Google kažnjen sa 403 miliona evra: U centru slučaja podaci koji mogu otkriti mnogo više nego što mislite
Dodajte Kurir u vaš Google izborGoogle mora da plati 403 miliona evra zbog načina na koji je obrađivao podatke o lokaciji korisnika. Kaznu je izrekla irska Komisija za zaštitu podataka (DPC), posle istrage u kojoj su pod lupom bile tri Google funkcije: Web & App Activity, Location History i Location Accuracy. Regulator je zaključio da korisnicima nije bilo dovoljno jasno kako se njihovi podaci koriste, dok je dodatni problem predstavljalo i čuvanje pojedinih lokacijskih podataka duže nego što je bilo potrebno. Odluka se odnosi na praksu koja je postojala pre nekoliko godina, ali je kazna izrečena sada i spada među najveće koje je ovaj regulator do sada izrekao.
Istraga se odnosi na period od 25. maja 2018. do 4. februara 2020. godine, odnosno na period koji počinje samim stupanjem GDPR-a na snagu. DPC ju je pokrenuo u februaru 2020. nakon pritužbi evropskih organizacija za zaštitu potrošača. Regulator je tokom postupka analizirao kako Google prikuplja i obrađuje informacije o lokaciji, kako o tome obaveštava korisnike i da li ljudi mogu dovoljno lako da shvate šta prihvataju kada uključe određene funkcije na svom nalogu ili telefonu.
Lokacija nije samo tačka na mapi
Kada telefon zna gde se nalazi, to na prvi pogled deluje kao običan tehnički podatak potreban za navigaciju, vremensku prognozu ili pronalaženje obližnjih mesta. Međutim, kada se lokacija beleži tokom dužeg perioda, dobija se mnogo više. Niz podataka može da pokaže gde se korisnik kretao, koja mesta redovno posećuje, koliko se tamo zadržava i kojim se rutama najčešće kreće. Upravo zato lokacijski podaci mogu da budu veoma osetljiva kategorija ličnih informacija.
DPC je u odluci naveo da je Google podatke o lokaciji mogao da koristi i u svrhe povezane sa personalizacijom oglasa i zaključivanjem o interesovanjima korisnika. Problem koji je regulator pronašao nije bio samo u samoj obradi tih podataka, već u tome što korisnicima nije dovoljno jasno predstavljeno šta se događa sa informacijama koje kompanija dobija. Kod funkcija Web & App Activity i Location History utvrđeni su problemi u vezi sa zakonitošću i pravičnošću obrade, dok je kod sve tri funkcije utvrđen problem sa transparentnošću.
Šta rade tri sporne funkcije
Web & App Activity povezana je sa Google nalogom i može da čuva podatke o aktivnostima korisnika na Googleovim servisima. U zavisnosti od podešavanja, među njima mogu da budu pretrage, aktivnosti na sajtovima i informacije povezane sa lokacijom. Location History je namenjena beleženju kretanja uređaja, pa se kroz nju vremenom može formirati istorija mesta koja je korisnik posećivao. Ti podaci mogu da se koriste i za prikaz istorije kretanja kroz Google Maps.
Treća funkcija, Location Accuracy, nalazi se u Androidu i služi za preciznije određivanje položaja uređaja. Telefon pritom može da koristi više izvora informacija, a ne samo GPS. Važno je i to što ova funkcija nije ista stvar kao Location History i nije vezana isključivo za korisnike koji su prijavljeni na Google nalog. Zbog različitog načina rada, DPC je tri funkcije razmatrao odvojeno i za svaku proveravao kako su korisnici bili informisani o obradi podataka.
Podaci su ostajali duže nego što treba
Jedan deo odluke odnosi se na period čuvanja podataka. DPC je utvrdio da su informacije o lokaciji prikupljene kroz Web & App Activity i Location History bile zadržavane duže nego što je bilo potrebno. To je posebno važno kod podataka koji mogu da se gomilaju mesecima ili godinama, jer se njihovom kombinacijom dobija mnogo detaljnija slika kretanja nego što bi se mogla dobiti iz pojedinačnog podatka o lokaciji.
Upravo tu nastaje razlika između informacije „telefon je trenutno ovde“ i istorije koja pokazuje gde se uređaj nalazio tokom dužeg perioda. Ako se takvi podaci čuvaju, njihova vrednost i količina rastu sa svakim novim zapisom. DPC je zato u okviru istrage posmatrao i da li Google ima opravdanje za period tokom kojeg informacije zadržava. Regulator je zaključio da postojeći način čuvanja podataka nije bio u skladu sa zahtevima koje GDPR postavlja za takvu obradu.
U međuvremenu promenili praksu
Google tvrdi da se odluka odnosi na istorijske prakse i da je kompanija od tada promenila način upravljanja lokacijskim podacima. Prema navodima kompanije, promene su počele još 2019. godine i uključivale su automatsko brisanje određenih podataka, dodatne kontrole za korisnike i smanjenje količine preciznih lokacijskih informacija koje se čuvaju. Zbog toga Google sadašnje procedure ne izjednačava sa praksama koje su bile predmet istrage.
To ipak ne menja zaključke do kojih je DPC došao za period koji je bio obuhvaćen postupkom. Regulator je ocenio da je način na koji su korisnicima predstavljene informacije o obradi lokacije bio problematičan i da određeni podaci nisu bili čuvani u skladu sa zahtevima GDPR-a. Google je najavio da će se na odluku žaliti, pa postupak još nije nužno završen konačnom odlukom.
403 miliona evra nije jedina posledica
Pored novčane kazne od 403 miliona evra, DPC je Googleu naložio da određene prakse obrade podataka uskladi sa GDPR-om. Za to je kompaniji ostavljen rok od šest meseci. Drugim rečima, Google ne rešava slučaj samo uplatom kazne, već mora da sprovede i promene koje je regulator zatražio u vezi sa obradom podataka obuhvaćenom odlukom.
Iznos kazne dodatno privlači pažnju zato što je ovo četvrta najveća kazna koju je irski regulator izrekao od početka primene GDPR-a. Google se već suočavao sa sličnim problemima u SAD, gde je 2022. pristao da plati 391,5 miliona dolara kako bi okončao postupak povezan sa tvrdnjama o načinu prikupljanja lokacijskih podataka. Novi slučaj je, međutim, odvojen regulatorni postupak i odnosi se na konkretne Googleove prakse u Evropi između 2018. i 2020. godine.
Zabranjeno preuzimanje dela ili čitavog teksta i/ili foto/videa, bez navođenja i linkovanja izvora i autora, a u skladu sa odredbama WMG uslova korišćenja i Zakonom o javnom informisanju i medijima.