Глобата от €403 млн. за Google крие условията

Комисията за защита на данните на Ирландия глоби Google с 403 млн. евро на 21 септември за начина, по който три функции за местоположение са обработвали лични данни в Европейското икономическо пространство (ирландската комисия, Euronews). Глобата е видимата част от решението. Комисията все още не е публикувала мотивите, изчислението на санкцията, конкретните правни нарушения или задължителното предписание за привеждане в съответствие. Почти осем години след жалбите на потребителски организации обществото още не може да прецени дали санкцията и наложените мерки съответстват на нарушенията.

Какво обяви ирландската комисия — и какво не публикува

Разследването обхваща периода от май 2018 до февруари 2020 г. и три функции на Google: „Активност в мрежата и приложенията“, „История на местоположенията“ и „Точност на местоположението“ в Android. Важната връзка между тях е, че потребител, изключил „История на местоположенията“, все пак е можел да остави информация, свързана с местоположението, да бъде запазвана чрез „Активност в мрежата и приложенията“. Норвежкият съвет за потребителите описа тази празнина в доклад от 2018 г.. Регулаторният въпрос е бил дали потребителите могат да разберат общия ефект от отделни настройки, които определят къде, кога и колко често се запазва информация за движението им.

Констатациите са различни за отделните функции. При „Активност в мрежата и приложенията“ и „История на местоположенията“ са установени нарушения, свързани със законосъобразността, справедливостта и прозрачността на обработването. В съобщението си комисията посочва тези нарушения, но не разкрива на какво правно основание Google е обработвал данните и защо според нея то е било недостатъчно (ирландската комисия). За „Точност на местоположението“ обявената констатация е, че Google не е доказал спазването на изискванията — нарушение на задължението за отчетност. Непубликуваното решение може да изясни какво е заключила комисията за самото обработване. Само при първите две функции е установено прекомерно съхраняване на данни.

Повечето публикации сведоха случая до твърдението, че „Google е следил потребители за реклами“. Констатациите обхващат и повече от рекламното използване на данни. Как са разпределени 403-те млн. евро между нарушенията и какъв е приносът на всяка функция, остава неизвестно. Комисията заявява, че пълното решение ще бъде публикувано „своевременно“ (ирландската комисия).

Осем години от жалбата до глобата

Потребителски организации от осем държави подадоха координирани жалби през ноември 2018 г. чрез Европейската потребителска организация БЕУК (БЕУК, Норвежкия съвет за потребителите). Ирландската комисия започна собствено разследване през февруари 2020 г. и обяви резултата през септември 2026 г. Нидерландската потребителска организация „Консументенбонд“ определи резултата като успех, но подчерта, че потребителите са чакали почти осем години („Консументенбонд“). БЕУК посочи, че когато санкцията идва след промяна на продуктите, превантивният ѝ ефект отслабва (БЕУК).

Механизмът „обслужване на едно гише“ по Общия регламент за защита на данните, при който един национален регулатор води дела срещу компании с трансгранична дейност, концентрира контрола върху този случай в Дъблин. Причината е, че там се намира съответното европейско звено на Google (ОРЗД, EUR-Lex). Другите регулатори са можели да коментират или да възразят, но разследването е било ръководено от ирландската комисия. Тя благодари на колегите си за „сътрудничеството и съдействието“, без да ги назовава и без да съобщава дали някой е възразил. В регистъра на задължителните решения за разрешаване на спорове на Европейския комитет по защита на данните няма съответно решение.

Защитата на Google и липсващото предписание

Google твърди, че решението разглежда стари практики, които компанията вече е променила. През 2019 г. тя въведе настройки за автоматично изтриване, през 2020 г. зададе по-защитени настройки по подразбиране за новите потребители, а по-късно започна да прехвърля данните от хронологията в „Карти“ към съхранение на самото устройство (BleepingComputer). Тези промени може да ограничават какво още трябва да промени Google. Те обаче не правят обработването от 2018–2020 г. законосъобразно със задна дата, а описанието на компанията за собствените ѝ реформи не е независимо доказателство за спазване на правилата.

Предписанието за привеждане в съответствие, което трябва да се изпълни в рамките на шест месеца, може да се окаже по-важно от глобата. Комисията обаче не е публикувала какво точно трябва да промени Google: дали да изтрие исторически данни, как ще бъде проверено спазването на изискванията и от кога започва да тече срокът. Самата глоба трябва да бъде потвърдена от ирландски съд, преди да бъде платена, а Google може да обжалва (EUobserver).

Механизмът „обслужване на едно гише“ придаде на решението широк обхват: една санкция урежда обработването на данни за местоположението от Google в цялото Европейско икономическо пространство. Той обаче не предотврати почти осемгодишното забавяне. Докато ирландската комисия не публикува мотивите и предписанието си, решението установява нарушения, но не позволява на външни наблюдатели да преценят дали санкцията и мерките съответстват на тях. От непубликуваното предписание ще стане ясно дали Google трябва да изтрие данни, да промени настройките си или само да документира вече извършени реформи.