ZAŠTITA PODATAKA

Irski regulator kaznio Google s 403 milijuna eura

Irska Komisija za zaštitu podataka izrekla je Googleu kaznu od 403 milijuna eura zbog nepravilnosti u obradi lokacijskih podataka. Istraga je obuhvatila Web & App Activity, Location History i Location Accuracy te pitanja zakonitosti, transparentnosti, odgovornosti i zadržavanja podataka. Google mora obradu uskladiti s GDPR-om u roku od šest mjeseci.

Irski regulator kaznio Google s 403 milijuna eura
AI ilustracija

Irska Komisija za zaštitu podataka, DPC, kaznila je Google s ukupno 403 milijuna eura zbog kršenja Opće uredbe o zaštiti podataka, GDPR-a. Odluka je rezultat višegodišnje istrage načina na koji je Google Ireland obrađivao lokacijske podatke korisnika u pojedinim uslugama i postavkama.

Istraga je pokrenuta u veljači 2020. nakon pritužbi više europskih organizacija za zaštitu potrošača, uključujući BEUC. Regulator je ispitivao zakonitost, poštenost i transparentnost obrade lokacijskih podataka te način na koji je Google dokazivao usklađenost s obvezama iz GDPR-a.

Predmet je obuhvatio tri funkcije: Web & App Activity, Location History i Location Accuracy. Analizirano je razdoblje od početka primjene GDPR-a, 25. svibnja 2018., do 4. veljače 2020. DPC je utvrdio povrede povezane sa zakonitošću i poštenošću obrade podataka u prve dvije funkcije, obvezama odgovornosti kod Location Accuracyja, transparentnošću u sve tri funkcije te zadržavanjem lokacijskih podataka.

Jedan od ključnih problema bilo je pitanje jesu li korisnici dovoljno jasno razumjeli kako se njihovi lokacijski podaci mogu koristiti i povezivati s drugim informacijama. Takvi podaci mogu otkrivati obrasce kretanja, posjećena mjesta i druge osjetljive aspekte privatnog života, a mogu se koristiti i za zaključivanje o interesima korisnika te prilagodbu oglasa.

Zamjenik povjerenika Graham Doyle naglasio je da lokacijski podaci mogu znatno poboljšati korisnost internetskih usluga, ali istodobno mogu otkriti vrlo velik broj informacija o pojedincu, uključujući podatke koji su po svojoj prirodi privatni. GDPR zato zahtijeva da obrada osobnih podataka bude zakonita, poštena i transparentna.

DPC je Googleu izrekao administrativne novčane kazne u ukupnom iznosu od 403 milijuna eura te naložio da obradu uskladi s propisima u roku od šest mjeseci.

Konačna odluka donesena je više od šest godina nakon pokretanja istrage. Google Ireland u ovom je predmetu pod nadzorom irskog regulatora jer Irska u okviru GDPR-ova mehanizma „one-stop-shop“ djeluje kao vodeće nadzorno tijelo za tvrtku u Europskoj uniji. Odluka nije ograničena samo na pitanje privole, nego obuhvaća više temeljnih načela obrade osobnih podataka. Regulator je posebno utvrdio probleme sa zakonitošću i poštenošću obrade u funkcijama Web & App Activity i Location History.

Za Location Accuracy zaključio je da Google nije mogao na odgovarajući način dokazati usklađenost s načelima zakonitosti, poštenosti i transparentnosti. Povrede transparentnosti utvrđene su u sve tri promatrane funkcije, a DPC je problematizirao i razdoblje zadržavanja lokacijskih podataka u Web & App Activityju i Location Historyju. Google sada ima šest mjeseci za provedbu promjena. Lokacijski podaci imaju posebnu težinu jer se njihovim povezivanjem mogu rekonstruirati navike, kretanje i dijelovi privatnog života korisnika, pa odluka ima širi značaj za digitalne platforme koje lokaciju povezuju s oglašavanjem, personalizacijom i profiliranjem.