Irlannin DPC määrää Googlelle 403 miljoonan euron sakon
Google kohtaa yhden historiansa suurimmista tietosuojaseuraamuksista, kun Irlannin tietosuojavaltuutetun toimisto (DPC) määräsi 403 miljoonan euron sakon rikkomuksista, jotka liittyvät siihen, miten yhtiö käsitteli käyttäjien sijaintitietoja. DPC, joka toimii Googlen johtavana valvontaviranomaisena Euroopan unionissa, koska yhtiön alueellinen pääkonttori sijaitsee Dublinissa, avasi tutkintansa tarkasteltuaan, miten sijaintitietoja kerättiin, tallennettiin ja käytettiin Googlen palveluissa. Viranomainen totesi, että Googlen käytännöt eivät täyttäneet yleisen tietosuoja-asetuksen (GDPR) edellyttämiä avoimuus- ja suostumusvaatimuksia, ja se on määrännyt Googlen saattamaan tietojenkäsittelynsä vaatimustenmukaiseksi kuuden kuukauden kuluessa.
Tämä merkitsee merkittävää kiristymistä DPC:n valvontaotteessa Googlea kohtaan – yhtiötä, joka on aiemminkin ollut GDPR-tarkastelun kohteena, mutta harvoin tässä mittakaavassa nimenomaan Irlannin viranomaisen taholta. Sijaintitiedot ovat tapauksen keskiössä siksi, kuinka paljastavia ne voivat olla: tiedot siitä, missä joku on ollut, milloin ja kuinka kauan, voivat paljastaa kotiosoitteita, työpaikkoja, lääkärikäyntejä, uskonnollisia käytäntöjä ja päivittäisiä rutiineja – usein ilman, että henkilö ymmärtää, kuinka yksityiskohtaisesti tietoja kirjataan.
Mitä Google teki väärin sijainnin seurannassa
DPC:n havaintojen ytimessä on nykyaikaisille teknologiatuotteille tuttu jännite: kuilu sen välillä, mihin käyttäjät luulevat suostuvansa ja mitä heidän tietoilleen todella tapahtuu kulissien takana. Sijainnin seuranta sekä Android- että iOS-laitteissa on usein kytketty useisiin asetuksiin, joista osa näkyy puhelimen pääasiallisessa tietosuojavalikossa ja toiset on haudattu yksittäisten sovellusten käyttöoikeuksiin tai tilitason verkkotoiminta-asetuksiin. Viranomaiset ovat yhä voimakkaammin väittäneet, että tällainen kerroksittainen ja vaikeasti hahmotettava suostumusrakenne ei täytä GDPR:n vaatimusta selkeästä, tietoon perustuvasta ja vapaaehtoisesti annetusta suostumuksesta.
DPC:n päätös viittaa siihen, että Googlen sijaintitietojen käsittely ei antanut käyttäjille riittävää selkeyttä tai hallintaa sen suhteen, miten heidän liikkeitään seurattiin ja käytettiin – oli kyse sitten mainonnasta, personoinnista tai muista tarkoituksista. Tämä kaikuu laajempia teknologiatoimialaa koskevia huolia siitä, miten yritykset käsittelevät arkaluonteisia henkilötietoja käyttöliittymien kautta, jotka on teknisesti ilmoitettu mutta käytännössä vaikeita tavallisen ihmisen ymmärtää tai hallita. Vastaavia kysymyksiä on nostettu esiin muistakin alustoista; esimerkiksi Perplexity AI Sued Over Hidden Tracking and Data Sharing erittelee samankaltaista kiistaa havaitsemattomista seurantamekanismeista tekoälypohjaisessa tuotteessa, mikä osoittaa, ettei kyse ole eristyneestä ongelmasta, joka rajoittuisi yhteen yritykseen tai yhteen palvelutyyppiin.
