Googlen €403m sakon määräys salassa

Irlannin tietosuojaviranomainen DPC määräsi Googlelle 403 miljoonan euron sakon 21. syyskuuta. Sakko koskee kolmea sijaintitietoja käsittelevää toimintoa Euroopan talousalueella (Irish DPC, Euronews). Sakon perustelut, laskentatapa, täsmälliset lainrikkomukset ja Googlen toimintaa koskeva määräys ovat kuitenkin yhä julkaisematta. Kuluttajajärjestöjen kantelusta on kulunut lähes kahdeksan vuotta, mutta julkisuudessa ei edelleenkään voida arvioida, vastaavatko seuraamus ja korjaavat toimet rikkomusten vakavuutta.

Mitä DPC kertoi – ja mitä se jätti julkaisematta

Tutkinta koski Googlen kolmea toimintoa toukokuusta 2018 helmikuuhun 2020: Web & App Activityä, Location Historyä ja Androidin Location Accuracya. Toimintojen yhteys on olennainen. Vaikka käyttäjä olisi poistanut Location Historyn käytöstä, sijaintiin liittyviä tietoja saattoi edelleen tallentua Web & App Activityn kautta. Norjan kuluttajaneuvosto kuvasi tätä aukkoa vuoden 2018 raportissaan. Valvonnan kannalta keskeinen kysymys oli, pystyivätkö käyttäjät ymmärtämään, miten erilliset asetukset yhdessä vaikuttivat heidän liikkeidensä, ajankohtiensa ja käyntitiheytensä tallentumiseen.

Toiminnoista tehdyt havainnot erosivat toisistaan. Web & App Activityn ja Location Historyn osalta DPC katsoi Googlen rikkoneen lainmukaisuuden, oikeudenmukaisuuden ja läpinäkyvyyden vaatimuksia. DPC:n tiedotteessa luetellaan lainkohdat, mutta ei kerrota, mihin oikeusperusteeseen Google vetoaa tai miksi sitä pidettiin riittämättömänä (Irish DPC). Location Accuracyn osalta Google ei DPC:n mukaan pystynyt osoittamaan noudattaneensa vaatimuksia. Kyse on tilivelvollisuutta koskevasta rikkomuksesta. Julkaisematon päätös saattaa täsmentää, mitä DPC katsoi itse tietojen käsittelystä. Vain kahden ensimmäisen toiminnon osalta katsottiin, että tietoja säilytettiin liian pitkään.

Monissa uutisissa havainnot tiivistyivät väitteeksi siitä, että Google seurasi käyttäjiä mainontaa varten. Rikkomukset koskevat laajempaa kokonaisuutta. Edelleen ei tiedetä, miten 403 miljoonan euron sakko jakautuu eri rikkomusten kesken tai mikä osuus kullakin toiminnolla oli. DPC:n mukaan täydellinen päätös julkaistaan ”aikanaan” (Irish DPC).

Kantelusta sakkoon kului kahdeksan vuotta

Kahdeksan maan kuluttajajärjestöt tekivät koordinoidut kantelut marraskuussa 2018 eurooppalaisen kuluttajajärjestöjen kattojärjestön BEUC:n kautta (BEUC, Forbrukerrådet). DPC aloitti oman tutkintansa helmikuussa 2020 ja kertoi sen tuloksesta syyskuussa 2026. Alankomaiden Consumentenbond piti ratkaisua voittona, mutta korosti kuluttajien odottaneen lähes kahdeksan vuotta (Consumentenbond). BEUC:n mukaan valvonnan myöhästyminen heikentää sen ennaltaehkäisevää vaikutusta, koska tuotteet ja käytännöt ehtivät muuttua (BEUC).

GDPR:n yhden luukun järjestelmässä yksi kansallinen valvontaviranomainen johtaa rajat ylittäviä yrityksiä koskevia tapauksia. Siksi Googlen Euroopassa sijaitsevan asiaankuuluvan toimipaikan sijaintimaa Irlanti johti tutkintaa (GDPR, EUR-Lex). Muut viranomaiset saattoivat kommentoida päätöstä tai vastustaa sitä, mutta tutkinnasta vastasi DPC. Se kiitti muita viranomaisia ”yhteistyöstä ja avusta” nimeämättä niitä tai kertomatta, vastustiko jokin niistä ratkaisua. Euroopan tietosuojaneuvoston rekisteriin sitovista riidanratkaisupäätöksistä ei ilmestynyt vastaavaa ratkaisua.

Googlen puolustus ja puuttuva määräys

Google sanoo ratkaisun koskevan vanhoja käytäntöjä, joita yhtiö on jo muuttanut. Google otti vuonna 2019 käyttöön tietojen automaattisen poistamisen, asetti uusille käyttäjille suojaavammat oletusasetukset vuonna 2020 ja siirsi myöhemmin Maps Timelinen tietoja laitteissa säilytettäviksi (BleepingComputer). Muutokset saattavat vähentää sitä, mitä Googlen on vielä korjattava. Ne eivät kuitenkaan tee vuosien 2018–2020 tietojenkäsittelystä jälkikäteen lainmukaista, eikä yhtiön oma kuvaus uudistuksista osoita riippumattomasti vaatimusten noudattamista.

Kuuden kuukauden korjausmääräys voi olla sakkoa merkittävämpi. DPC ei kuitenkaan ole kertonut, mitä Googlen on muutettava: onko vanhat tiedot poistettava, miten vaatimusten noudattamista testataan tai mistä määräaika alkaa. Irlantilaisen tuomioistuimen on vielä vahvistettava sakko ennen sen maksamista, ja Google voi valittaa päätöksestä (EUobserver).

Yhden luukun järjestelmä antoi ratkaisulle laajan vaikutusalan: yksi päätös koskee Googlen sijaintitietojen käsittelyä koko Euroopan talousalueella. Se ei estänyt lähes kahdeksan vuoden odotusta. Ennen kuin DPC julkaisee perustelunsa ja määräyksensä, ratkaisu osoittaa rikkomukset mutta ei anna ulkopuolisille mahdollisuutta arvioida, vastaavatko sakko ja korjaavat toimet niitä. Julkaisematon määräys kertoo, onko Googlen poistettava tietoja, uudistettava asetuksiaan vai ainoastaan dokumentoitava jo tehdyt muutokset.