Írország Adatvédelmi Bizottsága 403 millió euróra, nagyjából 463 millió dollárra bírságolta a Google-t amiatt, ahogyan a felhasználók helymeghatározási adatait kezelte. A 2026. szeptember 21-én bejelentett döntés a mai napig kiszabott egyik legnagyobb GDPR-büntetés, és egy évek óta tartó adatkezelési gyakorlatot varázsol friss esettanulmánnyá arról, mi történik, amikor a hozzájárulás és az átláthatóság elmarad a szabályozói elvárásoktól.

A hétköznapi felhasználók számára ez az ítélet emlékeztető arra, hogy a helymeghatározási adatok a modern technológiai platformok által gyűjtött személyes adatok egyik legérzékenyebb kategóriáját jelentik, és hogy a szabályozói bírságok önmagukban nem teszik jóvá az évekig tartó nyomon követést. Annak megértése, hogy mi váltotta ki ezt a Google helymeghatározási adatokkal kapcsolatos GDPR-bírságot, és hogy valójában mit tehetünk a saját kitettségünkkel kapcsolatban, fontosabb, mint a címsorban szereplő összeg.

Mit fed valójában a DPC 403 millió eurós bírsága

A DPC vizsgálata a Google szolgáltatásainak helymeghatározással kapcsolatos funkcióira összpontosított, és megállapította, hogy a vállalat gyakorlata nem felelt meg a GDPR jogszerű adatkezelésre vonatkozó előírásainak. A szabályozók arra a következtetésre jutottak, hogy a Google olyan módon tárolta és használta a helymeghatározási adatokat, amely túlmutatott azon, amit a felhasználók ésszerűen elvárhattak volna, és hogy az adatkezelés jogalapja nem volt megfelelően megalapozott vagy kommunikált.

A döntés részeként a Google-t arra is kötelezték, hogy egy meghatározott határidőn belül hozza összhangba helymeghatározási adatkezelését a GDPR-ral. Ez a kombináció, azaz egy pénzügyi büntetés plusz egy kötelező erejű megfelelési végzés, azt jelzi, hogy az ír szabályozók strukturális változásokat szeretnének abban, ahogyan a helymeghatározási adatok áramlanak a Google rendszerein keresztül, nem csupán egyszeri kifizetést. A DPC megállapításainak és az érintett konkrét funkcióknak a részletesebb elemzéséért társanyagunk, a Google 403 millió dolláros helymeghatározási adatbírsága és annak jelentése című cikk részletesebben végigveszi az ítéletet.

Hogyan gyűjtötte és használta a Google a helymeghatározási adatokat egyértelmű hozzájárulás nélkül

Az eset középpontjában a modern adatkormányzás egy ismerős feszültsége áll: olyan funkciók, amelyek csendben, a háttérben gyűjtik a helymeghatározási jelzéseket, gyakran szélesebb fiókbeállításokba csomagolva, ahelyett hogy önálló, világosan elmagyarázott választásként jelennének meg. Amikor a helymeghatározás követése az általános szolgáltatási feltételekbe van rejtve, vagy alapértelmezés szerint be van kapcsolva, a felhasználók technikailag „beleegyezhettek" abba, anélkül hogy valaha is érdemben megértették volna, mit gyűjtenek, meddig tárolják, vagy ki férhet hozzá.

Pontosan ez az a kormányzási hiányosság, amelynek betömésére a GDPR-t tervezték. A rendelet megköveteli, hogy a hozzájárulás konkrét, tájékoztatáson alapuló és önkéntes legyen, valamint hogy az adatkezelők csak addig tárolják a személyes adatokat, ameddig az egy világosan meghatározott célhoz szükséges. Amikor ezek a követelmények nem teljesülnek, még egy kifinomult adatvédelmi infrastruktúrával és jogi csapatokkal rendelkező vállalat is egy nagyon nagy bírság rossz oldalán találhatja magát.

Saját helymeghatározási adatlábnyomunk felülvizsgálata és korlátozása

Arra várni, hogy a szabályozók utolérjék a helyzetet, nem adatvédelmi stratégia. Vannak konkrét lépések, amelyeket még ma megtehetünk annak áttekintésére és csökkentésére, hogy mennyi helymeghatározási adatot generálunk.

