Irlandzka Komisja Ochrony Danych (DPC) nałożyła na Google karę w wysokości 403 mln euro. Sprawa dotyczy przetwarzania danych o lokalizacji użytkowników w latach 2018–2020. O decyzji regulator poinformował w poniedziałek. Kara została nałożona za naruszenie RODO. Google to spółka należąca do Alphabetu. Kara jest czwartą co do wysokości grzywną w historii irlandzkiego organu.

Od czego zaczęła się sprawa?

Postępowanie formalnie wszczęto w 2020 roku. Impulsem były skargi organizacji konsumenckich. To one zwróciły uwagę na to, w jaki sposób Google przetwarza dane o położeniu użytkowników. Organizacje konsumenckie wskazywały, że użytkownicy mogą nie mieć pełnej świadomości co do wykorzystania swoich danych. Postępowanie dotyczyło okresu 2018–2020. Sprawa ciągnęła się kilka lat, a decyzja DPC zapadła dopiero w poniedziałek.

Dlaczego sprawą zajął się właśnie irlandzki regulator?

DPC pełni rolę głównego regulatora prywatności w Unii Europejskiej dla Google. W unijnym systemie ochrony danych to właśnie irlandzki organ odpowiada za nadzór nad tą firmą. Dlatego to po stronie DPC leżała decyzja o przeprowadzeniu postępowania i ewentualnym ukaraniu spółki. Google to nie jest zwykła firma. To wyszukiwarka należąca do Alphabetu, a więc podmiot z największej ligi światowych koncernów technologicznych.

Co dokładnie zakwestionował DPC?

Zdaniem regulatora użytkownicy Google nie mieli wystarczającej świadomości co do tego, w jaki sposób wykorzystywane są ich dane o lokalizacji. Chodziło o to, że informacje o położeniu były przetwarzane w sposób mało przejrzysty. Dodatkowo Google przechowywał te dane zbyt długo. Takie postępowanie narusza zasady RODO, przede wszystkim zasadę przejrzystości oraz ograniczenia czasu przechowywania danych. Uchybienia nie dotyczyły pojedynczych przypadków, lecz całego mechanizmu działania firmy w analizowanym okresie.

Na czym polega problem z danymi lokalizacyjnymi?

Dane o lokalizacji to informacje, które pokazują, gdzie znajduje się użytkownik. W latach 2018–2020 Google miał przetwarzać takie dane w sposób, który nie był wystarczająco przejrzysty. Użytkownicy nie wiedzieli do końca, do czego ich dane są wykorzystywane. Do tego dane pozostawały w systemach Google zbyt długo. Takie postępowanie stoi w sprzeczności z zasadami RODO, które wymagają, by dane osobowe były przetwarzane w sposób przejrzysty i nie dłużej, niż to konieczne. To właśnie te elementy złożyły się na naruszenie unijnych przepisów.

Skala kary

Kara nałożona przez DPC to 403 mln euro. W historii irlandzkiego organu to czwarta co do wysokości grzywna. To pokazuje, że regulator uznał sprawę za poważną. Decyzja nie dotyczy drobnych uchybień, lecz naruszeń, które miały trwać przez kilka lat. Sprawa dotyczyła lat 2018–2020, a postępowanie w tej sprawie toczyło się od 2020 roku. Decyzja DPC oznacza, że irlandzki organ uznał skargi organizacji konsumenckich za zasadne.

Co wynika z ustaleń DPC?

Z ustaleń regulatora wynika, że problem leżał przede wszystkim w braku odpowiedniej świadomości użytkowników. Google miał nie zapewniać im wystarczających informacji o tym, do czego wykorzystuje dane o lokalizacji. Do tego dane były przechowywane zbyt długo. Obie te kwestie są kluczowe z punktu widzenia RODO. Unijne przepisy wymagają, by przetwarzanie danych osobowych odbywało się w sposób przejrzysty, a dane nie były trzymane dłużej, niż to konieczne. W tej sprawie obie zasady zostały naruszone.

Co dalej?

Na ten moment najważniejsza jest decyzja DPC. Google zostało ukarane, a kara pozostaje czwartą co do wysokości karą nałożoną przez irlandzki organ ochrony danych. Postępowanie zaczęło się w 2020 roku, a decyzję ogłoszono w poniedziałek. Sprawa pokazuje, że dane o lokalizacji użytkowników są obszarem, któremu regulatorzy przyglądają się bardzo uważnie. Kara w wysokości 403 mln euro pozostaje jednocześnie najświeższym akcentem w tej konkretnej sprawie.