Google får bøde, men ordren skjules

Irlands datatilsyn, Data Protection Commission, gav 21. september Google en bøde på 403 mio. euro for behandlingen af persondata i tre lokationsfunktioner i Det Europæiske Økonomiske Samarbejdsområde (Irish DPC, Euronews). Bøden er den synlige del af sagen. Data Protection Commission har ikke offentliggjort den begrundede afgørelse, beregningen af bøden, de præcise lovovertrædelser eller det påbud, Google skal efterleve. Næsten otte år efter forbrugerorganisationernes klager kan offentligheden stadig ikke vurdere, om straffen og påbuddet står mål med overtrædelserne.

Hvad Data Protection Commission har oplyst – og hvad der mangler

Undersøgelsen omfattede Googles praksis fra maj 2018 til februar 2020 i tre funktioner: Web & App Activity, Location History og Android's Location Accuracy. Det afgørende samspil mellem dem var, at brugere, som slog Location History fra, stadig kunne få lokationsrelaterede oplysninger gemt gennem Web & App Activity. Norges Forbrukerråd dokumenterede dette hul i en rapport fra 2018. Det juridiske spørgsmål var, om brugerne kunne forstå den samlede effekt af separate indstillinger for, hvor de befandt sig, hvornår og hvor ofte.

Resultaterne var forskellige for de tre funktioner. Web & App Activity og Location History blev kendt ulovlige på grund af manglende lovlighed, rimelighed og gennemsigtighed. Data Protection Commissions meddelelse oplister lovovertrædelserne, men oplyser ikke, hvilket retsgrundlag Google påberåbte sig, eller hvorfor det ikke var tilstrækkeligt (Irish DPC). For Location Accuracy lød afgørelsen, at Google ikke havde dokumenteret, at behandlingen overholdt reglerne. Det er en overtrædelse af virksomhedens ansvar for at kunne dokumentere sin efterlevelse. Den ikke-offentliggjorte afgørelse kan vise, hvad Data Protection Commission konkluderede om selve behandlingen. Kun de to første funktioner blev kendt for at gemme data længere end tilladt.

Meget af omtalen kogte sagen ned til, at »Google fulgte efter brugerne med henblik på annoncer«. Overtrædelserne rækker længere end annoncering. Det er fortsat uvist, hvordan de 403 mio. euro blev fordelt på overtrædelserne, og hvor meget hver funktion bidrog med. Data Protection Commission oplyser, at den fulde afgørelse følger »til sin tid« (Irish DPC).

Otte år fra klage til bøde

Forbrugerorganisationer i otte lande indgav i november 2018 koordinerede klager gennem BEUC, den europæiske paraplyorganisation for forbrugere (BEUC, Forbrukerrådet). Data Protection Commission indledte sin egen undersøgelse i februar 2020 og offentliggjorde resultatet i september 2026. Den nederlandske Consumentenbond fejrede udfaldet, men understregede samtidig, at forbrugerne havde ventet næsten otte år (Consumentenbond). BEUC argumenterede for, at håndhævelse, der først kommer efter at produkterne er ændret, mister en stor del af sin forebyggende virkning (BEUC).

GDPR's one-stop-shop-mekanisme, hvor ét nationalt datatilsyn leder sager mod virksomheder med grænseoverskridende aktiviteter, samlede kontrollen med sagen i Dublin, fordi Googles relevante europæiske hovedsæde ligger der (GDPR, EUR-Lex). Andre tilsyn kunne kommentere eller gøre indsigelse, men Data Protection Commission stod for undersøgelsen. Tilsynet takkede sine kolleger for »samarbejde og bistand« uden at nævne dem eller oplyse, om nogen gjorde indsigelse. Der er heller ikke dukket en tilsvarende afgørelse op i Det Europæiske Databeskyttelsesråds register over bindende afgørelser i tvister.

Googles forsvar og det manglende påbud

Google argumenterer for, at afgørelsen handler om historisk praksis, som virksomheden allerede har ændret. I 2019 indførte Google automatisk sletning, i 2020 satte virksomheden mere beskyttende standardindstillinger for nye brugere, og senere flyttede den Maps Timeline-data mod lagring på selve enheden (BleepingComputer). Ændringerne kan begrænse, hvad Google stadig skal gøre. De gør ikke behandlingen fra 2018 til 2020 lovlig med tilbagevirkende kraft, og virksomhedens egne beskrivelser af reformerne dokumenterer ikke uafhængigt, at reglerne bliver overholdt.

Det seks måneder lange påbud om at bringe forholdene i orden kan få større betydning end selve bøden. Men Data Protection Commission har ikke offentliggjort, hvad Google konkret skal ændre: om historiske data skal slettes, hvordan efterlevelsen skal kontrolleres, eller hvornår fristen begynder. Bøden skal først godkendes af en irsk domstol, før den kan betales, og Google kan anke (EUobserver).

One-stop-shop-mekanismen gav afgørelsen rækkevidde: Én afgørelse gælder for Googles lokationsbehandling i hele Det Europæiske Økonomiske Samarbejdsområde. Mekanismen forhindrede ikke en ventetid på næsten otte år. Indtil Data Protection Commission offentliggør sin begrundelse og sit påbud, fastslår afgørelsen overtrædelserne, men giver ikke udenforstående mulighed for at vurdere, om straf og afhjælpning står mål med dem. Det ikke-offentliggjorte påbud vil vise, om Google skal slette data, redesigne sine indstillinger eller blot dokumentere reformer, der allerede er gennemført.