Irlandia nakłada na Google 403 mln euro kary za naruszenia RODO w śledzeniu lokalizacji

Dubliński regulator nakłada karę finansową

Irlandzka Komisja Ochrony Danych ogłosiła 21 września 2026 r., że nałożyła na Google karę w wysokości 403 mln euro (około 345 mln funtów lub 462 mln dolarów) za naruszenie Ogólnego rozporządzenia o ochronie danych (RODO). Jest to czwarta co do wielkości kara nałożona przez irlandzki organ nadzorczy, kończąca dochodzenie wszczęte sześć lat wcześniej, w lutym 2020 r. Europejskie organizacje konsumenckie zainicjowały sprawę, składając formalne skargi dotyczące mechanizmów śledzenia użytkowników. Ponieważ Google posiada swoją europejską siedzibę w Dublinie, irlandzki regulator pełni rolę głównego organu nadzorczego dla firmy technologicznej w całym Europejskim Obszarze Gospodarczym. Decyzja nakazuje Google pełne dostosowanie operacji przetwarzania danych do standardów unijnych w ciągu sześciu miesięcy.

Zakres naruszeń w śledzeniu lokalizacji

Dochodzenie oceniało przetwarzanie danych o lokalizacji przez Google od 25 maja 2018 r., kiedy weszło w życie RODO, do 4 lutego 2020 r. Organy regulacyjne zbadały trzy systemy oprogramowania: Aktywność w internecie i aplikacjach, która śledzi zachowania podczas przeglądania stron i wyszukiwania; Historię lokalizacji, która rejestruje fizyczne miejsca odwiedzane za pomocą urządzeń mobilnych; oraz Dokładność lokalizacji w systemie Android. Komisja ustaliła, że Google nie spełniło wymogów prawnych dotyczących zgodności z prawem i rzetelności przetwarzania danych w ramach Aktywności w internecie i aplikacjach oraz Historii lokalizacji. Organ zarzucił również Google naruszenie zasad rozliczalności w Dokładność lokalizacji oraz naruszenie wymogów przejrzystości we wszystkich trzech ocenianych funkcjach.

Wpływ na zgodę i retencję użytkowników

Dochodzenie wykazało, że Google przechowywało dane o lokalizacji użytkowników przez okresy przekraczające to, co było niezbędne do świadczenia usług. Regulatorzy stwierdzili, że nieograniczone śledzenie lokalizacji narusza prywatność, ponieważ precyzyjne współrzędne ujawniają codzienne rutyny, prywatne powiązania i osobiste nawyki. Komisja uznała, że interfejs i komunikaty Google nie informowały użytkowników, iż śledzenie lokalizacji służy do tworzenia profili behawioralnych wykorzystywanych do personalizacji reklam lub wnioskowania o zainteresowaniach użytkownika. Zastępca komisarza Graham Doyle odniósł się do obowiązków nałożonych przez europejskie ramy ochrony prywatności.

„RODO (Ogólne rozporządzenie o ochronie danych) zapewnia wysoki poziom ochrony danych osobowych w całym EOG (Europejskim Obszarze Gospodarczym) i wymaga, aby przetwarzanie danych osobowych odbywało się w sposób zgodny z prawem, rzetelny i przejrzysty.”

Doyle podkreślił, że choć dane o lokalizacji mogą zwiększać użyteczność usług online, niosą również potencjał wyrządzenia znacznych szkód w przypadku ujawnienia informacji z natury prywatnych. Organ nadzorczy uznał, że długotrwałe przechowywanie rekordów użytkowników pogłębiło utratę indywidualnej kontroli nad danymi osobowymi.

Aktualizacje produktów i obrona korporacyjna

Google broniło swoich wyników w zakresie zgodności, stwierdzając, że decyzja regulacyjna koncentruje się na historycznych procedurach operacyjnych, które zostały już zastąpione.

„Ta sprawa dotyczy minionych zasad, które zostały już zaktualizowane. Od 2019 r. znacząco usprawniliśmy nasze procedury i wprowadziliśmy skuteczne narzędzia, które upraszczają zarządzanie danymi o lokalizacji.”

Firma wskazała na modyfikacje techniczne wprowadzone po badanym okresie, w tym ustawienia automatycznego usuwania, które pozwalają użytkownikom czyścić rekordy lokalizacji co 3, 18 lub 36 miesięcy. Google zapisuje teraz historię lokalizacji bezpośrednio na poszczególnych urządzeniach mobilnych, zamiast na centralnych serwerach, i zapewnia opcje całkowitego wyłączenia spersonalizowanych reklam. Firma zmodyfikowała również swoje systemy, aby rejestrowały przybliżone współrzędne zamiast dokładnego położenia, oraz skonsolidowała ustawienia prywatności konta w centralnym panelu zarządzania.