Ирландская Комиссия по защите данных (Data Protection Commission, DPC) оштрафовала Google на €403 миллиона за нарушения Общего регламента ЕС по защите данных (GDPR). Проверка охватила обработку геоданных с мая 2018 года по 4 февраля 2020 года в трех функциях: Web & App Activity, Location History и Location Accuracy. DPC, ведущий регулятор Google по защите данных в Евросоюзе, потребовала устранить нарушения в течение шести месяцев. Какие именно операции подпадают под предписание, комиссия пока не уточнила; полный текст решения ожидается позднее.
Web & App Activity, или «История приложений и веб-поиска», представляет собой настройку аккаунта Google. При ее включении компания обрабатывает сведения о действиях пользователя на сайтах и в приложениях Google, включая данные о местоположении. Location History, «История местоположений», требует отдельного согласия: она записывает перемещения мобильных устройств, на которых пользователь вошел в аккаунт. Сбор может продолжаться, даже когда человек не пользуется сервисами Google.
Location Accuracy, «Точность геолокации», работает на Android и определяет положение устройства точнее, чем один GPS. Функция доступна владельцам смартфонов как с аккаунтом Google, так и без него. Претензии DPC к ней оказались уже, чем к Web & App Activity и Location History, но разница здесь скорее юридическая, чем бытовая: местоположение все равно обрабатывалось, а Google не смогла должным образом объяснить и обосновать такую обработку.
В случае Web & App Activity и Location History регулятор установил нарушения требований GDPR о законности, добросовестности и прозрачности обработки. Отдельная претензия касалась сроков хранения: Google сохраняла геоданные дольше, чем было необходимо. Для Location Accuracy DPC зафиксировала нарушения правил прозрачности и подотчетности. Компания не сумела доказать, что обработка через эту функцию была законной, добросовестной и понятной пользователю.
Заместитель комиссара DPC Грэм Дойл (Graham Doyle) объяснил практический риск: люди могли попросту не знать, что сведения об их местоположении используются. По таким данным можно подбирать рекламу, воздействовать на поведение пользователя и делать выводы о его интересах. Длительное хранение усугубляет проблему: чем больше накоплена история перемещений, тем меньше у человека реального контроля над своими персональными данными.
€403 миллиона стали четвертым по величине штрафом, когда-либо назначенным DPC. Взыскать деньги немедленно нельзя: решение ирландского регулятора приобретает платежную силу только после подтверждения судом Ирландии. Google вправе обратиться с жалобой в Высокий суд. На подачу апелляции компании отведено 28 дней с момента получения официального уведомления.
В заявлении, которое привело агентство Associated Press, Google сообщила, что дело «касается прежних правил, которые с тех пор были обновлены». По версии компании, с 2019 года ее подход к геоданным заметно изменился. Часть обновлений действительно появилась еще во время периода, изучавшегося DPC, однако регулятор пока не признал публично, что нынешние настройки полностью исполняют его предписание.
В мае 2019 года Google объявила об автоматическом удалении данных Location History и Web & App Activity через 3 или 18 месяцев по выбору пользователя. В июне 2020 года срок в 18 месяцев стал настройкой по умолчанию для Web & App Activity в новых аккаунтах и для тех, кто впервые включал Location History. Это произошло уже после 4 февраля 2020 года, последнего дня периода, охваченного расследованием.
В декабре 2023 года компания сообщила о новых правилах для Timeline, функции Google Maps, показывающей историю местоположений на карте. Данные Timeline предполагалось хранить непосредственно на устройствах пользователей. Для людей, впервые включающих Location History, автоматическое удаление должно было срабатывать через три месяца. DPC не сообщила, достаточно ли локального хранения и сокращенного срока, чтобы выполнить требование о приведении обработки в соответствие с GDPR.
Дело началось с жалоб европейских потребительских объединений, включая BEUC, Европейскую организацию потребителей. Члены BEUC обратились к национальным органам защиты данных в ноябре 2018 года. DPC открыла расследование в феврале 2020-го и официально объявила о нем 4 февраля; эта же дата стала границей проверяемого периода, начавшегося в мае 2018 года. Решение появилось более чем через шесть с половиной лет. Генеральный директор BEUC Агустин Рейна (Agustín Reyna) приветствовал санкции, но в комментарии, опубликованном , жестко оценил задержку: «Запоздалое правоприменение может быть столь же вредным, как и полное отсутствие правоприменения».
