Google ukarane 403 mln EUR, nakaz wciąż ukryty

Irlandzka Komisja Ochrony Danych (DPC) nałożyła 21 września na Google’a karę 403 mln EUR za sposób, w jaki trzy funkcje lokalizacyjne przetwarzały dane osobowe w Europejskim Obszarze Gospodarczym (Irish DPC, Euronews). Sama kwota przyciąga uwagę, ale DPC nie opublikowała uzasadnienia decyzji, sposobu wyliczenia kary, dokładnie wskazanych naruszeń ani nakazu dostosowania działalności do przepisów. Niemal osiem lat po skargach organizacji konsumenckich opinia publiczna nadal nie może ocenić, czy kara i nakazane środki odpowiadają skali naruszeń.

Co ogłosiła DPC — a czego nie opublikowała

Postępowanie obejmowało działania prowadzone od maja 2018 r. do lutego 2020 r. w ramach trzech funkcji Google’a: Web & App Activity, Location History oraz Android’s Location Accuracy. Ich wzajemne powiązanie miało istotne znaczenie: użytkownik, który wyłączył Location History, nadal mógł mieć zapisywane informacje związane z lokalizacją w ramach Web & App Activity. Norweska Rada Konsumentów opisała tę lukę w raporcie z 2018 r.. Pytanie dla regulatora brzmiało, czy użytkownicy mogli zrozumieć łączny skutek kilku oddzielnych ustawień dotyczących miejsc, które odwiedzali, oraz czasu i częstotliwości tych wizyt.

Ustalenia różniły się w zależności od funkcji. W przypadku Web & App Activity i Location History DPC stwierdziła naruszenia zasad zgodności z prawem, rzetelności i przejrzystości. W komunikacie wymieniła przepisy, których naruszenie uznała za udowodnione, ale nie wyjaśniła, na jakiej podstawie prawnej Google przetwarzał dane ani dlaczego uznała tę podstawę za niewystarczającą (Irish DPC). W odniesieniu do Location Accuracy regulator stwierdził, że Google nie wykazał zgodności z przepisami, co oznacza naruszenie zasady rozliczalności. Nieopublikowane uzasadnienie może dopiero wyjaśnić, co DPC ustaliła w sprawie samego przetwarzania. Tylko dwie pierwsze funkcje uznano za przechowujące dane zbyt długo.

Większość relacji sprowadziła sprawę do stwierdzenia, że „Google śledził użytkowników na potrzeby reklam”. Ustalenia regulatora wykraczają poza reklamę. Nadal nie wiadomo, jak 403 mln EUR rozdzielono między poszczególne naruszenia ani jaki udział w karze miała każda z funkcji. DPC zapowiada, że pełna decyzja zostanie opublikowana „w odpowiednim czasie” (Irish DPC).

Osiem lat od skargi do kary

W listopadzie 2018 r. organizacje konsumenckie z ośmiu państw złożyły skoordynowane skargi za pośrednictwem BEUC, europejskiej organizacji zrzeszającej konsumentów (BEUC, Forbrukerrådet). DPC wszczęła własne postępowanie w lutym 2020 r., a jego wynik ogłosiła we wrześniu 2026 r. Holenderska organizacja Consumentenbond uznała decyzję za sukces, ale podkreśliła, że konsumenci czekali niemal osiem lat (Consumentenbond). BEUC wskazała, że egzekwowanie przepisów po zmianie produktów traci dużą część wartości prewencyjnej (BEUC).

Mechanizm kompleksowej współpracy przewidziany w RODO, w ramach którego jeden krajowy regulator prowadzi postępowania dotyczące firm działających ponad granicami, skupił kontrolę nad tą sprawą w Dublinie. To tam znajduje się właściwa europejska siedziba Google’a (GDPR, EUR-Lex). Organy z innych państw mogły zgłaszać uwagi lub sprzeciw, ale dochodzenie prowadziła DPC. Podziękowała organom partnerskim za „współpracę i pomoc”, nie wskazując ich z nazwy ani nie ujawniając, czy któryś z nich zgłosił sprzeciw. Odpowiedniego rozstrzygnięcia nie ma też w rejestrze wiążących decyzji dotyczących sporów prowadzonym przez Europejską Radę Ochrony Danych.

Obrona Google’a i brak nakazu

Google twierdzi, że decyzja dotyczy historycznych praktyk, które firma już zmieniła. W 2019 r. wprowadził automatyczne usuwanie danych, w 2020 r. ustawił bardziej ochronne ustawienia domyślne dla nowych użytkowników, a później zaczął przenosić dane z Maps Timeline do pamięci urządzeń (BleepingComputer). Zmiany te mogą ograniczać zakres działań, które Google musi jeszcze podjąć. Nie legalizują jednak wstecznie przetwarzania danych z lat 2018–2020, a opis reform przedstawiony przez samą firmę nie jest niezależnym dowodem zgodności z prawem.

Nakaz dostosowania działalności do przepisów, który ma obowiązywać przez sześć miesięcy, może mieć większe znaczenie niż sama kara. DPC nie ujawniła jednak, co dokładnie Google musi zmienić: czy powinien usunąć historyczne dane, w jaki sposób zostanie sprawdzona zgodność ani od kiedy będzie liczony termin. Kara będzie wymagała zatwierdzenia przez irlandzki sąd przed jej zapłatą, a Google może się odwołać (EUobserver).

Mechanizm kompleksowej współpracy nadał decyzji szeroki zasięg: jedno rozstrzygnięcie obejmuje przetwarzanie danych lokalizacyjnych przez Google’a w całym EOG. Nie zapobiegł jednak niemal ośmioletniemu postępowaniu. Dopóki DPC nie opublikuje uzasadnienia i nakazu, decyzja potwierdza naruszenia, ale nie pozwala osobom z zewnątrz ocenić, czy kara i nakazane środki są do nich adekwatne. Dopiero nieopublikowany nakaz pokaże, czy Google będzie musiał usunąć dane, przeprojektować ustawienia kontroli prywatności, czy tylko udokumentować reformy, które już przeprowadził.