Google-boete van €403m blijft ondoorzichtig

De Ierse Data Protection Commission legde Google op 21 september een boete van € 403 miljoen op wegens de manier waarop drie locatiefuncties persoonsgegevens verwerkten binnen de Europese Economische Ruimte (Irish DPC, Euronews). De boete haalde de koppen. De DPC heeft het gemotiveerde besluit, de berekening van de boete, de precieze juridische overtredingen en het nalevingsbevel echter niet gepubliceerd. Bijna acht jaar nadat consumentenorganisaties hun klacht indienden, kan het publiek nog steeds niet beoordelen of de boete en de opgelegde maatregelen in verhouding staan tot de overtredingen.

Wat de DPC bekendmaakte — en wat niet

Het onderzoek keek naar de periode van mei 2018 tot en met februari 2020 en betrof drie Google-functies: Web & App Activity, Location History en Android's Location Accuracy. De belangrijke wisselwerking tussen die functies is dat locatiegerelateerde informatie via Web & App Activity kon worden opgeslagen, ook als een gebruiker Location History had uitgeschakeld. De Noorse Consumentenraad legde die maas vast in een rapport uit 2018. De vraag voor de toezichthouder was of gebruikers konden begrijpen wat de afzonderlijke instellingen samen betekenden voor de registratie van waar, wanneer en hoe vaak zij zich verplaatsten.

De bevindingen verschilden per functie. Bij Web & App Activity en Location History stelde de DPC overtredingen vast op het gebied van rechtmatigheid, eerlijkheid en transparantie. In de bekendmaking noemt de toezichthouder die wettelijke tekortkomingen, maar niet welke rechtsgrond Google had aangevoerd of waarom die niet voldeed (Irish DPC). Bij Location Accuracy luidde de bekendgemaakte conclusie dat Google niet kon aantonen dat het aan de regels voldeed: een overtreding van de verantwoordingsplicht. Het nog niet gepubliceerde besluit kan verduidelijken wat de DPC precies over de verwerking zelf heeft geconcludeerd. Alleen bij de eerste twee functies stelde de toezichthouder bovendien vast dat gegevens te lang werden bewaard.

De meeste berichtgeving bracht die verschillen terug tot de bewering dat Google gebruikers voor advertenties volgde. De bevindingen reiken verder dan reclame. Onbekend blijft hoe de € 403 miljoen over de overtredingen is verdeeld en welk aandeel elke functie daarin had. De DPC zegt het volledige besluit "te zijner tijd" te publiceren (Irish DPC).

Acht jaar tussen klacht en boete

Consumentenorganisaties uit acht landen dienden in november 2018 via BEUC, de Europese koepelorganisatie voor consumenten, gecoördineerde klachten in (BEUC, Forbrukerrådet). De DPC begon in februari 2020 aan een eigen onderzoek en maakte de uitkomst in september 2026 bekend. De Nederlandse Consumentenbond verwelkomde de uitkomst, maar benadrukte dat consumenten bijna acht jaar hadden gewacht (Consumentenbond). Volgens BEUC verliest handhaving een groot deel van haar preventieve werking wanneer zij pas komt nadat producten al zijn aangepast (BEUC).

Het éénloketsysteem van de AVG, waarbij één nationale toezichthouder de leiding heeft over zaken tegen bedrijven met grensoverschrijdende activiteiten, legde de regie over dit onderzoek in Dublin. Google heeft daar zijn relevante Europese vestiging (GDPR, EUR-Lex). Andere toezichthouders konden commentaar leveren of bezwaar maken, maar de DPC voerde het onderzoek uit. De Ierse toezichthouder bedankte zijn collega's voor hun "samenwerking en ondersteuning", zonder hen bij naam te noemen of bekend te maken of iemand bezwaar had gemaakt. Een bijbehorende uitspraak staat niet in het register van de European Data Protection Board met bindende geschilbesluiten.

Google's verweer en het ontbrekende bevel

Google stelt dat het besluit betrekking heeft op oude werkwijzen die het bedrijf inmiddels heeft aangepast. In 2019 voerde Google instellingen voor automatische verwijdering in, in 2020 beschermende standaardinstellingen voor nieuwe gebruikers en later verplaatste het de gegevens van Maps Timeline grotendeels naar opslag op het apparaat zelf (BleepingComputer). Door die aanpassingen hoeft Google mogelijk minder te veranderen. Ze maken de verwerking in 2018–2020 echter niet met terugwerkende kracht rechtmatig. Ook zijn beschrijvingen van hervormingen door het bedrijf zelf geen onafhankelijk bewijs dat het nu aan de regels voldoet.

Het nalevingsbevel voor zes maanden kan belangrijker blijken dan de boete. De DPC heeft echter niet bekendgemaakt wat Google precies moet aanpassen: of oude gegevens moeten worden verwijderd, hoe de naleving wordt gecontroleerd en wanneer de termijn ingaat. De boete moet eerst door een Ierse rechtbank worden bekrachtigd voordat Google haar betaalt. Het bedrijf kan bovendien in beroep gaan (EUobserver).

Het éénloketsysteem gaf de uitspraak een groot bereik: één besluit geldt voor Google's verwerking van locatiegegevens in de hele EER. Het voorkwam overigens geen wachttijd van bijna acht jaar. Zolang de DPC haar motivering en bevel niet publiceert, staan de overtredingen wel vast, maar kunnen buitenstaanders niet beoordelen of de boete en de maatregelen daarbij passen. Het ongepubliceerde bevel zal laten zien of Google gegevens moet verwijderen, zijn instellingen opnieuw moet ontwerpen of alleen al doorgevoerde hervormingen moet documenteren.