愛爾蘭資料保護委員會（Data Protection Commission，DPC）向 Google Ireland Limited 處以合共 4.03 億歐元 GDPR 罰款，焦點並非單純「有冇收集位置資料」，而係 Google 當年點樣處理呢類極具私隱性的資料。

調查涵蓋由 GDPR 開始適用的 2018 年 5 月 25 日，至 2020 年 2 月 4 日；涉及三項功能：「Web 與應用程式活動」（Web & App Activity）、「位置記錄」（Location History）及「位置準確度」（Location Accuracy）。DPC 在 2020 年 2 月、接獲包括歐洲消費者組織 BEUC 在內的消費者團體投訴後展開調查。 4

DPC 認定咗啲乜？

「Web 與應用程式活動」及「位置記錄」：處理方式唔符合法律及公平原則

DPC 認定，Google 透過「Web 與應用程式活動」及「位置記錄」處理位置數據時，違反 GDPR 對個人資料「合法及公平」處理的基本要求。 4

呢個判斷的關鍵在於：這些設定可將位置資訊與用戶使用 Google 服務的活動連結起來。DPC 的結論是，在被調查的期間，Google 的處理做法未達 GDPR 所要求的合法、公平標準。 4

「位置準確度」：Google 未能證明自己合規

至於「位置準確度」，DPC 指 Google 未履行 GDPR 的問責責任（accountability）。換句話講，Google 未能證明其處理方式符合「合法、公平及透明」的原則。 4

問責唔止係公司話自己有守私隱規則就得；按 DPC 的裁決，企業要能夠實際展示其資料處理設計及做法確實符合法例。 4

三項功能都有透明度不足問題

DPC 同時認定三項功能都違反透明度要求。實際影響是，用戶有可能唔知道自己嘅位置資料被用作甚麼用途，例如用來影響廣告投放，或者推斷其興趣。 4

監管機構認為，資訊交代得唔清楚，會令用戶難以真正掌控可揭示個人行蹤及生活細節的資料。 4

資料保存時間過長

DPC 亦指 Google 在「Web 與應用程式活動」及「位置記錄」中保存位置資料的時間超出必要範圍。監管機構認為，呢個問題加劇用戶失去對個人資料控制權的情況，尤其是位置數據可以反映不少私人生活資訊。 4

Google 點回應？

Google 表示，案件針對的是「已經更新」的歷史政策，並稱自 2019 年起已大幅改變做法、推出工具，令管理位置資料更容易。Google 亦提到自動刪除設定，讓用戶可選擇以滾動方式，在 3 個月、18 個月或 36 個月後自動刪除資料。 2

不過，這些後來的改動不會改變 DPC 對 2018 至 2020 年期間做法的裁決；它們反映的是 Google 對現時措施已不同於被調查政策的回應。 2

Google 有幾耐時間整改？

除咗金錢罰款，DPC 命令 Google 必須在 6 個月內，令涉事資料處理方式符合 GDPR。 4

BEUC：裁決係好消息，但執法實在太慢

BEUC 是促成調查的消費者組織之一。它歡迎裁決，指決定確認 Google 取得同意以使用民眾位置資料的方式屬違法；但 BEUC 同時批評，由投訴到有決定所花的時間不成比例。 24

呢點帶出兩個不同但同樣重要的問題：追蹤位置的做法有冇符合 GDPR，以及監管執法是否夠快，快到足以為消費者提供有意義的補救。 24

對用戶同企業有咩啟示？

今次個案顯示，位置私隱合規唔係提供一個設定頁面就算。監管機構可以檢視：資料處理有冇有效法律依據、用戶是否真正明白資料會點用、保存期限有冇理據，以及公司能否證明整套設計與管治措施符合規定。

DPC 今次認定 Google 在上述多個環節有不足，因此作出 4.03 億歐元罰款。 4

愛爾蘭資料保護委員會（Data Protection Commission，DPC）向 Google Ireland Limited 處以合共 4.03 億歐元 GDPR 罰款，焦點並非單純「有冇收集位置資料」，而係 Google 當年點樣處理呢類極具私隱性的資料。

調查涵蓋由 GDPR 開始適用的 2018 年 5 月 25 日，至 2020 年 2 月 4 日；涉及三項功能：「Web 與應用程式活動」（Web & App Activity）、「位置記錄」（Location History）及「位置準確度」（Location Accuracy）。DPC 在 2020 年 2 月、接獲包括歐洲消費者組織 BEUC 在內的消費者團體投訴後展開調查。 4

DPC 認定咗啲乜？

「Web 與應用程式活動」及「位置記錄」：處理方式唔符合法律及公平原則

DPC 認定，Google 透過「Web 與應用程式活動」及「位置記錄」處理位置數據時，違反 GDPR 對個人資料「合法及公平」處理的基本要求。 4

呢個判斷的關鍵在於：這些設定可將位置資訊與用戶使用 Google 服務的活動連結起來。DPC 的結論是，在被調查的期間，Google 的處理做法未達 GDPR 所要求的合法、公平標準。 4

「位置準確度」：Google 未能證明自己合規

至於「位置準確度」，DPC 指 Google 未履行 GDPR 的問責責任（accountability）。換句話講，Google 未能證明其處理方式符合「合法、公平及透明」的原則。 4

問責唔止係公司話自己有守私隱規則就得；按 DPC 的裁決，企業要能夠實際展示其資料處理設計及做法確實符合法例。 4

三項功能都有透明度不足問題

DPC 同時認定三項功能都違反透明度要求。實際影響是，用戶有可能唔知道自己嘅位置資料被用作甚麼用途，例如用來影響廣告投放，或者推斷其興趣。 4

監管機構認為，資訊交代得唔清楚，會令用戶難以真正掌控可揭示個人行蹤及生活細節的資料。 4

資料保存時間過長

DPC 亦指 Google 在「Web 與應用程式活動」及「位置記錄」中保存位置資料的時間超出必要範圍。監管機構認為，呢個問題加劇用戶失去對個人資料控制權的情況，尤其是位置數據可以反映不少私人生活資訊。 4

Google 點回應？

Google 表示，案件針對的是「已經更新」的歷史政策，並稱自 2019 年起已大幅改變做法、推出工具，令管理位置資料更容易。Google 亦提到自動刪除設定，讓用戶可選擇以滾動方式，在 3 個月、18 個月或 36 個月後自動刪除資料。 2

不過，這些後來的改動不會改變 DPC 對 2018 至 2020 年期間做法的裁決；它們反映的是 Google 對現時措施已不同於被調查政策的回應。 2

Google 有幾耐時間整改？

除咗金錢罰款，DPC 命令 Google 必須在 6 個月內，令涉事資料處理方式符合 GDPR。 4

BEUC：裁決係好消息，但執法實在太慢

BEUC 是促成調查的消費者組織之一。它歡迎裁決，指決定確認 Google 取得同意以使用民眾位置資料的方式屬違法；但 BEUC 同時批評，由投訴到有決定所花的時間不成比例。 24

呢點帶出兩個不同但同樣重要的問題：追蹤位置的做法有冇符合 GDPR，以及監管執法是否夠快，快到足以為消費者提供有意義的補救。 24

對用戶同企業有咩啟示？

今次個案顯示，位置私隱合規唔係提供一個設定頁面就算。監管機構可以檢視：資料處理有冇有效法律依據、用戶是否真正明白資料會點用、保存期限有冇理據，以及公司能否證明整套設計與管治措施符合規定。

DPC 今次認定 Google 在上述多個環節有不足，因此作出 4.03 億歐元罰款。 4