Irlandia nakłada na Google 403 mln euro kary za naruszenia RODO w zakresie danych o lokalizacji

Irlandzki regulator karze za praktyki dotyczące danych o lokalizacji

Irlandzka Komisja Ochrony Danych (DPC), pełniąca rolę wiodącego organu nadzorczego w Unii Europejskiej, nałożyła na Google karę w wysokości 403 mln euro (462 mln dolarów) w dniu 21 września 2026 r. Decyzja kończy dochodzenie w sprawie sposobu, w jaki spółka zależna Alphabet przetwarzała i przechowywała osobiste dane o lokalizacji w ramach swoich usług. Śledczy przeanalizowali trzy odrębne funkcje: Aktywność w internecie i aplikacjach, Historię lokalizacji oraz Dokładność lokalizacji w okresie od 25 maja 2018 r. do 4 lutego 2020 r. Organ ustalił, że Google naruszyło wymogi Ogólnego rozporządzenia o ochronie danych (RODO) dotyczące zgodnego z prawem przetwarzania, rzetelności, przejrzystości i rozliczalności. DPC wydała również nakaz zobowiązujący Google do dostosowania operacji przetwarzania danych do przepisów w ciągu sześciu miesięcy.

Skargi konsumentów i mechanizmy śledzenia

Formalne dochodzenie rozpoczęto w lutym 2020 r. po tym, jak organizacje ochrony konsumentów z siedmiu krajów europejskich złożyły skoordynowane skargi w listopadzie 2018 r. Dokumenty opierały się na badaniach przeprowadzonych przez Norweską Radę Konsumentów, które wykazały, w jaki sposób projektowanie interfejsów skłaniało użytkowników do włączania stałego śledzenia lokalizacji bez pełnego zrozumienia mechanizmu. Komisarze DPC Des Hogan, Dale Sunderland i Niamh Sweeney stwierdzili, że Google przechowywało dane o lokalizacji dłużej niż było to konieczne i nie zapewniało przejrzystych wyjaśnień dotyczących wykorzystywania współrzędnych geograficznych do targetowania reklam i budowania profili.

W rezultacie zaniedbań Google w tym zakresie, użytkownicy mogli nie być świadomi, że ich lokalizacja jest wykorzystywana na przykład do wpływania na nich poprzez reklamy lub do wnioskowania o ich zainteresowaniach.

Reakcja korporacji i opóźnienia w egzekwowaniu prawa

Google oświadczyło, że sankcja dotyczy wycofanych już ram operacyjnych, które zostały zastąpione nowszymi mechanizmami kontroli prywatności. Firma wskazała na ustawienia automatycznego usuwania danych oraz panele zarządzania wprowadzone w jej produktach począwszy od 2019 r.

Ta sprawa koncentruje się wokół historycznych zasad, które zostały już zaktualizowane. Od 2019 roku znacząco rozwinęliśmy nasze praktyki i uruchomiliśmy solidne narzędzia, które sprawiają, że zarządzanie danymi o lokalizacji jest proste.

Obrońcy konsumentów poparli karę, ale wyrazili zaniepokojenie wieloletnim procesem administracyjnym wymaganym do wydania wiążącej decyzji.

Decyzja jest dobrą wiadomością dla konsumentów, ponieważ pociąga Google do odpowiedzialności i potwierdza nielegalność sposobu, w jaki gigant technologiczny uzyskiwał zgodę na wykorzystywanie danych o lokalizacji ludzi. Jednak czas potrzebny na dojście do tego wniosku jest nieproporcjonalny do powagi naruszenia... Podstawowe prawa konsumentów muszą być przestrzegane szybciej i lepiej.

Skala kar i aktywne dochodzenia

Kara w wysokości 403 mln euro jest czwartą co do wielkości grzywną nałożoną przez irlandzką DPC od czasu rozpoczęcia egzekwowania RODO w 2018 r. Plasuje się ona za karą 1,2 mld euro nałożoną na Meta Platforms w 2023 r. za transatlantycki transfer danych oraz karą 530 mln euro nałożoną na TikTok w maju 2025 r. za przesyłanie danych europejskich użytkowników do Chin. Irlandzki organ sprawuje europejską jurysdykcję nad Google, ponieważ firma technologiczna utrzymuje swoją regionalną siedzibę w Dublinie. DPC prowadzi obecnie trzy dodatkowe dochodzenia na dużą skalę dotyczące Google, które badają przetwarzanie danych w modelu sztucznej inteligencji PaLM2, system spersonalizowanych reklam firmy oraz proces rejestracji konta użytkownika.