Googlejeva globa €403m, ukaz ostaja skrit

Irski organ za varstvo podatkov (DPC) je 21. septembra Google oglobil s 403 milijoni evrov zaradi načina, kako so tri funkcije za določanje lokacije obdelovale osebne podatke v Evropskem gospodarskem prostoru (Irish DPC, Euronews). Višina globe je znana, razlogi zanjo, način izračuna, natančne pravne kršitve in odredba o uskladitvi pa ne. Skoraj osem let po pritožbah potrošniških organizacij javnost še vedno ne more presoditi, ali sta globa in naloženi ukrep sorazmerna ugotovljenim kršitvam.

Kaj je DPC objavil – in česa ni

Preiskava je zajela ravnanja med majem 2018 in februarjem 2020 pri treh Googlovih funkcijah: Web & App Activity, Location History in Android's Location Accuracy. Ključno je bilo njihovo medsebojno delovanje: uporabniku, ki je izključil Location History, so se lahko podatki, povezani z lokacijo, še vedno shranjevali prek funkcije Web & App Activity. Norveški svet potrošnikov je to vrzel dokumentiral v poročilu iz leta 2018. Regulativno vprašanje je bilo, ali lahko uporabniki razumejo skupni učinek ločenih nastavitev, ki določajo, kje so se gibali, kdaj in kako pogosto.

Ugotovitve so se med funkcijami razlikovale. Pri Web & App Activity in Location History je DPC ugotovil kršitve zakonitosti, poštenosti in preglednosti. V objavi navaja zakonske kršitve, ne razkrije pa pravne podlage, na katero se je skliceval Google, ali razlogov, zaradi katerih je bila ta podlaga zavrnjena (Irish DPC). Pri Location Accuracy je ugotovil, da Google ni dokazal skladnosti z obveznostmi, kar pomeni kršitev načela odgovornosti. Neobjavljena odločba bi lahko pojasnila, kaj je DPC ugotovil glede same obdelave podatkov. Le pri prvih dveh funkcijah je presodil, da se podatki hranijo predolgo.

Večina poročanja je te razlike skrčila na trditev, da je »Google sledil uporabnikom za oglase«. Ugotovitve segajo dlje od oglaševanja. Še vedno ni znano, kako je bilo 403 milijonov evrov razdeljenih med posamezne kršitve in kolikšen delež je prispevala vsaka funkcija. DPC pravi, da bo celotna odločba objavljena »v doglednem času« (Irish DPC).

Osem let od pritožbe do globe

Potrošniške organizacije iz osmih držav so novembra 2018 prek Evropske potrošniške organizacije BEUC vložile usklajene pritožbe (BEUC, Forbrukerrådet). DPC je lastno preiskavo začel februarja 2020, izid pa objavil septembra 2026. Nizozemska organizacija Consumentenbond je odločitev pozdravila, vendar poudarila, da so potrošniki čakali skoraj osem let (Consumentenbond). BEUC je opozoril, da ukrepanje po tem, ko se proizvodi že spremenijo, izgubi velik del preventivnega učinka (BEUC).

Mehanizem enotne kontaktne točke iz Splošne uredbe o varstvu podatkov (GDPR), po katerem vodi čezmejne postopke za podjetja z dejavnostjo v več državah en nacionalni nadzorni organ, je nadzor nad tem primerom skoncentriral v Dublinu, saj je tam Googlova pristojna evropska poslovna enota (GDPR, EUR-Lex). Drugi organi so lahko predložili pripombe ali ugovarjali, vendar je preiskavo vodil DPC. Ta se je zahvalil pristojnim organom za »sodelovanje in pomoč«, ne da bi jih imenoval ali razkril, ali je kdo ugovarjal. V registru zavezujočih odločitev Evropskega odbora za varstvo podatkov (register) ustrezne odločbe ni.

Googlova obramba in manjkajoča odredba

Google trdi, da se odločitev nanaša na pretekle prakse, ki jih je že spremenil. Leta 2019 je uvedel samodejno brisanje podatkov, leta 2020 za nove uporabnike določil varnejše privzete nastavitve, pozneje pa je podatke funkcije Maps Timeline začel prenašati v hrambo na napravi (BleepingComputer). Te spremembe lahko zmanjšajo obseg ukrepov, ki jih mora Google še izvesti. Ne pomenijo pa, da je bila obdelava podatkov med letoma 2018 in 2020 naknadno zakonita, opisi reform, ki jih poda podjetje samo, pa niso neodvisen dokaz skladnosti.

Odredba o šestmesečni uskladitvi bi lahko bila pomembnejša od globe. DPC pa ni objavil, kaj mora Google spremeniti: ali mora izbrisati stare podatke, kako bo preverjena skladnost in kdaj začne teči rok. Irsko sodišče mora globo pred plačilom še potrditi, Google pa se lahko pritoži (EUobserver).

Mehanizem enotne kontaktne točke je odločitvi dal širok doseg: ena odločitev ureja Googlovo obdelavo lokacijskih podatkov v celotnem Evropskem gospodarskem prostoru. Ni pa preprečil skoraj osemletnega čakanja. Dokler DPC ne objavi obrazložitve in odredbe, odločitev potrjuje kršitve, vendar zunanjim opazovalcem ne omogoča presoje, ali sta globa in ukrep sorazmerna z njimi. Neobjavljena odredba bo pokazala, ali mora Google podatke izbrisati, na novo zasnovati svoje nastavitve ali zgolj dokumentirati reforme, ki jih je že izvedel.