Google mora promijeniti obradu lokacijskih podataka

Irska Komisija za zaštitu podataka kaznila je Google sa 403 milijuna eura zbog nezakonite, nepravedne i nedovoljno transparentne obrade lokacijskih podataka u razdoblju od 2018. do 2020. DPC je naveo tri zahvaćene značajke: Web & App Activity, Location History i Location Accuracy. Google, kojemu je Irska glavni europski regulator, dobio je šest mjeseci da preostalu obradu uskladi s GDPR-om.

Postupak je otvoren 2020. nakon pritužbi europskih organizacija za zaštitu potrošača, među njima BEUC-a. Regulator je zaključio da korisnici nisu uvijek mogli razumjeti kada se njihov položaj prikuplja i u koju će se svrhu upotrijebiti. Zamjenik povjerenika Graham Doyle upozorio je da se lokacija može koristiti za utjecaj oglasima ili zaključivanje o interesima, a da osoba toga nije svjesna i gubi kontrolu nad svojim podacima.

Tri postavke ne rade isti posao. Location History bilježi kretanje mobilnog uređaja kroz vrijeme, Web & App Activity sprema aktivnosti na Googleovim uslugama i može uključiti podatke povezane s mjestom, dok Location Accuracy na Androidu poboljšava procjenu položaja kombiniranjem više signala. Problem za korisnika nastaje kada isključivanje jednoga prekidača ne daje jasan odgovor nastavlja li druga značajka stvarati ili koristiti lokacijski zapis.

Lokacija je posebno osjetljiva jer niz točaka otkriva obrazac života, a ne samo jednu adresu. Posjeti klinici, vjerskom objektu, sindikatu ili političkom događaju mogu omogućiti zaključke o zdravlju, vjeri i stavovima. Takav profil može nastati i bez toga da korisnik izravno upiše osjetljivu informaciju. Zato se pravna osnova, opis svrhe i razdoblje čuvanja moraju objasniti prije obrade, a ne sakriti u više zaslona postavki.

Google odgovara da se odluka odnosi na povijesne politike te da je od 2019. uveo snažnije alate. Tvrtka navodi automatsko brisanje osobnih podataka u kliznom razdoblju, spremanje podataka vremenske crte izravno na uređaju i detaljnije upravljanje uporabom lokacije za oglase. Pri pretraživanju, dodaje Google, sprema se procijenjeno šire područje umjesto precizne lokacije uređaja.

Te izmjene ne ukidaju nalaz za prethodno razdoblje. Regulator ocjenjuje je li obrada u trenutku prikupljanja imala valjanu osnovu, bila poštena i dovoljno objašnjena. Naknadno poboljšanje može smanjiti budući rizik, ali ne pretvara raniju obradu u zakonitu. U šestomjesečnom roku Google će morati dokazati da se današnje postavke mogu razumjeti zajedno, uključujući što se događa s već prikupljenim podacima.

Kazna je četvrta najveća koju je irski DPC izrekao velikoj tehnološkoj tvrtki otkako se GDPR primjenjuje 2018. Regulator je takvim kompanijama ukupno odredio više od četiri milijarde eura kazni, jer brojna američka društva imaju europsko sjedište u Irskoj. Protiv Googlea su još tri velika zakonska postupka u uznapredovaloj fazi, pa današnja odluka ne zatvara njegov regulatorni rizik u Uniji.

Za tržište digitalnog oglašavanja važan je odnos između privole i mjerenja. Ako se podatak o mjestu koristi za odabir oglasa, procjenu posjeta trgovini ili stvaranje interesnih skupina, promjena u načinu uključivanja može smanjiti količinu dostupnih signala. DPC nije objavio procjenu prihoda koji su ovisili o spornoj obradi, pa se kazna ne može izravno pretvoriti u očekivani pad oglasnog poslovanja.

Odluka će utjecati i na dizajn korisničkih sučelja. Usklađenost se ne može svesti na dulji tekst uvjeta ako je gumb za uključivanje istaknut, a posljedice isključivanja razlomljene po različitim izbornicima. Regulator će moći provjeriti jesu li izbori jednako vidljivi, može li se privola povući bez gubitka nepovezane funkcije i prestaje li obrada u trenutku koji korisnik razumno očekuje.