Το πρόστιμο €403m στη Google κρύβει την εντολή

Η ιρλανδική Επιτροπή Προστασίας Δεδομένων επέβαλε στις 21 Σεπτεμβρίου στη Google πρόστιμο 403 εκατ. ευρώ για τον τρόπο με τον οποίο τρεις λειτουργίες τοποθεσίας επεξεργάζονταν προσωπικά δεδομένα στον Ευρωπαϊκό Οικονομικό Χώρο (Irish DPC, Euronews). Το πρόστιμο είναι το πιο προβεβλημένο στοιχείο της υπόθεσης. Η Επιτροπή, όμως, δεν έχει δημοσιεύσει την αιτιολογημένη απόφαση, τον υπολογισμό του προστίμου, τις συγκεκριμένες νομικές παραβάσεις ή την εντολή συμμόρφωσης. Σχεδόν οκτώ χρόνια μετά τις καταγγελίες οργανώσεων καταναλωτών, το κοινό εξακολουθεί να μην μπορεί να κρίνει αν η ποινή και τα διορθωτικά μέτρα αντιστοιχούν στις παραβάσεις.

Τι ανακοίνωσε η Επιτροπή Προστασίας Δεδομένων — και τι δεν έχει δημοσιεύσει

Η έρευνα εξέτασε πρακτικές από τον Μάιο του 2018 έως τον Φεβρουάριο του 2020 σε τρεις λειτουργίες της Google: Web & App Activity, Location History και Android's Location Accuracy. Το κρίσιμο σημείο ήταν η αλληλεπίδρασή τους: ένας χρήστης που απενεργοποιούσε το Location History μπορούσε και πάλι να αποθηκεύει πληροφορίες σχετικές με την τοποθεσία του μέσω του Web & App Activity. Το Συμβούλιο Καταναλωτών της Νορβηγίας είχε καταγράψει το κενό αυτό σε έκθεση του 2018. Το ρυθμιστικό ερώτημα ήταν αν οι χρήστες μπορούσαν να κατανοήσουν τη συνδυασμένη επίδραση διαφορετικών ρυθμίσεων που καθόριζαν πού βρίσκονταν, πότε και πόσο συχνά.

Τα ευρήματα διέφεραν ανά λειτουργία. Για τις Web & App Activity και Location History διαπιστώθηκαν παραβάσεις ως προς τη νομιμότητα, τη δικαιοσύνη και τη διαφάνεια. Η ανακοίνωση της Επιτροπής παραθέτει τις σχετικές διαπιστώσεις βάσει του νόμου, δεν αποκαλύπτει όμως ποια νομική βάση επικαλέστηκε η Google ούτε γιατί κρίθηκε ανεπαρκής (Irish DPC). Για το Location Accuracy, η ανακοινωθείσα διαπίστωση ήταν ότι η Google δεν απέδειξε τη συμμόρφωσή της, γεγονός που συνιστά παράβαση της αρχής της λογοδοσίας. Η απόφαση που δεν έχει ακόμη δημοσιευθεί ενδέχεται να αποσαφηνίσει τι συμπέρανε η Επιτροπή για την ίδια την επεξεργασία των δεδομένων. Μόνο για τις δύο πρώτες λειτουργίες διαπιστώθηκε υπερβολική διατήρηση δεδομένων.

Η μεγαλύτερη μερίδα της δημοσιότητας συμπύκνωσε τις διαπιστώσεις στη φράση «η Google παρακολουθούσε τους χρήστες για διαφημιστικούς σκοπούς». Το εύρος τους είναι μεγαλύτερο. Παραμένει άγνωστο πώς επιμερίστηκαν τα 403 εκατ. ευρώ στις επιμέρους παραβάσεις και ποια ήταν η συμβολή κάθε λειτουργίας. Η Επιτροπή αναφέρει ότι η πλήρης απόφαση θα δημοσιευθεί «εν ευθέτω χρόνω» (Irish DPC).

Οκτώ χρόνια από την καταγγελία έως το πρόστιμο

Οργανώσεις καταναλωτών από οκτώ χώρες υπέβαλαν συντονισμένες καταγγελίες τον Νοέμβριο του 2018 μέσω της BEUC, της ευρωπαϊκής ομοσπονδίας καταναλωτών (BEUC, Forbrukerrådet). Η Επιτροπή Προστασίας Δεδομένων ξεκίνησε τη δική της έρευνα τον Φεβρουάριο του 2020 και ανακοίνωσε το αποτέλεσμα τον Σεπτέμβριο του 2026. Η ολλανδική Consumentenbond χαιρέτισε την απόφαση, υπογράμμισε όμως ότι οι καταναλωτές περίμεναν σχεδόν οκτώ χρόνια (Consumentenbond). Η BEUC υποστήριξε ότι η επιβολή κυρώσεων, όταν τα προϊόντα έχουν ήδη αλλάξει, χάνει μεγάλο μέρος της προληπτικής της αξίας (BEUC).