Изображение носит иллюстративный характер
Web & App Activity, или «История приложений и веб-поиска», представляет собой настройку аккаунта Google. При ее включении компания обрабатывает сведения о действиях пользователя на сайтах и в приложениях Google, включая данные о местоположении. Location History, «История местоположений», требует отдельного согласия: она записывает перемещения мобильных устройств, на которых пользователь вошел в аккаунт. Сбор может продолжаться, даже когда человек не пользуется сервисами Google.
Location Accuracy, «Точность геолокации», работает на Android и определяет положение устройства точнее, чем один GPS. Функция доступна владельцам смартфонов как с аккаунтом Google, так и без него. Претензии DPC к ней оказались уже, чем к Web & App Activity и Location History, но разница здесь скорее юридическая, чем бытовая: местоположение все равно обрабатывалось, а Google не смогла должным образом объяснить и обосновать такую обработку.
В случае Web & App Activity и Location History регулятор установил нарушения требований GDPR о законности, добросовестности и прозрачности обработки. Отдельная претензия касалась сроков хранения: Google сохраняла геоданные дольше, чем было необходимо. Для Location Accuracy DPC зафиксировала нарушения правил прозрачности и подотчетности. Компания не сумела доказать, что обработка через эту функцию была законной, добросовестной и понятной пользователю.
Заместитель комиссара DPC Грэм Дойл (Graham Doyle) объяснил практический риск: люди могли попросту не знать, что сведения об их местоположении используются. По таким данным можно подбирать рекламу, воздействовать на поведение пользователя и делать выводы о его интересах. Длительное хранение усугубляет проблему: чем больше накоплена история перемещений, тем меньше у человека реального контроля над своими персональными данными.
€403 миллиона стали четвертым по величине штрафом, когда-либо назначенным DPC. Взыскать деньги немедленно нельзя: решение ирландского регулятора приобретает платежную силу только после подтверждения судом Ирландии. Google вправе обратиться с жалобой в Высокий суд. На подачу апелляции компании отведено 28 дней с момента получения официального уведомления.
В заявлении, которое привело агентство Associated Press, Google сообщила, что дело «касается прежних правил, которые с тех пор были обновлены». По версии компании, с 2019 года ее подход к геоданным заметно изменился. Часть обновлений действительно появилась еще во время периода, изучавшегося DPC, однако регулятор пока не признал публично, что нынешние настройки полностью исполняют его предписание.
В мае 2019 года Google объявила об автоматическом удалении данных Location History и Web & App Activity через 3 или 18 месяцев по выбору пользователя. В июне 2020 года срок в 18 месяцев стал настройкой по умолчанию для Web & App Activity в новых аккаунтах и для тех, кто впервые включал Location History. Это произошло уже после 4 февраля 2020 года, последнего дня периода, охваченного расследованием.
В декабре 2023 года компания сообщила о новых правилах для Timeline, функции Google Maps, показывающей историю местоположений на карте. Данные Timeline предполагалось хранить непосредственно на устройствах пользователей. Для людей, впервые включающих Location History, автоматическое удаление должно было срабатывать через три месяца. DPC не сообщила, достаточно ли локального хранения и сокращенного срока, чтобы выполнить требование о приведении обработки в соответствие с GDPR.
Дело началось с жалоб европейских потребительских объединений, включая BEUC, Европейскую организацию потребителей. Члены BEUC обратились к национальным органам защиты данных в ноябре 2018 года. DPC открыла расследование в феврале 2020-го и официально объявила о нем 4 февраля; эта же дата стала границей проверяемого периода, начавшегося в мае 2018 года. Решение появилось более чем через шесть с половиной лет. Генеральный директор BEUC Агустин Рейна (Agustín Reyna) приветствовал санкции, но в комментарии, опубликованном , жестко оценил задержку: «Запоздалое правоприменение может быть столь же вредным, как и полное отсутствие правоприменения».
