403 mln euro kary dla Google za naruszenia przepisów RODO dotyczące przetwarzania danych o lokalizacji
Irlandzka Komisja Ochrony Danych (Data Protection Commission, DPC) nałożyła na Google Ireland Limited administracyjne kary pieniężne w łącznej wysokości 403 mln euro. Decyzja jest następstwem postępowania dotyczącego przetwarzania danych o lokalizacji użytkowników w ramach wybranych usług i funkcji Google. Organ nakazał również spółce dostosowanie operacji przetwarzania danych do wymogów RODO w terminie sześciu miesięcy.
Decyzję ogłoszono 21 września 2026 r. Postępowanie zostało wszczęte z urzędu przez DPC w lutym 2020 r., po otrzymaniu skarg od kilku europejskich organizacji konsumenckich, w tym Europejskiej Organizacji Konsumentów (BEUC). DPC prowadziła sprawę jako organ nadzorczy wiodący, właściwy dla Google ze względu na miejsce siedziby.
Zakres postępowania i stwierdzone naruszenia
Postępowanie obejmowało przetwarzanie danych o lokalizacji w trzech funkcjach: „Aktywność w internecie i aplikacjach” (Web & App Activity), „Historia lokalizacji” (Location History) oraz „Dokładność lokalizacji” (Location Accuracy). Analizą objęto okres od 25 maja 2018 r., czyli dnia rozpoczęcia stosowania RODO, do 4 lutego 2020 r. W wyniku postępowania DPC stwierdziła naruszenia RODO dotyczące kilku istotnych obszarów przetwarzania danych osobowych:
- Zgodność z prawem i rzetelność przetwarzania – w odniesieniu do danych o lokalizacji przetwarzanych w ramach funkcji „Aktywność w internecie i aplikacjach” oraz „Historia lokalizacji”.
- Zasada rozliczalności – w związku z niewykazaniem zgodności z zasadami i przepisami prawa, rzetelności i przejrzystości przetwarzania danych w ramach funkcji „Dokładność lokalizacji”.
- Przejrzystość przetwarzania – w odniesieniu do wszystkich trzech analizowanych funkcji.
- Okres przechowywania danych – w związku z przechowywaniem danych o lokalizacji w ramach funkcji „Aktywność w internecie i aplikacjach” oraz „Historia lokalizacji” przez okres dłuższy, niż było to konieczne.
W konsekwencji DPC nałożyła na Google kary pieniężne w łącznej wysokości 403 mln euro oraz zobowiązała spółkę do zapewnienia zgodności przetwarzania z przepisami w terminie sześciu miesięcy.
Dane o lokalizacji, a prywatność użytkowników
Jak podkreślił zastępca komisarza DPC Graham Doyle, dane o lokalizacji stanowią szczególną kategorię informacji z punktu widzenia prywatności, ponieważ mogą pozwalać na ustalenie miejsca pobytu danej osoby zarówno samodzielnie, jak i w połączeniu z innymi informacjami. Ich analiza może ujawniać wiele szczegółów dotyczących życia prywatnego, w tym odwiedzane miejsca, podejmowane aktywności i przemieszczanie się.
Dane te mogą zwiększać użyteczność usług cyfrowych, ale ich przetwarzanie wiąże się również z ryzykiem naruszenia prywatności. Według DPC uchybienia w zakresie zgodności z prawem, rzetelności i przejrzystości mogły powodować, że użytkownicy nie mieli świadomości wykorzystywania informacji o ich lokalizacji, na przykład w celu dostosowywania reklam lub wnioskowania o ich zainteresowaniach. W rezultacie mogli tracić kontrolę nad swoimi danymi osobowymi. Dodatkowo przechowywanie danych o lokalizacji dłużej, niż było to konieczne, pogłębiało ten problem.
Znaczenie przejrzystości i rozliczalności
Sprawa przypomina o konieczności zapewnienia, aby przetwarzanie danych osobowych przez dostawców usług cyfrowych odbywało się zgodnie z zasadami określonymi w RODO. W szczególności administratorzy powinni zapewniać użytkownikom jasne i zrozumiałe informacje o przetwarzaniu ich danych, wykazywać zgodność swoich działań z przepisami oraz wskazać okresy przechowywania danych adekwatne do celów przetwarzania.
Decyzja DPC pokazuje również, że ocena zgodności przetwarzania danych o lokalizacji nie ogranicza się do samego uzyskania zgody użytkownika lub udostępnienia ustawień prywatności. Znaczenie mają także zgodność z prawem i rzetelność przetwarzania, przejrzystość informacji przekazywanych użytkownikom, możliwość wykazania przestrzegania przepisów oraz zasad dotyczących przechowywania danych.
Pełna treść decyzji ma zostać opublikowana w późniejszym terminie. DPC podziękowała również pozostałym organom nadzorczym za współpracę i pomoc w prowadzeniu sprawy.
Źródło:
Komunikat Irlandzkiego Organu Nadzorczego
