Google’i 403 miljoni euro trahv jäi varju

Iirimaa andmekaitsekomisjon määras Google’ile 21. septembril 403 miljoni euro suuruse trahvi, sest ettevõtte kolm asukohateenust töötlesid Euroopa Majanduspiirkonnas isikuandmeid (Iirimaa andmekaitsekomisjon, Euronews). Trahvisumma on teada, kuid komisjon ei ole avaldanud põhjendatud otsust, trahvi arvutuskäiku, täpseid õigus­rikkumisi ega Google’ile pandud kohustusi. Peaaegu kaheksa aastat pärast tarbijaühenduste kaebusi ei saa avalikkus endiselt hinnata, kas karistus ja ettevõttele seatud abinõud vastavad rikkumistele.

Mida andmekaitsekomisjon teatas ja mida ta pole avaldanud

Uurimine hõlmas ajavahemikku 2018. aasta maist kuni 2020. aasta veebruarini ning kolme Google’i funktsiooni: Web & App Activity, Location History ja Androidi Location Accuracy. Nende seos seisneb selles, et Location History väljalülitamine ei takistanud asukohaga seotud info salvestamist Web & App Activity kaudu. Norra tarbijakaitsenõukogu kirjeldas seda lünka oma 2018. aasta raportis. Küsimus oli selles, kas kasutajad said eraldi seadete koosmõjust aru ning mõistsid, mida nende valikud tegelikult reguleerisid: kus nad käisid, millal ja kui sageli.

Rikkumised olid funktsiooniti erinevad. Web & App Activity ja Location History puhul tuvastas komisjon seaduslikkuse, õigluse ja läbipaistvuse põhimõtete rikkumise. Komisjoni teates on need järeldused loetletud, kuid pole öeldud, millisele õiguslikule alusele Google tugines või miks seda alust piisavaks ei peetud (Iirimaa andmekaitsekomisjon). Location Accuracy puhul leidis komisjon, et Google ei suutnud oma nõuete täitmist tõendada. See on aruandekohustuse rikkumine. Avaldamata otsus võib täpsustada, mida komisjon asukohainfo töötlemise enda kohta järeldas. Liigset säilitamist tuvastati ainult kahe esimese funktsiooni puhul.

Suur osa kajastusest taandas juhtumi väitele, et Google jälgis kasutajaid reklaamide näitamiseks. Komisjoni järeldused on laiemad kui reklaamitegevus. Teadmata on endiselt, kuidas 403 miljonit eurot rikkumiste vahel jaotub ning kui suure osa trahvist põhjustas iga funktsioon. Komisjon teatas, et täielik otsus avaldatakse „õigel ajal“ (Iirimaa andmekaitsekomisjon).

Kaebusest trahvini kulus kaheksa aastat

Kaheksa riigi tarbijaühendused esitasid koordineeritud kaebused 2018. aasta novembris Euroopa tarbijaorganisatsiooni BEUC kaudu (BEUC, Forbrukerrådet). Iirimaa andmekaitsekomisjon alustas oma uurimist 2020. aasta veebruaris ja teatas tulemusest 2026. aasta septembris. Hollandi Consumentenbond tervitas otsust, kuid rõhutas, et tarbijad ootasid peaaegu kaheksa aastat (Consumentenbond). BEUC-i hinnangul kaotab järelevalve suure osa ennetavast mõjust, kui otsus tehakse alles pärast seda, kui ettevõte on oma tooteid muutnud (BEUC).

Isikuandmete kaitse üldmääruse ühtse kontaktpunkti süsteem, mille järgi juhib piiriüleste ettevõtete juhtumeid üks riiklik järelevalveasutus, koondas selle menetluse Dublini, sest Google’i asjaomane Euroopa tegevuskoht asub Iirimaal (isikuandmete kaitse üldmäärus, EUR-Lex). Teised järelevalveasutused said otsust kommenteerida või sellele vastuväite esitada, kuid uurimist juhtis Iirimaa komisjon. Komisjon tänas teisi asutusi „koostöö ja abi“ eest, nimetamata neid ega avalikustamata, kas mõni neist esitas vastuväite. Euroopa Andmekaitsenõukogu siduvate vaidluste lahendamise otsuste registris vastavat otsust ei ole.

Google’i kaitseargument ja avaldamata kohustused

Google’i sõnul käsitleb otsus varasemat tegevust, mida ettevõte on juba muutnud. Google lisas 2019. aastal automaatse kustutamise seaded, kehtestas 2020. aastal uutele kasutajatele vaikimisi rangemad kaitsevalikud ning hakkas hiljem Maps Timeline’i andmeid järjest enam seadmes endas hoidma (BleepingComputer). Need muudatused võivad vähendada Google’ilt veel nõutavaid samme. Need ei muuda aastatel 2018–2020 toimunud andmetöötlust tagantjärele seaduslikuks ning ettevõtte enda kirjeldus muudatustest ei tõenda sõltumatult nõuete täitmist.

Trahvist võib olulisemaks osutuda kuuekuuline täitmise korraldus. Komisjon pole aga avaldanud, mida Google peab muutma: kas varem kogutud andmed tuleb kustutada, kuidas nõuete täitmist kontrollitakse või millal tähtaeg algab. Trahv tuleb enne tasumist Iirimaa kohtus kinnitada ning Google saab otsuse edasi kaevata (EUobserver).

Ühtse kontaktpunkti süsteem annab otsusele ulatuse: üks otsus reguleerib Google’i asukohaandmete töötlemist kogu Euroopa Majanduspiirkonnas. See ei hoidnud ära peaaegu kaheksa aastat kestnud menetlust. Kuni komisjon avaldab põhjendused ja ettevõttele seatud kohustused, tuvastab otsus küll rikkumised, kuid ei võimalda kõrvalistel hindajatel kontrollida, kas karistus ja abinõud neile vastavad. Avaldamata korraldus näitab, kas Google peab andmed kustutama, oma kontrollimehhanisme ümber kujundama või üksnes juba tehtud muudatused dokumenteerima.