Google €403m-os bírsága: titkos maradt a végzés

Írország adatvédelmi hatósága, a Data Protection Commission (DPC) szeptember 21-én 403 millió euróra bírságolta a Google-t, amiért a vállalat az Európai Gazdasági Térségben három helymeghatározási funkción keresztül kezelt személyes adatokat (Irish DPC, Euronews). A bírság összege ismert, az indokolt határozatot azonban a DPC még nem tette közzé. Így azt sem lehet tudni, hogyan számolták ki az összeget, pontosan milyen jogsértéseket állapítottak meg, és mit kell tennie a Google-nak. A fogyasztóvédelmi szervezetek panaszai óta csaknem nyolc év telt el, a nyilvánosság mégsem tudja megítélni, hogy a bírság és a hozzá kapcsolódó intézkedések arányban állnak-e a jogsértésekkel.

Amit a DPC bejelentett – és amit nem hozott nyilvánosságra

A vizsgálat a 2018 májusa és 2020 februárja közötti gyakorlatot elemezte három Google-funkciónál: a Web & App Activitynél, a Location Historynál és az Android Location Accuracynél. A három beállítás együtt azért lényeges, mert a Location History kikapcsolása után is menthetett helyadatokhoz kapcsolódó információkat a Web & App Activity. A norvég fogyasztóvédelmi tanács már egy 2018-as jelentésben dokumentálta ezt a különbséget. A jogi kérdés az volt, hogy a felhasználók átláthatták-e, milyen együttes hatása van a különböző beállításoknak arra, hogy a Google hol, mikor és milyen gyakran rögzíti a mozgásukat.

A DPC funkciónként eltérő jogsértéseket állapított meg. A Web & App Activity és a Location History esetében a jogszerűség, a tisztességesség és az átláthatóság követelménye sérült. A hatóság közleménye felsorolja ezeket a megállapításokat, azt azonban nem árulja el, milyen jogalapra hivatkozott a Google, és miért nem fogadta el azt a DPC (Irish DPC). A Location Accuracy esetében a Google nem tudta bizonyítani, hogy megfelel a szabályoknak, ami az elszámoltathatóság megsértését jelenti. A közzé nem tett határozatból derülhet ki, hogy a DPC magát az adatkezelést hogyan értékelte. Túlzott adatmegőrzést csak az első két funkciónál állapítottak meg.

A legtöbb beszámoló ezt azzal egyszerűsítette le, hogy „a Google reklámcélból követte a felhasználókat”. A megállapítások ennél szélesebb körűek. Egyelőre azt sem tudni, hogyan osztották meg a 403 millió eurót az egyes jogsértések között, és az egyes funkciók mekkora súllyal estek latba. A DPC szerint a teljes határozatot „kellő időben” közzéteszik (Irish DPC).

Nyolc év telt el a panasztól a bírságig

Nyolc ország fogyasztóvédelmi szervezetei 2018 novemberében, a BEUC, az európai fogyasztóvédelmi szervezetek ernyőszervezetének koordinálásával nyújtottak be összehangolt panaszokat (BEUC, Forbrukerrådet). A DPC 2020 februárjában indította el saját vizsgálatát, az eredményt pedig 2026 szeptemberében jelentette be. A holland Consumentenbond üdvözölte a döntést, ugyanakkor hangsúlyozta: a fogyasztóknak csaknem nyolc évet kellett várniuk (Consumentenbond). A BEUC szerint a jogérvényesítés megelőző hatása jelentősen csökken, ha az intézkedés csak azután érkezik, hogy a termékek már megváltoztak (BEUC).

A GDPR szerinti egyablakos rendszerben, amely a határokon átnyúlóan működő vállalatok ügyeiben egyetlen nemzeti hatóságot tesz felelőssé a vezető vizsgálatért, Dublin kezébe került az ügy irányítása, mert a Google illetékes európai központja Írországban található (GDPR, EUR-Lex). Más adatvédelmi hatóságok véleményezhették a folyamatot, illetve kifogást emelhettek, a vizsgálatot azonban a DPC vezette. A hatóság megköszönte a társhatóságok „együttműködését és segítségét”, de nem nevezte meg őket, és azt sem közölte, hogy emelt-e bármelyikük kifogást. Az Európai Adatvédelmi Testület kötelező vitarendezési határozatainak nyilvántartásában sem jelent meg az ügyhöz kapcsolódó döntés.

A Google védekezése és a hiányzó kötelezés

A Google szerint a határozat olyan korábbi gyakorlatokat vizsgál, amelyeket a vállalat már átalakított. 2019-ben bevezette az automatikus törlés beállítását, 2020-ban védelmi alapértelmezéseket állított be az új felhasználóknál, később pedig a Maps Timeline adatait fokozatosan az eszközön történő tárolás felé terelte (BleepingComputer). Ezek az átalakítások csökkenthetik, hogy a Google-nak mennyi mindenen kell még változtatnia. A 2018 és 2020 közötti adatkezelést azonban utólag nem teszik jogszerűvé, és a vállalat saját beszámolója a reformokról önmagában nem bizonyítja a megfelelést.

A hat hónapos megfelelési kötelezés fontosabb lehet a bírságnál. A DPC azonban nem közölte, pontosan min kell változtatnia a Google-nak: törölni kell-e a korábban gyűjtött adatokat, hogyan ellenőrzik majd a megfelelést, és mikortól számítják a határidőt. A bírságot egy ír bíróságnak is jóvá kell hagynia, mielőtt a Google befizeti, a vállalat pedig fellebbezhet (EUobserver).

Az egyablakos rendszer országokon átívelő hatályt adott a döntésnek: egyetlen határozat szabályozhatja a Google helyadat-kezelését az egész Európai Gazdasági Térségben. A csaknem nyolcéves várakozást azonban nem akadályozta meg. Amíg a DPC nem teszi közzé az indoklást és a kötelezést, a határozat ugyan rögzíti a jogsértéseket, de kívülről nem lehet megítélni, hogy a bírság és a jogorvoslat arányban áll-e velük. A közzé nem tett kötelezésből derül majd ki, hogy a Google-nak adatokat kell törölnie, át kell alakítania a beállításait, vagy csupán dokumentálnia kell a már végrehajtott változtatásokat.