Pokuta Google €403m, príkaz zostáva skrytý

Írsky dozorný orgán na ochranu osobných údajov (DPC) uložil Googlu 21. septembra pokutu 403 miliónov eur za spracúvanie osobných údajov v rámci troch lokalizačných funkcií v Európskom hospodárskom priestore (Irish DPC, Euronews). Verejnosť však zatiaľ pozná najmä výšku pokuty. DPC nezverejnil odôvodnené rozhodnutie, spôsob výpočtu sankcie, konkrétne porušenia ani príkaz na nápravu. Takmer osem rokov po sťažnostiach spotrebiteľských organizácií preto stále nemožno posúdiť, či sankcia a uložené opatrenia zodpovedajú zisteným porušeniam.

Čo DPC oznámil a čo nezverejnil

Vyšetrovanie sa týkalo postupov z obdobia od mája 2018 do februára 2020 a troch funkcií Googlu: Aktivita na webe a v aplikáciách, História polohy a Presnosť určovania polohy v Androide. Ich vzájomné prepojenie bolo dôležité preto, že používateľ, ktorý vypol Históriu polohy, mohol mať údaje súvisiace s polohou naďalej ukladané cez Aktivitu na webe a v aplikáciách. Nórska spotrebiteľská rada na tento problém upozornila v správe z roku 2018. Regulačná otázka znela, či používatelia mohli pochopiť spoločný účinok samostatných nastavení, ktoré určovali, kde, kedy a ako často sa ich údaje spracúvali.

Zistenia sa pri jednotlivých funkciách líšili. Pri Aktivite na webe a v aplikáciách a pri Histórii polohy DPC konštatoval porušenie zákonnosti, spravodlivosti a transparentnosti. V oznámení uvádza tieto porušenia, neobjasňuje však, na aký právny základ sa Google odvolával ani prečo ho považoval za nedostatočný (Irish DPC). Pri Presnosti určovania polohy DPC uviedol, že Google nepreukázal súlad s pravidlami, čím porušil zásadu zodpovednosti. Nezverejnené rozhodnutie môže objasniť, čo úrad zistil o samotnom spracúvaní údajov. Za nadmerné uchovávanie údajov označil DPC iba prvé dve funkcie.

Mnohé médiá tieto rozdiely zjednodušili na tvrdenie, že „Google sledoval používateľov kvôli reklamám“. Zistenia však siahajú aj za hranice reklamy. Neznáme zostáva, ako sa 403 miliónov eur rozdelilo medzi jednotlivé porušenia a aký podiel na pokute mala každá funkcia. DPC uviedol, že úplné rozhodnutie zverejní „v primeranom čase“ (Irish DPC).

Od sťažnosti k pokute uplynulo osem rokov

Spotrebiteľské organizácie z ôsmich krajín podali v novembri 2018 koordinované sťažnosti prostredníctvom BEUC, európskej zastrešujúcej organizácie na ochranu spotrebiteľov (BEUC, Forbrukerrådet). DPC začal vlastné vyšetrovanie vo februári 2020 a výsledok oznámil až v septembri 2026. Holandská organizácia Consumentenbond rozhodnutie privítala, zároveň však upozornila, že spotrebitelia čakali takmer osem rokov (Consumentenbond). BEUC uviedol, že vymáhanie pravidiel po tom, ako sa produkty zmenili, stráca veľkú časť svojho preventívneho účinku (BEUC).

Mechanizmus jednotného kontaktného miesta podľa GDPR, v rámci ktorého vedie cezhraničné prípady voči veľkým firmám jeden národný dozorný orgán, sústredil dohľad nad týmto prípadom v Dubline. Google tam má svoje príslušné európske sídlo (GDPR, EUR-Lex). Ostatné dozorné orgány mohli rozhodnutie pripomienkovať alebo voči nemu namietať, vyšetrovanie však viedol DPC. Úrad poďakoval partnerským orgánom za „spoluprácu a pomoc“, neuviedol však, ktoré orgány to boli ani či niektorý z nich vzniesol námietku. V registri záväzných rozhodnutí Európskeho výboru pre ochranu údajov sa zodpovedajúce rozhodnutie zatiaľ nenachádza.

Obhajoba Googlu a chýbajúci príkaz na nápravu

Google tvrdí, že rozhodnutie sa týka historických postupov, ktoré už zmenil. V roku 2019 zaviedol automatické mazanie údajov, v roku 2020 nastavil pre nových používateľov predvolené ochranné nastavenia a neskôr začal údaje z časovej osi v Mapách presúvať do úložiska priamo v zariadení (BleepingComputer). Tieto zmeny môžu zúžiť rozsah opatrení, ktoré bude musieť Google ešte prijať. Spracúvanie údajov v rokoch 2018 až 2020 však spätne nelegalizujú a opis reforiem zo strany samotnej firmy nie je nezávislým dôkazom súladu s pravidlami.

Šesťmesačný príkaz na nápravu môže byť dôležitejší než samotná pokuta. DPC však nezverejnil, čo presne musí Google zmeniť: či má vymazať historické údaje, ako sa bude kontrolovať splnenie povinností ani odkedy začne plynúť lehota. Samotnú pokutu musí pred zaplatením potvrdiť írsky súd a Google sa môže odvolať (EUobserver).

Mechanizmus jednotného kontaktného miesta dal tomuto rozhodnutiu široký dosah: jedno rozhodnutie upravuje spracúvanie lokalizačných údajov Googlu v celom Európskom hospodárskom priestore. Nezabránil však takmer osemročnému čakaniu. Kým DPC nezverejní odôvodnenie a príkaz na nápravu, rozhodnutie síce potvrdzuje porušenia, no verejnosti neumožňuje posúdiť, či im zodpovedajú sankcia a opatrenia. Z nezverejneného príkazu vyplynie, či Google musí údaje vymazať, prepracovať svoje nastavenia alebo iba zdokumentovať zmeny, ktoré už vykonal.