Googles böter på €403m döljer kraven

Irlands dataskyddsmyndighet, Data Protection Commission (DPC), bötfällde Google med 403 miljoner euro den 21 september för hur tre platsfunktioner behandlade personuppgifter inom Europeiska ekonomiska samarbetsområdet (Irish DPC, Euronews). Bötesbeloppet har blivit rubriken. Däremot har DPC inte publicerat det motiverade beslutet, beräkningen av böterna, de exakta lagöverträdelserna eller föreläggandet om vilka åtgärder Google måste vidta. Nästan åtta år efter att konsumentorganisationer lämnade in sina klagomål kan allmänheten fortfarande inte bedöma om straffet och åtgärderna står i rimlig proportion till överträdelserna.

Vad DPC meddelade – och vad myndigheten inte har publicerat

Granskningen omfattade Googles agerande mellan maj 2018 och februari 2020 i tre funktioner: Web & App Activity, Location History och Androids Location Accuracy. Det viktiga sambandet mellan dem är att information med koppling till användarens position fortfarande kunde sparas genom Web & App Activity även om användaren hade stängt av Location History. Norges konsumentråd dokumenterade denna lucka i en rapport från 2018. Den rättsliga frågan var om användarna kunde förstå den samlade effekten av separata inställningar som styrde var, när och hur ofta deras rörelser registrerades.

Bedömningen skilde sig åt mellan funktionerna. Web & App Activity och Location History bröt enligt DPC mot kraven på laglighet, skälighet och transparens. I myndighetens meddelande anges dessa lagöverträdelser, men inte vilken rättslig grund Google åberopade eller varför myndigheten ansåg att den inte höll (Irish DPC). När det gäller Location Accuracy var slutsatsen att Google inte hade visat att behandlingen följde reglerna, vilket innebär en överträdelse av kravet på ansvarsskyldighet. Det opublicerade beslutet kan förklara hur DPC bedömde själva behandlingen av uppgifterna. Det var bara de två första funktionerna som ansågs spara uppgifter längre än tillåtet.

En stor del av rapporteringen reducerade frågan till att ”Google spårade användare för annonser”. Överträdelserna handlar om mer än annonsering. Det är fortfarande okänt hur de 403 miljoner euro fördelas mellan överträdelserna och hur mycket varje funktion bidrog till beloppet. DPC uppger att det fullständiga beslutet ska publiceras ”i sinom tid” (Irish DPC).

Åtta år från klagomål till böter

Konsumentorganisationer i åtta länder lämnade in samordnade klagomål i november 2018 genom BEUC, den europeiska paraplyorganisationen för konsumentorganisationer (BEUC, Forbrukerrådet). DPC inledde sin egen granskning i februari 2020 och meddelade resultatet i september 2026. Nederländska Consumentenbond välkomnade beskedet, men betonade att konsumenterna hade fått vänta i nästan åtta år (Consumentenbond). BEUC framhöll att tillsyn som kommer efter att produkterna har förändrats förlorar mycket av sin förebyggande effekt (BEUC).

GDPR:s mekanism med en enda tillsynsmyndighet, där en nationell myndighet leder ärenden mot företag med gränsöverskridande verksamhet, samlade ansvaret för fallet i Dublin eftersom Googles relevanta europeiska etablering finns där (GDPR, EUR-Lex). Andra tillsynsmyndigheter kunde lämna synpunkter eller invända, men DPC ledde utredningen. Myndigheten tackade sina motsvarigheter för ”samarbete och hjälp”, utan att namnge dem eller redovisa om någon hade invänt. Något motsvarande beslut har inte heller publicerats i Europeiska dataskyddsstyrelsens register över bindande beslut i tvistlösningsärenden.

Googles försvar och det saknade föreläggandet

Google hävdar att beslutet gäller äldre metoder som företaget redan har ändrat. Bolaget införde funktioner för automatisk radering 2019, skyddande standardinställningar för nya användare 2020 och började senare flytta uppgifter från Maps Timeline till lagring på enheten (BleepingComputer). Förändringarna kan minska vad Google fortfarande behöver göra. De gör inte behandlingen under åren 2018–2020 laglig i efterhand, och företagets egna beskrivningar av reformerna är inget oberoende bevis på att reglerna följs.

Det sex månader långa föreläggandet om åtgärder kan få större betydelse än böterna. DPC har dock inte publicerat vad Google måste ändra: om äldre uppgifter ska raderas, hur efterlevnaden ska kontrolleras eller när tidsfristen börjar löpa. Böterna måste dessutom fastställas av en irländsk domstol innan de kan betalas, och Google kan överklaga (EUobserver).

Mekanismen med en enda tillsynsmyndighet gav beslutet räckvidd: ett beslut gäller Googles platsbehandling i hela EES. Den förhindrade däremot inte en väntan på nästan åtta år. Så länge DPC inte publicerar sin motivering och sitt föreläggande slår beslutet fast att överträdelser har begåtts, men gör det omöjligt för utomstående att bedöma om straffet och åtgärderna motsvarar dem. Det opublicerade föreläggandet kommer att visa om Google måste radera uppgifter, bygga om sina kontrollsystem eller bara dokumentera reformer som redan har genomförts.