Ο μηχανισμός ενιαίας εξυπηρέτησης του Γενικού Κανονισμού για την Προστασία Δεδομένων, μέσω του οποίου μία εθνική αρχή αναλαμβάνει τις υποθέσεις εταιρειών με διασυνοριακή δραστηριότητα, συγκέντρωσε τον έλεγχο της υπόθεσης στο Δουβλίνο, καθώς εκεί βρίσκεται η αρμόδια ευρωπαϊκή εγκατάσταση της Google (GDPR, EUR-Lex). Οι άλλες αρχές μπορούσαν να υποβάλουν σχόλια ή αντιρρήσεις, την έρευνα όμως διενήργησε η ιρλανδική Επιτροπή. Η ίδια ευχαρίστησε τις ομόλογες αρχές για τη «συνεργασία και τη συνδρομή» τους, χωρίς να τις κατονομάσει ή να αποκαλύψει αν κάποια διατύπωσε αντίρρηση. Παράλληλα, δεν εμφανίστηκε αντίστοιχη απόφαση στο μητρώο του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων για τις δεσμευτικές αποφάσεις επί διαφορών.

Η υπεράσπιση της Google και η εντολή που παραμένει κρυφή

Η Google υποστηρίζει ότι η απόφαση εξετάζει παλαιές πρακτικές, τις οποίες έχει ήδη μεταρρυθμίσει. Η εταιρεία εισήγαγε το 2019 ρυθμίσεις αυτόματης διαγραφής, καθόρισε αυστηρότερες προεπιλεγμένες ρυθμίσεις για τους νέους χρήστες το 2020 και στη συνέχεια άρχισε να μεταφέρει τα δεδομένα του Maps Timeline προς αποθήκευση στη συσκευή (BleepingComputer). Οι αλλαγές αυτές ενδέχεται να περιορίζουν όσα χρειάζεται ακόμη να τροποποιήσει η Google. Δεν νομιμοποιούν αναδρομικά την επεξεργασία της περιόδου 2018–2020, ενώ οι περιγραφές των μεταρρυθμίσεων από την ίδια την εταιρεία δεν αποτελούν ανεξάρτητη απόδειξη συμμόρφωσης.

Η εντολή συμμόρφωσης, διάρκειας έξι μηνών, μπορεί να έχει μεγαλύτερη πρακτική σημασία από το πρόστιμο. Η Επιτροπή, ωστόσο, δεν έχει δημοσιεύσει τι ακριβώς πρέπει να αλλάξει η Google: αν θα πρέπει να διαγράψει παλαιά δεδομένα, με ποιον τρόπο θα ελεγχθεί η συμμόρφωση ή από πότε αρχίζει να μετρά η προθεσμία. Το πρόστιμο πρέπει πρώτα να επικυρωθεί από ιρλανδικό δικαστήριο για να καταβληθεί, ενώ η Google μπορεί να ασκήσει έφεση (EUobserver).

Ο μηχανισμός ενιαίας εξυπηρέτησης έδωσε στην απόφαση ευρωπαϊκή εμβέλεια, καθώς μία απόφαση ρυθμίζει την επεξεργασία δεδομένων τοποθεσίας της Google σε ολόκληρο τον ΕΟΧ. Δεν απέτρεψε, όμως, την αναμονή σχεδόν οκτώ ετών. Μέχρι να δημοσιεύσει η Επιτροπή το σκεπτικό και την εντολή της, η απόφαση επιβεβαιώνει τις παραβάσεις χωρίς να επιτρέπει σε τρίτους να κρίνουν αν η ποινή και τα διορθωτικά μέτρα ανταποκρίνονται σε αυτές. Η εντολή, όταν δημοσιευθεί, θα δείξει αν η Google πρέπει να διαγράψει δεδομένα, να επανασχεδιάσει τις ρυθμίσεις της ή απλώς να τεκμηριώσει μεταρρυθμίσεις που έχει ήδη εφαρμόσει.