Google skirta 403 mln. € bauda, bet sprendimas slepiamas

Airijos Duomenų apsaugos komisija rugsėjo 21 d. skyrė „Google“ 403 mln. € baudą už tai, kaip Europos ekonominėje erdvėje trys vietos nustatymo funkcijos tvarkė asmens duomenis (Irish DPC, Euronews). Baudos dydis tapo pagrindine naujiena, tačiau komisija nepaskelbė motyvuoto sprendimo, baudos apskaičiavimo, konkrečių teisės pažeidimų ar nurodymo, kaip „Google“ turi užtikrinti atitiktį. Praėjus beveik aštuoneriems metams nuo vartotojų organizacijų skundų, visuomenė vis dar negali įvertinti, ar bauda ir nustatytos priemonės atitinka pažeidimų mastą.

Ką paskelbė Duomenų apsaugos komisija, o ko nepaskelbė

Tyrimas apėmė 2018 m. gegužės–2020 m. vasario laikotarpį ir tris „Google“ funkcijas: „Web & App Activity“, „Location History“ bei „Android“ „Location Accuracy“. Esminė jų sąveika ta, kad vartotojui išjungus „Location History“, su vieta susijusi informacija vis tiek galėjo būti saugoma per „Web & App Activity“. Norvegijos vartotojų taryba šį neatitikimą aprašė 2018 m. ataskaitoje. Reguliuotojui reikėjo įvertinti, ar vartotojai galėjo suprasti bendrą atskirų nustatymų, reglamentuojančių tai, kur, kada ir kaip dažnai jie juda, poveikį.

Išvados dėl skirtingų funkcijų nevienodos. Naudojant „Web & App Activity“ ir „Location History“ nustatyti teisėtumo, sąžiningumo ir skaidrumo pažeidimai. Komisijos pranešime šie teisės aktuose numatyti pažeidimai išvardyti, tačiau neatskleidžiama, kokiu teisiniu pagrindu rėmėsi „Google“ ir kodėl jis pripažintas nepakankamu (Irish DPC). Dėl „Location Accuracy“ paskelbta, kad „Google“ neįrodė laikydamasi reikalavimų, todėl pažeidė atskaitomybės principą. Nepaskelbtas sprendimas gali paaiškinti, ką komisija nustatė dėl paties duomenų tvarkymo. Tik dėl pirmųjų dviejų funkcijų padaryta išvada, kad duomenys buvo saugomi pernelyg ilgai.

Daugelyje pranešimų šie skirtumai sutraukti į teiginį, esą „Google“ sekė vartotojus reklamos tikslais. Tačiau nustatyti pažeidimai apima platesnį klausimą nei reklama. Kaip 403 mln. € paskirstyti tarp pažeidimų ir kokią dalį sudaro kiekvienos funkcijos indėlis, kol kas nežinoma. Komisija nurodė, kad visą sprendimą paskelbs „atėjus laikui“ (Irish DPC).

Nuo skundo iki baudos – aštuoneri metai

2018 m. lapkritį vartotojų organizacijos iš aštuonių šalių, koordinuojamos Europos vartotojų organizacijos BEUC, pateikė bendrus skundus (BEUC, Forbrukerrådet). Komisija savo tyrimą pradėjo 2020 m. vasarį, o rezultatus paskelbė 2026 m. rugsėjį. Nyderlandų vartotojų organizacija „Consumentenbond“ pasveikino sprendimą, tačiau pabrėžė, kad vartotojams teko laukti beveik aštuonerius metus (Consumentenbond). BEUC teigė, kad priemonės, pritaikomos pasikeitus produktams, praranda didelę prevencinio poveikio dalį (BEUC).

Pagal Bendrojo duomenų apsaugos reglamento vieno langelio principą, kai tarpvalstybiniu mastu veikiančios įmonės bylai vadovauja viena nacionalinė priežiūros institucija, šis tyrimas buvo sutelktas Dubline, nes ten įsikūrusi atitinkama „Google“ Europos įmonė (GDPR, EUR-Lex). Kitos priežiūros institucijos galėjo teikti pastabas ar prieštarauti, tačiau tyrimui vadovavo Airijos komisija. Ji padėkojo kitoms institucijoms už „bendradarbiavimą ir pagalbą“, tačiau jų neįvardijo ir neatskleidė, ar kuri nors iš jų prieštaravo. Europos duomenų apsaugos valdybos privalomų ginčų sprendimų registre atitinkamo sprendimo taip pat nėra.

„Google“ gynyba ir nepaskelbtas nurodymas

„Google“ teigia, kad sprendimas susijęs su ankstesne praktika, kurią įmonė jau pakeitė. 2019 m. ji įdiegė automatinio duomenų ištrynimo nustatymus, 2020 m. naujiems vartotojams pritaikė griežtesnius numatytuosius nustatymus, o vėliau „Maps Timeline“ duomenis pradėjo perkelti į įrenginiuose saugomą atmintį (BleepingComputer). Šie pakeitimai gali sumažinti tai, ką „Google“ dar turės pakeisti. Tačiau jie negali atgaline data įteisinti 2018–2020 m. vykdyto duomenų tvarkymo, o pačios įmonės pateikiami reformų aprašymai nėra nepriklausomas atitikties įrodymas.

Šešių mėnesių nurodymas užtikrinti atitiktį gali būti svarbesnis už pačią baudą. Tačiau komisija nepaskelbė, ką konkrečiai „Google“ privalės pakeisti: ar ištrinti anksčiau surinktus duomenis, kaip bus tikrinama atitiktis ir nuo kada bus skaičiuojamas terminas. Prieš baudą sumokant ją dar turi patvirtinti Airijos teismas, o „Google“ gali apskųsti sprendimą (EUobserver).

Vieno langelio principas suteikė sprendimui platų poveikį: vienas sprendimas taikomas „Google“ vykdomam vietos duomenų tvarkymui visoje Europos ekonominėje erdvėje. Tačiau šis mechanizmas neužkirto kelio beveik aštuonerius metus trukusiam procesui. Kol komisija nepaskelbs sprendimo motyvų ir nurodymo, pažeidimai bus nustatyti, bet pašaliniai stebėtojai negalės įvertinti, ar bauda ir nustatytos priemonės su jais proporcingos. Iš nepaskelbto nurodymo paaiškės, ar „Google“ turės ištrinti duomenis, pertvarkyti nustatymus, ar tik dokumentuoti jau įgyvendintas reformas.