Amenda Google de €403m, fără ordin public

Autoritatea irlandeză pentru protecția datelor (DPC) a amendat Google cu 403 mil. de euro pe 21 septembrie, pentru modul în care trei funcții de localizare au prelucrat date personale în Spațiul Economic European (Irish DPC, Euronews). Amenda este cifra care a atras atenția. DPC nu a publicat însă decizia motivată, modul de calcul al sancțiunii, încălcările juridice exacte sau ordinul de conformare. La aproape opt ani după plângerile depuse de organizațiile de consumatori, publicul nu poate evalua dacă sancțiunea și măsurile corective sunt proporționale cu încălcările constatate.

Ce a anunțat DPC — și ce nu a publicat

Investigația a analizat practicile din perioada mai 2018–februarie 2020 pentru trei funcții Google: Web & App Activity, Location History și Android's Location Accuracy. Legătura importantă dintre ele este că un utilizator care dezactiva Location History putea avea în continuare informații despre locație salvate prin Web & App Activity. Consiliul Norvegian al Consumatorilor a documentat această problemă într-un raport din 2018. Întrebarea pentru autoritatea de reglementare era dacă utilizatorii puteau înțelege efectul combinat al unor controale separate, care stabileau unde au fost, când și cât de des.

Constatările au diferit în funcție de funcție. Pentru Web & App Activity și Location History, DPC a identificat încălcări privind legalitatea, echitatea și transparența prelucrării. Anunțul autorității enumeră aceste încălcări, dar nu arată ce temei juridic a invocat Google și de ce a fost considerat insuficient (Irish DPC). În cazul Location Accuracy, constatarea anunțată a fost că Google nu a demonstrat respectarea obligațiilor, ceea ce reprezintă o încălcare a principiului responsabilității. Decizia nepublicată ar putea clarifica ce a concluzionat DPC cu privire la prelucrarea datelor. Doar primele două funcții au fost considerate responsabile pentru păstrarea excesivă a datelor.

Cea mai mare parte a relatărilor a redus cazul la ideea că „Google a urmărit utilizatorii pentru reclame”. Constatările depășesc însă publicitatea. Nu se știe cum au fost împărțite cele 403 mil. de euro între încălcări și ce pondere a avut fiecare funcție. DPC spune că decizia completă va fi publicată „în timp util” (Irish DPC).

Opt ani de la plângere la amendă

Organizații de consumatori din opt țări au depus plângeri coordonate în noiembrie 2018, prin BEUC, organizația europeană-umbrelă a consumatorilor (BEUC, Forbrukerrådet). DPC și-a început propria investigație în februarie 2020 și a anunțat rezultatul în septembrie 2026. Organizația olandeză Consumentenbond a salutat rezultatul, dar a subliniat că utilizatorii au așteptat aproape opt ani (Consumentenbond). BEUC a susținut că aplicarea sancțiunii după ce produsele s-au schimbat își pierde o mare parte din efectul preventiv (BEUC).

Mecanismul ghișeului unic din GDPR — prin care o autoritate națională conduce cazurile care vizează companii cu operațiuni transfrontaliere — a concentrat la Dublin controlul asupra acestui dosar, deoarece sediul european relevant al Google se află în Irlanda (GDPR, EUR-Lex). Celelalte autorități puteau formula observații sau obiecții, însă investigația a fost condusă de DPC. Autoritatea le-a mulțumit omologilor pentru „cooperare și sprijin”, fără să-i numească și fără să precizeze dacă vreunul s-a opus. În registrul Comitetului European pentru Protecția Datelor, care reunește deciziile obligatorii de soluționare a litigiilor, nu a apărut o decizie corespunzătoare.

Apărarea Google și ordinul care lipsește

Google susține că decizia analizează practici istorice pe care compania le-a reformat deja. În 2019, a introdus controale pentru ștergerea automată a datelor, în 2020 a stabilit setări de protecție implicite pentru utilizatorii noi, iar ulterior a mutat datele din Maps Timeline către stocarea pe dispozitiv (BleepingComputer). Aceste modificări ar putea reduce ceea ce mai trebuie să schimbe Google. Ele nu legalizează retroactiv prelucrarea datelor din perioada 2018–2020, iar descrierile companiei despre propriile reforme nu reprezintă o dovadă independentă a conformității.

Ordinul de conformare, valabil șase luni, ar putea conta mai mult decât amenda. DPC nu a publicat însă ce trebuie să schimbe Google: dacă datele istorice trebuie șterse, cum va fi verificată conformitatea sau de când începe să curgă termenul. Amenda trebuie confirmată de o instanță irlandeză înainte de a fi plătită, iar Google poate face apel (EUobserver).

Mecanismul ghișeului unic a dat deciziei un domeniu larg: o singură hotărâre reglementează prelucrarea datelor de localizare de către Google în întregul SEE. Nu a împiedicat însă o așteptare de aproape opt ani. Până când DPC își publică motivarea și ordinul, decizia stabilește existența încălcărilor, dar nu le permite observatorilor externi să evalueze dacă sancțiunea și măsurile corective sunt proporționale. Ordinul nepublicat va arăta dacă Google trebuie să șteargă date, să-și reproiecteze controalele sau doar să documenteze reforme deja implementate.