Комисията за защита на данните на Ирландия (DPC) глоби Google с 403 милиона евро, след като установи, че компанията е нарушила Общия регламент на ЕС относно защитата на данните чрез начина, по който е обработвала данни за местоположение. Санкцията, едно от най-големите действия по прилагане на GDPR до момента, приключва разследване, започнало през февруари 2020 г. и обхващащо поведението на Google между май 2018 г. и февруари 2020 г. За всеки, който разчита на инструменти за поверителност като VPN, за да защити местонахождението си онлайн, този случай е полезно напомняне, че VPN и настройките за местоположение на телефона ви решават два много различни проблема.

Какво установи Комисията за защита на данните на Ирландия

Според окончателното решение на DPC Google е нарушила GDPR „по отношение на законосъобразността и справедливостта на обработването на данни за местоположение“. Регулаторът откри разследването си през февруари 2020 г. и прекара години в проучване на това как Google е събирала, съхранявала и използвала информация за местоположение, свързана с потребителски акаунти и устройства през разглеждания период. Санкцията от 403 милиона евро отразява заключението на DPC, че практиките на Google не са отговаряли на основните изисквания на GDPR относно законосъобразното и справедливо обработване на данни, което обикновено означава, че на потребителите трябва да бъдат предоставени ясни, смислени избори относно това дали и как се проследява местоположението им, а не скрити настройки по подразбиране или объркващи опции.

Като основен регулатор на ЕС за Google по механизма „едно гише“ на GDPR (европейската централа на Google е в Ирландия), DPC има юрисдикция върху практиките на компанията за обработка на данни в целия блок. Това прави решението задължително за целия ЕС, не само за ирландските потребители.

Модел на санкции за поверителност на местоположението по GDPR

Това не е първият път, в който голяма технологична компания е санкционирана заради начина, по който обработва данни за местоположение, и проследяването на местоположението многократно се е доказало като една от най-сложните области на прилагане на GDPR. Историята на местоположението е уникално чувствителна: тя може да разкрие къде някой живее, работи, посещава религиозни служби, търси медицинска помощ или прекарва време с конкретни хора. Регулаторите последователно проверяват дали компаниите получават истинско, информирано съгласие, преди да събират този вид данни, вместо да разчитат на настройки по подразбиране, за които потребителите може никога да не осъзнаят, че са се съгласили.

Струва си да се постави размерът на тази глоба в контекст. Теоретичната максимална санкция по GDPR е 20 милиона евро или 4 процента от глобалния годишен оборот на компанията, което е по-високо. За компания с размерите на Google този таван е огромен и повечето глоби, наложени по GDPR, остават далеч под него. Нашият обяснител за това защо таванът на глобите по GDPR рядко се прилага разглежда как регулаторите всъщност изчисляват санкциите на практика, което помага да се обясни защо глоба от 403 милиона евро, макар и впечатляваща, все още представлява част от това, което GDPR технически позволява.

Какво скрива и какво не скрива VPN за вашето местоположение

Случаи като този често подтикват читателите да питат дали VPN би предотвратил този вид проследяване. Честният отговор е не, и разбирането защо е важно. VPN криптира интернет трафика ви и маскира IP адреса ви, което може да скрие общото ви географско местоположение от интернет доставчика ви, мрежовите подслушвачи и някои уебсайтове, които разчитат на оценки на местоположението въз основа на IP.

Но VPN няма никакъв ефект върху данни за местоположение, събрани чрез други канали, включително GPS сигнали, сканиране на Wi-Fi и Bluetooth, триангулация на клетъчни кули или настройки на ниво акаунт, вградени в операционна система или приложение. Ако услугите за местоположение на телефона са включени и приложение или акаунт има разрешение за достъп до тях, тези данни все още могат да бъдат събирани и обработвани, независимо дали VPN работи във фонов режим. С други думи, VPN защитава местоположението ви на мрежово ниво от външни наблюдатели, но не засяга данните за местоположение, които устройството ви и неговите приложения генерират и споделят директно.

Ограничаване на проследяването на местоположение на Android и в Google акаунти

Тъй като прилагането на GDPR е насочено към това как компаниите конфигурират настройките по подразбиране и потоците за съгласие, най-ефективната защита за отделните потребители е да прегледат тези настройки директно, вместо да предполагат, че VPN покрива разликата. Няколко практични стъпки:

  • Отворете настройките за местоположение на устройството си и проверете кои приложения имат достъп „винаги позволявай“ спрямо „само докато използвам приложението“, и отменете достъпа за всичко, което не се нуждае от него.
  • Прегледайте контролите за активност в Google акаунта си, за да видите дали историята на местоположението е включена, и я изключете или я настройте да се изтрива автоматично след по-кратък период.
  • Периодично проверявайте разрешенията на приложенията, тъй като приложенията понякога искат достъп до местоположение за функции, които вече не използвате.
  • Обмислете изключването на сканирането на Wi-Fi и Bluetooth, когато не се свързвате активно с устройства, тъй като те могат да се използват за оценка на местоположението дори при изключен GPS.

Какво означава това за вас

Тази глоба е регулаторен резултат, а не нарушение на сигурността на данните, но тя подчертава по-широката точка: поверителността на местоположението се определя до голяма степен от настройките на акаунта и устройството, а не от инструментите на мрежово ниво. Ако използвате VPN, защото ви е грижа кой може да види местоположението ви, това е разумен инстинкт, но той трябва да бъде съчетан с редовна проверка на разрешенията и настройките за история, свързани с телефона и акаунтите ви. Двата подхода адресират различни заплахи и нито един не замества другия.

Цифрата от 403 милиона евро е значителна, но както при повечето случаи по GDPR, тя остава под максимално възможната санкция по регламента — разлика, която си струва да се разбере, преди да се предположи, че дадена глоба отразява пълния мащаб на правомощията за прилагане, с които регулаторите всъщност разполагат.

Практични изводи:

  • Проверете кои приложения на телефона ви имат разрешения за местоположение и премахнете достъпа, който не разпознавате или не ви е необходим.
  • Проверете историята на местоположението и контролите за активност в Google акаунта си и коригирайте настройките за автоматично изтриване, ако още не сте го направили.
  • Помнете, че VPN защитава мрежовото ви местоположение, а не GPS или данни за местоположение, базирани на акаунт, така че използвайте и двата инструмента съзнателно, вместо да разчитате само на един.
  • Преглеждайте тези настройки периодично, тъй като актуализациите на приложения и новите инсталации могат тихо да поискат отново достъп до местоположение.