Google получила штраф €403 млн за нарушения GDPR при работе с геоданными
Ирландская Комиссия по защите данных (DPC) оштрафовала Google на €403 млн за нарушения GDPR при обработке данных о местоположении с мая 2018 года по февраль 2020 года. Решение затрагивает настройки Web & App Activity, Location History и функцию Android Location Accuracy; компании также предписано привести обработку данных в соответствие с требованиями закона в течение шести месяцев.
Какие претензии предъявила DPC
Web & App Activity позволяет Google обрабатывать сведения об активности пользователя на сайтах и в приложениях, включая геоданные. Location History включается пользователем отдельно и фиксирует перемещения устройства, на котором выполнен вход в аккаунт, в том числе когда сервис Google не используется.
По этим двум механизмам DPC установила нарушения требований GDPR о законной и добросовестной обработке, прозрачности и ограничении срока хранения. Регулятор посчитал, что данные о местоположении сохранялись дольше необходимого.
Location Accuracy повышает точность определения координат устройства по сравнению с одним GPS и доступна пользователям Android как с аккаунтом Google, так и без него. По этой функции DPC указала на недостаточную прозрачность и нарушение принципа подотчётности: Google не смогла продемонстрировать, что обработка была законной, добросовестной и прозрачной.
Почему геоданные оказались в центре решения
Заместитель комиссара DPC Грэм Дойл отметил, что из-за выявленных недостатков люди могли не знать, что сведения об их местоположении используются, например, для воздействия рекламой или определения интересов. Длительное хранение таких данных, по оценке регулятора, усугубляло потерю контроля над персональной информацией.
Проверка началась в феврале 2020 года после жалоб европейских потребительских организаций, включая BEUC. Жалобы были поданы национальным органам по защите данных ещё в ноябре 2018 года. Рассмотренный DPC период завершился 4 февраля 2020 года — в день объявления расследования.
Сумма €403 млн стала четвёртым по величине штрафом, вынесенным ирландским регулятором. Однако взыскать его пока нельзя: решение должно подтвердить ирландский суд. После получения официального уведомления Google вправе в течение 28 дней обжаловать постановление в Высоком суде Ирландии.
Изменения в продуктах Google и последствия для компаний
Google заявила Associated Press, что дело касается исторических политик, которые с тех пор обновлялись, а практики компании существенно изменились с 2019 года. В мае 2019 года компания представила автоматическое удаление данных Location History и Web & App Activity через 3 или 18 месяцев. В июне 2020 года 18-месячный срок стал значением по умолчанию для новых аккаунтов с Web & App Activity и для впервые включающих Location History.
В декабре 2023 года Google сообщила, что Timeline в Google Maps будет хранить данные истории местоположений на устройстве пользователя, а для впервые включающих Location History автоматическое удаление по умолчанию составит три месяца. DPC не уточняла публично, достаточно ли этих изменений для исполнения нынешнего предписания.
Для организаций, работающих с координатами, маршрутами и поведенческими профилями, риски обработки данных в цифровых сервисах показывает, что риск складывается не только из технических уязвимостей, но и из непрозрачной обработки данных. Практический вывод — документировать основания обработки, объяснять пользователю назначение геоданных и регулярно проверять, действительно ли срок их хранения необходим.