Google dobio kaznu od 403 miliona evra zbog lokacijskih podataka
Irska Komisija za zaštitu podataka (DPC) izrekla je Googleu kaznu od 403 miliona evra zbog kršenja GDPR-a u obradi podataka o lokaciji kroz funkcije Web & App Activity, Location History i Location Accuracy. Postupak se odnosi na period od maja 2018. do februara 2020, a Google ima rok od šest meseci da obradu uskladi sa propisima.
Tri funkcije, različiti nalazi regulatora
Web & App Activity je podešavanje Google naloga koje, kada je uključeno, omogućava obradu aktivnosti korisnika na sajtovima i u aplikacijama, uključujući podatke o lokaciji. Location History zahteva pristanak korisnika i beleži kretanje prijavljenog mobilnog uređaja čak i kada korisnik ne koristi Google servis.
Za obe funkcije DPC je utvrdio povrede pravila GDPR-a o zakonitoj i pravičnoj obradi, transparentnosti i čuvanju podataka duže nego što je potrebno. Regulator smatra da su takvi propusti mogli ostaviti korisnike bez jasne informacije da se njihova lokacija koristi, na primer za uticaj putem oglasa ili zaključivanje o njihovim interesovanjima.
Location Accuracy je Android funkcija za preciznije određivanje lokacije od samog GPS-a i dostupna je korisnicima sa Google nalogom i bez njega. U tom delu odluke nalaz je uži: Google je prekršio obaveze transparentnosti i odgovornosti jer nije mogao da dokaže da je obrada zakonita, pravična i transparentna.
Postupak, rokovi i promene podešavanja
DPC je istragu otvorio u februaru 2020, nakon pritužbi evropskih potrošačkih organizacija, među njima i BEUC-a. Ispitivani period završen je 4. februara 2020, na dan objave istrage, dok je odluka doneta više od šest i po godina kasnije. BEUC je pozdravio odluku, ali je ukazao na dugo trajanje postupka.
Ovo je četvrta najveća novčana kazna koju je DPC izrekao. Ipak, iznos još nije naplativ: irski sud mora da potvrdi kaznu, a Google može da uloži žalbu Višem sudu u roku od 28 dana od prijema formalnog obaveštenja. DPC još nije objavio koje konkretne obrade obuhvata nalog za usklađivanje niti da li su kasnije izmene dovoljne.
Google je saopštio da se predmet odnosi na istorijske politike koje su u međuvremenu ažurirane i da je praksu znatno promenio od 2019. Kompanija je u maju 2019. predstavila automatsko brisanje podataka za Location History i Web & App Activity nakon tri ili 18 meseci, a u junu 2020. postavila rok od 18 meseci kao podrazumevani za nove naloge i za korisnike koji prvi put uključe Location History.
Šta organizacije mogu da provere
Google je u decembru 2023. najavio da će Timeline, funkcija Google Maps koja prikazuje istoriju lokacija na mapi, podatke čuvati na uređajima korisnika. Za one koji prvi put uključe Location History podrazumevano automatsko brisanje postavljeno je na tri meseca. U srodnom bezbednosnom kontekstu, upravljanje podacima i bezbednosna ažuriranja pokazuje da se upravljanje podacima i bezbednosna ažuriranja prepliću u svakodnevnom radu digitalnih platformi.
Za poslovanje je ključna proverljiva evidencija: koje lokacijske podatke sistem prikuplja, na kom pravnom osnovu, koliko dugo ih zadržava i da li su korisnicima objašnjeni razumljivo. Kontrole privatnosti i automatsko brisanje nisu zamena za dokazivanje zakonitosti obrade, pa usklađenost treba redovno dokumentovati kroz ceo životni ciklus proizvoda.