Google dostal v Európe obrovskú pokutu. Za údaje o polohe používateľov zaplatí 403 miliónov eur
Google dostal v Írsku pokutu 403 miliónov eur za spracovanie údajov o polohe používateľov. Úrad zistil problémy s GDPR, transparentnosťou aj uchovávaním lokalizačných údajov.
Google dostal od írskeho úradu na ochranu osobných údajov poriadne vysokú pokutu. Írsky Data Protection Commission (DPC) mu udelil sankciu v celkovej výške 403 miliónov eur. Dôvodom sa stalo spracovanie údajov o polohe používateľov. Prípad pritom nie je nový. Írsky úrad začal vlastné vyšetrovanie ešte vo februári 2020 po tom, čo dostal sťažnosti od viacerých európskych organizácií na ochranu spotrebiteľov vrátane organizácie BEUC.
Vyšetrovanie sa zameralo na spôsob, akým Google pracoval s lokalizačnými údajmi v troch konkrétnych funkciách. Išlo o Aktivitu na webe a v aplikáciách (Web & App Activity), Históriu polohy (Location History) a Presnosť polohy (Location Accuracy). Úrad skúmal obdobie od 25. mája 2018 do 4. februára 2020, teda obdobie po začiatku uplatňovania európskeho nariadenia GDPR.
Google podľa úradu porušil viacero pravidiel GDPR
DPC vo svojom rozhodnutí uviedol viacero problémov. Podľa úradu Google pri funkciách Web & App Activity a Location History nesplnil požiadavky týkajúce sa zákonnosti a férovosti spracovania údajov o polohe.
Ďalší problém sa týkal funkcie Location Accuracy. Google podľa úradu nedokázal dostatočne preukázať, že pri spracovaní osobných údajov splnil požiadavky GDPR na zákonnosť, férovosť a transparentnosť. A práve transparentnosť predstavuje v celom prípade dôležitú tému.
Používateľ totiž nemusí vždy presne vedieť, aké údaje o jeho polohe Google spracúva, na aký účel ich využíva a ako dlho si ich ponechá.
Neprehliadni
DPC zároveň kritizoval aj dobu uchovávania lokalizačných údajov v službách Web & App Activity a Location History. Podľa úradu Google tieto údaje uchovával dlhšie, než bolo potrebné. Výsledkom je pokuta 403 miliónov eur a zároveň príkaz, aby Google do šiestich mesiacov zosúladil svoje spracovanie údajov s požiadavkami GDPR.
Google môže z polohy zistiť oveľa viac než len miesto
Údaje o polohe na prvý pohľad pôsobia pomerne neškodne. Telefón jednoducho vie, kde sa nachádzaš. Problém nastane v momente, keď sa tieto informácie spoja s ďalšími údajmi. Z histórie polohy totiž možno odvodiť, kde bývaš, kde pracuješ, ktoré podniky navštevuješ alebo kam pravidelne cestuješ. Írsky úrad preto upozornil, že lokalizačné údaje môžu odhaliť aj informácie, ktoré patria medzi súkromné údaje človeka.
„Údaje o polohe môžu ľuďom prinášať výhody aj riziká. Môžu výrazne zvýšiť užitočnosť online služieb, ale zároveň môžu odhaliť veľké množstvo informácií o človeku vrátane údajov, ktoré majú zo svojej podstaty súkromný charakter,“ uviedol zástupca komisára DPC Graham Doyle.
Práve preto GDPR vyžaduje, aby firmy osobné údaje spracúvali zákonne, férovo a transparentne.
Čo vlastne robí Google s polohou?
Jedna z vyšetrovaných funkcií sa volá Web & App Activity. Ide o nastavenie účtu Google, ktoré môže zaznamenávať aktivitu používateľa v službách Google, na webových stránkach a v aplikáciách. Medzi údaje môže patriť história vyhľadávania, história prehliadania alebo práve informácie o polohe. Druhou funkciou je Location History, teda História polohy. Tá dokáže zaznamenávať polohu kompatibilného mobilného zariadenia.
Používateľ musí túto funkciu aktivovať. Google následne využíva údaje na vytvorenie informácií o navštívených miestach, aktivitách alebo trasách medzi jednotlivými miestami. Súčasťou služby je aj Časová os v Google Mapách. Tá vytvorí súkromnú mapu miest, ktoré si navštívil.
Dôležitý je pritom jeden detail. História polohy môže zaznamenávať údaje aj v čase, keď práve nepoužívaš konkrétnu službu Google. Zariadenie môže údaje získavať na základe toho, že máš službu aktivovanú a telefón pri sebe.
Tretia funkcia funguje trochu inak
Vyšetrovanie sa týkalo aj funkcie Location Accuracy. Tá neslúži priamo na vytváranie tvojej histórie navštívených miest. Ide o funkciu operačného systému Android, ktorá má zariadeniu pomôcť určiť jeho polohu presnejšie než samotný GPS čip.
Android pri určovaní polohy môže využiť viacero zdrojov. Vďaka tomu dokáže zariadenie získať presnejšiu predstavu o svojej polohe aj v situáciách, keď samotný GPS signál neposkytne dostatočne presný výsledok.
Na rozdiel od Location History túto funkciu môžu využívať používatelia Androidu aj bez účtu Google.
Úrad upozornil aj na reklamu
Lokalizačné údaje nemajú význam iba pri navigácii alebo zobrazovaní tvojej polohy v Google Mapách. Informácie o tom, kde sa pohybuješ, môžu pomôcť vytvoriť podrobnejší obraz o tvojich záujmoch a správaní. DPC preto upozornil, že nedostatočná transparentnosť mohla spôsobiť situáciu, pri ktorej používatelia nevedeli, že ich lokalizačné údaje môžu slúžiť napríklad na ovplyvňovanie zobrazovaných reklám alebo na odhadovanie ich záujmov.
„V dôsledku nedostatkov Googlu si ľudia nemuseli byť vedomí toho, že ich poloha sa používa napríklad na ovplyvňovanie reklám alebo na odhadovanie ich záujmov, a mohli tak stratiť kontrolu nad svojimi osobnými údajmi,“ uviedol Doyle.
Podľa DPC situáciu ešte zhoršilo dlhšie uchovávanie údajov, než bolo podľa úradu potrebné.
Pokuta ešte nie je celý príbeh
Rozhodnutie írskeho úradu neznamená iba finančný trest. Google musí podľa DPC svoje spracovanie údajov upraviť tak, aby spĺňalo požiadavky GDPR. Na vykonanie potrebných zmien dostal šesť mesiacov. DPC zároveň uviedol, že na vyšetrovaní spolupracoval s ďalšími európskymi dozornými orgánmi. Zaujímavé je aj to, že prípad sa začal ešte v roku 2020 a týkal sa konkrétne obdobia do februára 2020. Úrad teda nerozhodoval o každom súčasnom nastavení služieb Google, ale o postupoch, ktoré skúmal v rámci tohto vyšetrovania.
DPC zatiaľ zverejnil svoje konečné stanovisko a uviedol výšku pokuty. Úplné rozhodnutie chce zverejniť neskôr.
Pre používateľa je tak najzaujímavejšou otázkou najmä to, aké konkrétne zmeny bude musieť Google po tomto rozhodnutí vykonať. Práve tie môžu ukázať, ako sa požiadavky európskeho GDPR premietnu do fungovania služieb, ktoré každý deň pracujú s údajmi o polohe.