Miksi tämä sakko merkitsee käännekohtaa
403 miljoonan euron seuraamus on merkittävä paitsi kokonsa myös sen vuoksi, mitä se edustaa: viranomainen, joka on valmis pitämään yhtä maailman suurimmista teknologiayrityksistä vastuullisena siitä, miten se rahastaa sijaintitiedolla – keskeisellä panoksella kohdennettuun mainontaan ja laajempaan datatalouteen, jota toisinaan kuvataan valvontakapitalismiksi. DPC:n kuuden kuukauden vaatimustenmukaisuusmääräys antaa päätökselle todellista painoarvoa, pakottaen Googlen osoittamaan konkreettisia muutoksia tietokäytännöissään sen sijaan, että se vain maksaisi sakon ja jatkaisi entiseen tapaan.
Laajemmalle teknologiatoimialalle tämä tapaus vahvistaa mallia, joka on rakentunut vuosien ajan eri puolilla EU:ta: viranomaiset ovat yhä haluttomampia hyväksymään epämääräistä tai oletusarvoisesti päällä olevaa sijainnin seurantaa GDPR:n mukaisena. Yritysten, joiden liiketoimintamallit nojaavat yksityiskohtaisiin sijaintitietoihin, tulee odottaa jatkuvaa tarkastelua, ja tämä päätös antaa tietosuoja-aktivisteille ja muille tietosuojaviranomaisille vahvan ennakkotapauksen tuleviin tapauksiin vedottavaksi. Se tulee myös samaan aikaan, kun Google navigoi tarkastelua usealla rintamalla yhtäaikaisesti; yhtiö on erikseen ryhtynyt toimiin ulkoisia uhkia vastaan, kuten nähtiin, kun Google Busts CCP-Linked Hackers Who Hit 53 Targets Globally, samalla kun sen omat sisäiset tietokäytännöt herättävät sääntelyviranomaisten huomiota.
Mitä tämä tarkoittaa sinulle
Vaikka sakko on voitto tietosuojavastuullisuudelle, se ei automaattisesti muuta sitä, miten laitteesi käsittelee sijaintitietoja tänään. Käyttäjät kantavat edelleen vastuun omien asetustensa tarkistamisesta ja säätämisestä. Androidilla tämä tarkoittaa Asetukset > Sijainti -valikon tarkistamista sen selvittämiseksi, millä sovelluksilla on käyttöoikeus ja onko käyttöoikeus asetettu "Aina", "Sovellusta käytettäessä" vai "Kysy joka kerta". iOS:llä vastaava polku on Asetukset > Tietosuoja ja turvallisuus > Sijaintipalvelut, jossa voit tarkistaa sovelluskohtaiset käyttöoikeudet ja poistaa seurannan käytöstä kaikilta, jotka eivät sitä tarvitse. Kannattaa myös tarkistaa Google-tilisi Sijaintihistoria- ja Verkko- ja sovellustoiminta -asetukset suoraan tilitasoltasi, sillä nämä hallintakeinot ovat erillisiä laitetason käyttöoikeuksista.
Nopea tarkistus kestää vain muutaman minuutin, mutta voi merkittävästi vähentää sitä, kuinka paljon liikehistoriaasi kerätään ja tallennetaan. Harkitse sijaintikäyttöoikeuden poistamista käytöstä sovelluksilta, jotka eivät sitä toiminnallisesti tarvitse, sijaintihistorian poistamista kokonaan käytöstä, jos et nojaa esimerkiksi Google Maps -aikajanan kaltaisiin ominaisuuksiin, sekä tiliisi liittyvien mainosten personointiasetusten säännöllistä tarkistamista.
Keskeiset huomiot
Tämä Irlannin DPC:n Googlelle määräämä sijaintitietosakko muistuttaa, että GDPR:n mukainen sääntelyvalvonta kiristyy ja että jopa suurimmat teknologiayritykset voivat kohdata todellisia taloudellisia seurauksia läpinäkymättömistä tietokäytännöistä. Pelkkä sääntely ei kuitenkaan suojaa yksityisyyttäsi päivittäin. Käytä muutama minuutti tällä viikolla sijaintikäyttöoikeuksiesi tarkistamiseen sekä puhelimessasi että Google-tililläsi, poista tarpeeton seuranta käytöstä ja pysy valppaana sen suhteen, miten Googlen tulevat käytäntömuutokset toteutuvat seuraavan kuuden kuukauden aikana yhtiön pyrkiessä vaatimustenmukaisuuteen.
