Pokuta Googlu €403m, příkaz zůstává skrytý

Irský Úřad pro ochranu osobních údajů (DPC) uložil Googlu 21. září pokutu 403 milionů eur za způsob, jakým tři funkce zpracovávaly údaje o poloze v Evropském hospodářském prostoru (Irish DPC, Euronews). Pokuta je zatím to jediné, co je vidět. DPC nezveřejnil odůvodnění, výpočet sankce, konkrétní porušení práva ani příkaz k nápravě. Téměř osm let poté, co spotřebitelské organizace podaly stížnosti, tak veřejnost stále nemůže posoudit, zda výše pokuty a požadovaná náprava odpovídají zjištěným porušením.

Co DPC oznámil — a co nezveřejnil

Šetření se týkalo postupů z období od května 2018 do února 2020 a tří funkcí Googlu: Aktivita na webu a v aplikacích, Historie polohy a Přesnost polohy v systému Android. Podstatné bylo jejich vzájemné fungování: uživateli, který vypnul Historii polohy, se mohly údaje související s polohou dál ukládat prostřednictvím Aktivity na webu a v aplikacích. Norská spotřebitelská rada na tento rozpor upozornila ve zprávě z roku 2018. Regulatorní otázka zněla, zda uživatelé mohli pochopit společný účinek několika oddělených nastavení, která určovala, kde se pohybují, kdy a jak často.

Závěry se u jednotlivých funkcí lišily. U Aktivity na webu a v aplikacích a u Historie polohy DPC zjistil porušení zásad zákonnosti, spravedlnosti a transparentnosti. Ve svém oznámení sice tato porušení uvádí, ale nevysvětluje, na jaký právní základ se Google odvolával ani proč ho úřad považoval za nedostatečný (Irish DPC). U Přesnosti polohy DPC oznámil, že Google nedokázal prokázat soulad s pravidly, což představuje porušení povinnosti prokazatelné odpovědnosti. Nezveřejněné rozhodnutí může objasnit, co úřad dospěl k závěru ohledně samotného zpracování. Nadměrné uchovávání údajů zjistil pouze u prvních dvou funkcí.

Většina zpráv tyto rozdíly zjednodušila na tvrzení, že „Google sledoval uživatele kvůli reklamě“. Zjištěná porušení jsou širší. Stále není jasné, jak se 403 milionů eur rozdělí mezi jednotlivá porušení a jaký podíl na pokutě připadá na každou funkci. DPC uvedl, že úplné rozhodnutí zveřejní „později“ (Irish DPC).

Od stížnosti k pokutě uplynulo osm let

Spotřebitelské organizace z osmi zemí podaly v listopadu 2018 koordinované stížnosti prostřednictvím BEUC, evropské zastřešující organizace na ochranu spotřebitelů (BEUC, Forbrukerrådet). DPC zahájil vlastní šetření v únoru 2020 a výsledek oznámil v září 2026. Nizozemská organizace Consumentenbond výsledek přivítala, zároveň ale zdůraznila, že spotřebitelé čekali téměř osm let (Consumentenbond). BEUC upozornil, že vymáhání práva, které přichází až poté, co se produkty změnily, ztrácí velkou část preventivního účinku (BEUC).

Mechanismus jednotného kontaktního místa podle GDPR, kdy jeden národní regulátor vede řízení proti firmě s přeshraničním působením, soustředil případ v Dublinu. Google tam má své relevantní evropské sídlo (GDPR, EUR-Lex). Ostatní úřady mohly připomínkovat návrh nebo vznést námitku, vyšetřování však vedl DPC. Úřad poděkoval partnerským regulátorům za „spolupráci a pomoc“, neuvedl ale, které úřady se zapojily ani zda některý z nich vznesl námitku. V rejstříku závazných rozhodnutí Evropského sboru pro ochranu osobních údajů se odpovídající rozhodnutí neobjevilo.

Google se brání a příkaz k nápravě zůstává neveřejný

Google tvrdí, že se rozhodnutí týká historických postupů, které už firma změnila. V roce 2019 zavedl automatické mazání údajů, v roce 2020 nastavil pro nové uživatele ochrannější výchozí nastavení a později přesunul data z časové osy v Mapách směrem k ukládání přímo v zařízení (BleepingComputer). Tyto změny mohou omezit rozsah dalších opatření, která bude Google muset přijmout. Zpětně však nezlegalizují zpracování údajů z let 2018 až 2020 a firemní popis reforem sám o sobě není nezávislým důkazem souladu s pravidly.

Příkaz k nápravě, který má platit šest měsíců, může být důležitější než samotná pokuta. DPC ale nezveřejnil, co přesně musí Google změnit: zda má smazat historická data, jak se bude plnění ověřovat ani kdy začne běžet stanovená lhůta. Pokutu musí před zaplacením potvrdit irský soud a Google se proti ní může odvolat (EUobserver).

Mechanismus jednotného kontaktního místa dal rozhodnutí široký dosah: jediný verdikt upravuje zpracování údajů o poloze společností Google v celém Evropském hospodářském prostoru. Nezabránil však téměř osmiletému čekání. Dokud DPC nezveřejní odůvodnění a příkaz k nápravě, rozhodnutí sice potvrzuje porušení pravidel, ale neumožňuje zvenčí posoudit, zda jim odpovídají pokuta a uložená opatření. Teprve zveřejněný příkaz ukáže, zda Google bude muset data smazat, přepracovat svá nastavení, nebo jen doložit reformy, které už provedl.