定位数据合规，不能只靠提供一个“设置开关”。监管机构还会审查企业是否有合法处理依据、是否让用户真正理解数据用途、保存期限是否合理，以及企业能否证明自身的数据处理和治理机制合规。

在这起案件中，DPC认定谷歌在上述多个环节存在缺陷，因此作出4.03亿欧元罚款并附带六个月整改命令。4