Ирландската Комисия за защита на данните (DPC) наложи глоба от 403 млн. евро на Google за нарушения на европейските правила при обработването на данни за местоположението на потребителите.

Решението идва близо осем години след първите координирани жалби на европейски потребителски организации и засяга практики на компанията в периода от 25 май 2018 г. до 4 февруари 2020 г.

DPC е водещият европейски надзорен орган за Google по този случай, тъй като европейското дружество на технологичната компания е установено в Ирландия.

Разследването е започнато от регулатора през февруари 2020 г. след жалби от няколко европейски организации за защита на потребителите, включително Европейската организация на потребителите BEUC.

В окончателното решение са разгледани три конкретни функции на Google – Web & App Activity, Location History и Location Accuracy.

Регулаторът установява нарушения на Общия регламент относно защитата на данните – GDPR, включително по отношение на законосъобразността, добросъвестността и прозрачността на обработването на информация за местоположението.

При Web & App Activity и Location History DPC установява проблеми със законосъобразността и добросъвестността на обработването. При Location Accuracy, използвана в Android, регулаторът открива и недостатъци в прозрачността към потребителите.

Случаят е особено чувствителен заради естеството на информацията.

Данните за местоположение могат да покажат много повече от това къде се намира даден телефон в определен момент. При продължително събиране и комбиниране с друга информация те могат да позволят да бъдат направени заключения за работното място, ежедневните навици, интересите и посещаваните от даден човек места.

Заместник-комисарят на DPC Греъм Дойл посочи, че в резултат от установените недостатъци потребителите може да не са разбирали, че информацията за местоположението им се използва например за въздействие чрез реклами или за извеждане на заключения за техните интереси.

Според регулатора това може да доведе до загуба на контрол върху личните данни.

DPC поставя въпрос и за продължителността на съхранението на информацията. Според надзорния орган запазването на данни за местоположение по-дълго от необходимото допълнително е задълбочило проблема.

Глобата от 403 млн. евро, приблизително 463 млн. долара, е четвъртата по размер санкция, налагана досега от ирландския регулатор след влизането в сила на GDPR.

Финансовата санкция обаче не е единствената последица.

DPC е разпоредила на Google да предприеме коригиращи действия и да приведе съответното обработване на данни в съответствие с европейското законодателство в рамките на шест месеца.

Решението поставя край на едно от най-продължителните производства, произлезли от жалби на европейски потребителски организации срещу практиките на големите технологични компании.

Началото може да бъде проследено до ноември 2018 г., когато осем потребителски организации от Норвегия, Нидерландия, Гърция, Чехия, Словения, Полша, Швеция и Дания, координирани от BEUC, подават жалби или сезират националните власти за начина, по който Google следи местоположението на потребителите.

Жалбите се основават на изследване на норвежкия потребителски съвет Forbrukerrådet.

Организацията твърди, че интерфейсът и настройките на Google са насочвали потребителите към активиране на проследяването и не са им предоставяли достатъчно ясна и разбираема информация за последствията от избора им.

След почти осем години BEUC приветства санкцията, но отправи критики към продължителността на процедурата.

Според организацията толкова бавното правоприлагане е проблем само по себе си, тъй като при нарушения, засягащи цифрови услуги с огромен брой потребители, години могат да изминат преди окончателното решение.

От Google отговориха, че решението се отнася до исторически политики и практики, които впоследствие са били променени.

Компанията заяви, че от 2019 г. е направила значителни промени в начина, по който потребителите управляват информацията за местоположението си.

Сред въведените през годините промени са по-достъпни контроли за поверителност, възможности за автоматично изтриване на информация и промени в начина, по който определени данни за местоположението се съхраняват и управляват.

Това обаче не отменя отговорността за периода, разгледан от регулатора.

Решението на DPC се отнася конкретно до обработването между 25 май 2018 г. – датата, от която GDPR започна да се прилага – и 4 февруари 2020 г.

Важно е и друго уточнение: случаят не означава, че всяко използване на данни за местоположение от Google е незаконно.

GDPR допуска обработването на такива данни при наличие на валидно правно основание и при спазване на изискванията за прозрачност, ограничаване на целите, минимизиране на данните и сроковете за съхранение.

Именно начинът, по който тези принципи са били приложени в разглежданите функции и през конкретния период, е в основата на решението.

Казусът показва и защо Ирландия заема толкова важно място в европейския контрол върху технологичния сектор.

Множество американски технологични компании управляват европейските си операции от страната. При трансгранични случаи това превръща ирландската DPC във водещ надзорен орган по силата на механизма на GDPR.

От влизането на регламента в сила през 2018 г. ирландският регулатор е наложил санкции за милиарди евро на големи технологични компании.

Google също остава обект на други производства – според DPC срещу компанията продължават още няколко официални разследвания.

Новото решение обаче е сред най-значимите досега за Google в Ирландия заради комбинацията от размера на глобата и чувствителността на засегнатите данни.

403-те милиона евро са санкцията, но по-важният принцип зад решението е контролът на потребителя върху информацията за собственото му местоположение.

След почти осем години от първите жалби европейският регулатор стига до заключението, че през разглеждания период Google не е изпълнила изцяло изискванията на GDPR за начина, по който тези данни са били обработвани.

Компанията сега разполага с шест месеца, за да изпълни разпоредените мерки за съответствие, докато решението добавя още един мащабен случай към европейския контрол върху използването на лични данни от глобалните технологични платформи.