Комиссия по защите данных Ирландии (DPC) официально объявила о наложении административного штрафа на компанию Google в размере 403 миллионов евро (около 463 миллионов долларов США). Санкции применены из-за многочисленных нарушений Общего регламента по защите данных (GDPR), допущенных при обработке сведений о геолокации пользователей.
Детали расследования деятельности Google
Разбирательство, инициированное ирландским ведомством в феврале 2020 года, было основано на жалобах организаций по защите прав потребителей. Регулятор проанализировал три ключевые функции Google, работавшие в период с 25 мая 2018 года по 4 февраля 2020 года: «Активность в интернете и приложениях», «История местоположений» и «Точность определения местоположения».
Согласно заключению DPC, компания Google не выполнила свои обязательства по обеспечению прозрачности использования данных. Кроме того, регулятор установил, что корпорация хранила полученную информацию о местоположении дольше, чем это требовалось для выполнения заявленных функций.
Анализ функций сбора данных
- Активность в интернете и приложениях (Web & App Activity) — функция, позволяющая Google обрабатывать данные из различных сервисов, включая историю поиска и историю посещений веб-страниц.
- История местоположений (Location History) — сервис, требующий явного согласия пользователя, который отслеживает перемещения владельцев мобильных устройств и отображает их в личной ленте Google Maps Timeline, даже если в текущий момент Google-сервисы не активны.
- Точность определения местоположения (Location Accuracy) — функция ОС Android, используемая для повышения точности позиционирования устройства, доступная вне зависимости от наличия аккаунта Google.
Заместитель комиссара Грэм Дойл подчеркнул, что пользователи зачастую не догадывались о применении их геолокационных данных для показа персонализированной рекламы или формирования профилей интересов. Подобная практика лишила людей контроля над их персональными сведениями, а необоснованное длительное хранение только усугубило данную проблему.
Требования регулятора и позиция Google
В дополнение к выплате штрафа в размере 403 миллионов евро, DPC обязала Google привести процессы обработки данных в полное соответствие с требованиями законодательства в течение шести месяцев. Хотя полный текст решения комиссии пока не опубликован, ведомство пообещало обнародовать его в ближайшее время.
Представители Google в официальном заявлении подчеркнули, что претензии регулятора касаются «исторических политик», которые были пересмотрены еще несколько лет назад. В компании сообщили, что с 2019 года были внесены значительные изменения в практику работы и внедрены инструменты для упрощения управления личными данными.
Среди принятых мер Google отмечает появление функций для автоматического удаления данных из аккаунта через определенный период времени. В частности, информация в Google Maps Timeline теперь хранится непосредственно на устройстве, а данные старше трех месяцев подлежат автоматическому удалению. Кроме того, в функции «Активность в интернете и приложениях» теперь сохраняется только примерная зона расположения устройства, а не его точные координаты. На данный момент неизвестно, планирует ли Google оспаривать вынесенное решение, а конкретный перечень изменений, которые компания должна внести в течение полугода, остается непубличным.
Детали претензий регулятора к механизмам отслеживания
В ходе расследования DPC пришла к выводу, что Google не только не выполнила свои обязательства по обеспечению прозрачности, но и оказалась не в состоянии доказать соответствие принципам GDPR при работе функции «Точность определения местоположения». Хотя этот инструмент был разработан для помощи устройству в определении позиции с эффективностью, превосходящей возможности стандартного GPS, регулятор счел методы обработки данных в данном контексте недостаточно обоснованными с юридической точки зрения.
Особое внимание комиссия уделила тому факту, что пользователи часто не осознавали, что их геолокационные данные могут быть использованы для вторичных целей, таких как таргетинг рекламы или детальный анализ потребительских интересов. По мнению заместителя комиссара Грэма Дойла, такая непрозрачность фактически лишила пользователей возможности полноценно контролировать свою частную жизнь, а хранение собранных сведений в течение неоправданно длительного срока только усугубило нарушение прав граждан.
На сегодняшний день ирландский регулятор не представил итоговый документ с полным описанием всех аргументов, однако пообещал опубликовать его в ближайшем будущем. Пока точный перечень технических корректировок, которые Google обязана внедрить в свои системы за шестимесячный срок, остается конфиденциальным, что оставляет открытым вопрос о дальнейших шагах корпорации и вероятности обжалования наложенного штрафа в судебном порядке.
