Irlannin tietosuojavaltuutettu määrää merkittävän GDPR-sakon

Google kohtaa yhden historiansa suurimmista yksityisyyssakoista, kun Irlannin tietosuojavaltuutettu (DPC) määräsi yhtiölle 403 miljoonan euron sakot, noin 463 miljoonaa dollaria, EU:n yleisen tietosuoja-asetuksen (GDPR) rikkomisesta. DPC:n tutkinta keskittyi siihen, miten Google keräsi ja käsitteli paikkatietoja Android-laitteista, ja kyseinen toiminta ajoittuu vuoteen 2018.

Johtavana valvontaviranomaisena Googlen EU-toiminnoille DPC on toistuvasti tarkastellut sitä, miten yhtiö käsittelee käyttäjätietoja, mutta tämä sakko on yksi merkittävimmistä teknologiajättiläistä vastaan GDPR:n nojalla tehdyistä toimista. Vaikka täytäntöönpanopäätöksen yksityiskohdat ovat vielä osittain selvillä, tapaus keskittyy Android-käyttöjärjestelmään sisäänrakennettuihin paikannuskäytäntöihin – ominaisuuteen, joka koskettaa miljardeja laitteita maailmanlaajuisesti.

Miksi paikkatiedot ovat yksityisyyden kiistakapula

Paikkatietoja pidetään erityisen arkaluontoisina GDPR:n nojalla, koska ne voivat paljastaa hyvin paljon henkilön päivittäisestä elämästä: missä hän työskentelee, missä nukkuu, ketä käy tapaamassa, sekä kaavoja, joiden perusteella voidaan päätellä terveydentilaa, uskonnollisia käytäntöjä tai henkilökohtaisia suhteita. Viranomaiset ovat yhä enenevissä määrin kohdelleet paikannusta korkean riskin tietojenkäsittelykategoriana, joka edellyttää selkeää, tietoon perustuvaa suostumusta ennen keräämistä.

Tämä sakko sopii laajempaan kaavaan, jossa eurooppalaiset viranomaiset vastustavat sitä, miten suuret alustat keräävät ja hyödyntävät käyttäjätietoja. Se heijastaa laajempaa suuntausta EU:ssa, jossa viranomaiset ottavat tiukemman linjan paitsi mainos- ja datayhtiöitä, myös kaikkea digitaalista infrastruktuuria kohtaan, jota ne pitävät riittämättömän läpinäkyvänä tai vastuullisena. Cloudflaren käynnissä oleva kiista italialaisten viranomaisten kanssa maan Piracy Shield -estojärjestelmästä on toinen esimerkki siitä, miten eurooppalaiset valvontaelimet ovat valmiita määräämään merkittäviä seuraamuksia-alueellaan toimiville suurille teknologiayrityksille.

Arkikäyttäjille ydinongelma on yksinkertainen: monet eivät ymmärrä, kuinka paljon paikkatietoja heidän puhelimensa tuottavat, tai kuinka kauan näitä tietoja saatetaan säilyttää ja käyttää, erityisesti kun oletusasetukset suosivat tietojen keräämistä yksityisyyden sijaan.

Mitä tämä tarkoittaa sinulle

Tämä GDPR-sakko muistuttaa, että älypuhelinten paikannus on usein laajempaa kuin useimmat käyttäjät olettavat, eikä sääntelyviranomaisten valvonta automaattisesti tarkoita muutoksia, jotka huomaisit omassa laitteessasi. Parempien oletusasetusten odottaminen viranomaisten pakottamana ei ole yksityisyysstrategia. Asetusten ja työkalujen suora hallinta on.

Muutama käytännön toimenpide voi merkittävästi vähentää sitä, kuinka paljon paikka- ja käyttäytymistietoja paljastat:

  • Käy läpi Androidin paikannusasetukset. Tarkista, millä sovelluksilla on "salli aina" -paikannuslupa verrattuna "vain sovellusta käytettäessä" -asetukseen, ja poista paikkahistoria käytöstä, jos et tarvitse sitä.
  • Käytä yksityisyyteen keskittyvää sähköpostia mahdollisuuksien mukaan. Palvelut kuten Tuta on rakennettu päästä päähän -salauksen ja minimaalisen tietojen keräämisen ympärille, tarjoten vaihtoehdon mainosrahoitteisille sähköpostipalveluille, jotka yhdistävät toimintasi eri palveluiden välillä.
  • Harkitse VPN:ää lisäkerroksena verkon yksityisyyteen. Vaikka VPN ei estä sovellusta pyytämästä GPS-sijaintia, se voi peittää IP-pohjaisen sijaintisi ja vähentää verkkoaktiviteettiisi liittyvää seurantaa. Asennusoppaat Mullvadille ja oVPN:lle käyvät läpi määritykset käyttäjille, jotka haluavat yksityisyysorientoituneemman yhteyden.

Mitkään näistä toimenpiteistä eivät tee sinusta näkymätöntä, mutta yhdessä ne vähentävät paikka- ja käyttäytymistietojen määrää, joka on minkä tahansa yksittäisen yrityksen saatavilla, riippumatta siitä, mitä viranomaiset päättävät jatkossa.

Laajempi kuva GDPR:n täytäntöönpanosta

Tämä sakko lisää kasvavaan listaan GDPR:n täytäntöönpanotoimia suuria teknologiayrityksiä vastaan, vahvistaen, että eurooppalaiset viranomaiset ovat valmiita määräämään satojen miljoonien dollarien seuraamuksia, kun ne toteavat, että käyttäjän suostumus ja tietojenkäsittelykäytännöt eivät täytä lain vaatimuksia. Se, muuttaako tämä nimenomainen päätös sitä, miten Android kerää paikkatietoja käytännössä, riippuu Googlen vastauksesta ja mahdollisista päätökseen liittyvistä lisävaatimustenmukaisuusvaatimuksista.

Toistaiseksi tapaus korostaa yksinkertaista seikkaa: GDPR-sakot lähettävät viestin yrityksille, mutta ne eivät takautuvasti poista jo kerättyjä tietoja. Käyttäjien, jotka haluavat tiukemman hallinnan paikkatietojensa yksityisyyteen, ei pitäisi odottaa seuraavaa otsikkoa. Sovellusten käyttöoikeuksien tarkistaminen, yksityisyyttä kunnioittavien palveluiden valitseminen ja sen ymmärtäminen, mitä tietoja laitteesi tuottavat oletusarvoisesti, ovat toimenpiteitä, joita voit tehdä tänään, riippumatta siitä, miten sääntelytaistelut etenevät Brysselissä tai Dublinissa.

Tietoisena pysyminen tämänkaltaisista täytäntöönpanotoimista on hyödyllistä, mutta tämän tietoisuuden yhdistäminen konkreettisiin muutoksiin omissa asetuksissasi ja työkaluissasi on se, mikä todella vähentää altistumistasi jatkossa.