Ирландската комисия за защита на данните (DPC) наложи глоба на Google в размер на 403 милиона евро (463 милиона долара) за множество нарушения на GDPR, свързани с обработката на данни за местоположението на потребителите.

Агенцията започна разследване през февруари 2020 г., след като получи множество жалби от организации за защита на правата на потребителите. Тя проучи три функции на Google, които бяха активни по време на периода на прилагане на GDPR от 25 май 2018 г. до 4 февруари 2020 г.

Функциите обхващат разрешения, които позволяват на Google да обработва активността на потребителите в мрежата и приложенията, историята на местоположенията и данните за точността на местоположението:

  • Активност в мрежата и приложенията (Web and App Activity) – Настройка за притежатели на акаунт в Google, която позволява на Google да обработва активността в своите услуги, потенциално включително история на браузване, история на търсене и данни за местоположението.
  • История на местоположенията (Location History) – Услуга с доброволно съгласие, която проследява потребители, носещи съвместими мобилни устройства. Тя може да извлече данни за посетени места, дейности и маршрути и показва тази информация чрез частна времева линия в Google Maps (Google Maps Timeline), дори когато потребителят не използва активно услуга на Google.
  • Точност на местоположението (Location Accuracy) – Функция на Android, която помага на устройството да определи позицията си по-точно, отколкото само чрез GPS. Тя е достъпна независимо дали потребителят има акаунт в Google.

DPC установи, че Google е обработвала данни за местоположението чрез „Активност в мрежата и приложенията“ и „История на местоположенията“, без да отговаря на изискванията на GDPR. В същото време компанията не е успяла да докаже съответствие с принципите на GDPR при обработката на лични данни чрез „Точност на местоположението“.

Ирландският орган твърди, че Google не е изпълнила задълженията си за прозрачност за трите функции и е запазила данните за местоположението, събрани чрез „Активност в мрежата и приложенията“ и „История на местоположенията“, по-дълго от необходимото.

„[...] физическите лица биха могли да не знаят, че местоположението им се използва например, за да им се влияе с реклами или да се правят изводи за техните интереси, и биха могли да загубят контрол върху личните си данни“, заяви заместник-комисар Греъм Дойл.

„Задържането на данните за местоположението на потребителите за по-дълго от необходимото допълнително влоши тази загуба на контрол.“

За тези нарушения DPC наложи административни глоби в общ размер на 403 милиона евро и изисква от Google да приведе обработката на потребителски данни в съответствие в рамките на следващите шест месеца.

DPC все още не е публикувала пълното си решение, но обеща да направи това в бъдеще.

В изявление за BleepingComputer от Google заявиха, че са актуализирали своите практики и политики и са внедрили механизъм за лесно управление на данните за местоположението.

„Този случай се върти около исторически политики, които оттогава са актуализирани. От 2019 г. насам значително развихме нашите практики и пуснахме надеждни инструменти, които правят управлението на данните за местоположението просто“, каза говорител на Google.

През годините компанията е добавила контроли, които позволяват на потребителите да определят конкретен времеви ред за автоматично изтриване на данни в техния акаунт. Информацията във времевата линия на Google Maps сега се съхранява на устройството и автоматично премахва данни, по-стари от три месеца.

Освен това Google казва, че не запазва точното местоположение на устройството в „Активност в мрежата и приложенията“, а приблизителна обща площ.