Googleova kazna od €403m skriva nalog

Irsko Povjerenstvo za zaštitu podataka kaznilo je Google 21. rujna s 403 milijuna eura zbog načina na koji su tri značajke za određivanje lokacije obrađivale osobne podatke na području Europskog gospodarskog prostora (Irish DPC, Euronews). Kazna je privukla najviše pozornosti, ali Povjerenstvo nije objavilo obrazloženu odluku, način izračuna kazne, konkretne pravne povrede ni nalog za usklađivanje. Gotovo osam godina nakon pritužbi potrošačkih organizacija javnost još ne može procijeniti odgovaraju li kazna i naložene mjere utvrđenim povredama.

Što je Povjerenstvo objavilo, a što nije

Istraga je obuhvatila postupanje od svibnja 2018. do veljače 2020. u okviru triju Googleovih značajki: Web & App Activity, Location History i Android's Location Accuracy. Bitna je njihova međusobna povezanost: korisniku koji je isključio Location History podaci povezani s lokacijom i dalje su se mogli spremati putem značajke Web & App Activity. Norveško vijeće potrošača taj je propust dokumentiralo u izvješću iz 2018.. Regulatorno je pitanje bilo mogu li korisnici razumjeti zajednički učinak odvojenih postavki koje određuju gdje su se kretali, kada i koliko često.

Utvrđene su različite povrede za pojedine značajke. Kod Web & App Activity i Location History Povjerenstvo je utvrdilo povrede zakonitosti, poštenosti i transparentnosti. U priopćenju navodi te zakonske zaključke, ali ne otkriva na kojoj se pravnoj osnovi Google pozivao niti zašto ju je smatrao nedostatnom (Irish DPC). Za Location Accuracy objavljeno je da Google nije dokazao usklađenost s pravilima, što predstavlja povredu obveze odgovornosti voditelja obrade. Neobjavljena odluka mogla bi pojasniti što je Povjerenstvo zaključilo o samoj obradi podataka. Samo je za prve dvije značajke utvrđeno prekomjerno čuvanje podataka.

Većina medija te je razlike svela na tvrdnju da je „Google pratio korisnike radi oglasa“. Utvrđene povrede sežu dalje od oglašavanja. I dalje nije poznato kako je 403 milijuna eura raspoređeno među pojedinim povredama ni koliki je doprinos svake značajke ukupnoj kazni. Povjerenstvo navodi da će cjelovitu odluku objaviti „naknadno“ (Irish DPC).

Osam godina od pritužbe do kazne

Potrošačke organizacije iz osam država podnijele su u studenome 2018. koordinirane pritužbe preko BEUC-a, europske krovne organizacije za zaštitu potrošača (BEUC, Forbrukerrådet). Povjerenstvo je vlastitu istragu pokrenulo u veljači 2020., a rezultat objavilo u rujnu 2026. Nizozemska organizacija Consumentenbond pozdravila je ishod, ali upozorila da su potrošači čekali gotovo osam godina (Consumentenbond). BEUC je ocijenio da provedba koja stiže nakon promjene proizvoda gubi velik dio preventivnog učinka (BEUC).

Mehanizam jedinstvenog kontaktnog mjesta iz Opće uredbe o zaštiti podataka, prema kojem jedan nacionalni regulator vodi postupke protiv poduzeća koja posluju preko granica, koncentrirao je nadzor nad ovim slučajem u Dublinu, jer se ondje nalazi relevantno europsko sjedište Googlea (GDPR, EUR-Lex). Druga su regulatorna tijela mogla iznijeti primjedbe ili prigovore, ali istragu je vodilo irsko Povjerenstvo. Ono je zahvalilo partnerskim tijelima na „suradnji i pomoći“, bez navođenja njihovih imena i bez objašnjenja je li se neko od njih usprotivilo odluci. U registru Europskog odbora za zaštitu podataka s odlukama donesenima u postupku rješavanja sporova nema odgovarajuće odluke.

Googleova obrana i neobjavljeni nalog

Google tvrdi da se odluka odnosi na ranije postupke koje je već izmijenio. Tvrtka je 2019. uvela mogućnost automatskog brisanja podataka, 2020. postavila zaštitne zadane postavke za nove korisnike, a potom podatke iz Maps Timelinea počela premještati prema pohrani na samom uređaju (BleepingComputer). Te promjene mogle bi smanjiti opseg obveza koje Google još mora ispuniti. One, međutim, ne mogu naknadno učiniti zakonitom obradu podataka iz razdoblja od 2018. do 2020., a opisi reformi koje daje sama tvrtka nisu neovisna potvrda usklađenosti.

Nalog za usklađivanje u roku od šest mjeseci mogao bi biti važniji od same kazne. No Povjerenstvo nije objavilo što Google mora promijeniti: mora li izbrisati povijesne podatke, kako će se provjeravati provedba mjera ni kada počinje teći rok. Irsku kaznu prije naplate mora potvrditi sud, a Google ima pravo žalbe (EUobserver).

Mehanizam jedinstvenog kontaktnog mjesta ovoj je odluci dao širok doseg: jedna odluka uređuje Googleovu obradu podataka o lokaciji na području cijelog Europskog gospodarskog prostora. Nije, međutim, spriječio gotovo osmogodišnje čekanje. Dok Povjerenstvo ne objavi obrazloženje i nalog, odluka potvrđuje da je došlo do povreda, ali javnosti ne omogućuje procjenu odgovaraju li kazna i mjere tim povredama. Iz neobjavljenog naloga vidjet će se mora li Google izbrisati podatke, preoblikovati svoje postavke ili samo dokumentirati reforme koje je već proveo.