Kezdjük a Google-fiókunk helymeghatározási előzményeinek és tevékenység-vezérlőinek közvetlen áttekintésével. A legtöbb platform, nem csak a Google, több menü mélyére rejti ezeket a beállításokat, ezért érdemes ellenőrizni a telefon operációs rendszerének engedélyeit, valamint az egyes alkalmazások beállításait is. Különösen arra figyeljünk, mely alkalmazások rendelkeznek „mindig engedélyezett" helymeghatározási hozzáféréssel a „csak használat közben" opcióval szemben, mivel a háttérben történő gyűjtés az, ahol gyakran a legrészletesebb követés zajlik.

Érdemes továbbá rendszeresen törölni a tárolt helymeghatározási előzményeket ahelyett, hogy feltételeznénk, hogy azok automatikusan eltűnnek, és letiltani a helymeghatározási jelzésekre támaszkodó hirdetésszemélyre szabási funkciókat, ha nem találjuk azokat hasznosnak. Mindez nem egyszeri megoldás. Az alkalmazások frissülnek, az alapértelmezések visszaállnak, és az új funkciók a követés engedélyezésével indulnak, hacsak nem tiltjuk le azokat aktívan, ezért a rendszeres, néhány hónaponkénti ellenőrzés reális szokás, amelyet érdemes kialakítani.

Hogyan illeszkednek a VPN-ek a helymeghatározási adatvédelembe (és ahol nem)

A VPN elrejti az IP-címünket, és megakadályozhatja, hogy webhelyek, hirdetők és egyes hálózati szintű megfigyelők az internetkapcsolatunk alapján következtessenek hozzávetőleges helyünkre. Ez valóban hasznos védelmi réteg, különösen a hirdetéscélzásra vagy tartalomkorlátozásokra használt IP-alapú geolokáció ellen.

Amit a VPN nem tud megtenni, az az, hogy megakadályozza egy alkalmazást vagy operációs rendszert abban, hogy közvetlenül hozzáférjen az eszközünk GPS-, Wi-Fi- vagy Bluetooth-helymeghatározási adataihoz, miután engedélyt adtunk neki. Ha egy alkalmazás, például a Google saját szolgáltatásai eszközszinten engedélyezett helymeghatározási hozzáféréssel rendelkeznek, a háttérben futó VPN nem blokkolja ezt a gyűjtést. Más szóval, a VPN a hálózati szintű helymeghatározási kitettségünket védi, míg az engedélybeállítások és a fiókvezérlők az eszköz- és alkalmazásszintű kitettségünket szabályozzák. A hatékony helymeghatározási adatvédelem mindkettő kezelését igényli.

Mit jelent ez Önnek

Ez a bírság nem törli visszamenőlegesen a Google által már gyűjtött helymeghatározási adatokat, és nem is ez lesz az utolsó ilyen jellegű végrehajtási intézkedés. Amit tesz, az annak megerősítése, hogy a szabályozók hajlandóak jelentős pénzügyi következményeket kiszabni, amikor a helymeghatározás követése körüli hozzájárulás és átláthatóság elmarad, és hogy az ilyen érzékeny adatokat kezelő vállalatok fokozott ellenőrzés alatt állnak.

A felhasználók számára a gyakorlati tanulság az, hogy ne tekintsék a platformok alapértelmezett beállításait elegendő védelemnek. A Google megfelelési végzése hat hónapot ad a vállalatnak gyakorlatának átalakítására, de a saját helymeghatározási adatvédelmünknek nem szabad erre az ütemtervre várnia.

Fő tanulságok

  • Tekintse át és szigorítsa a helymeghatározási engedélyeket a telefonján és a Google-fiókja beállításaiban még ma, ne a következő címsor után.
  • Rendszeresen törölje a tárolt helymeghatározási előzményeket ahelyett, hogy feltételezné, hogy azok automatikusan törlődnek.
  • Használjon VPN-t az IP-alapú helymeghatározás elrejtésére, de párosítsa eszközszintű engedélyvezérlőkkel a teljes lefedettség érdekében.
  • Néhány havonta tekintse át ezeket a beállításokat, mivel az alkalmazásfrissítések csendben visszaállíthatják az alapértelmezéseket.
  • Olvassa el a DPC-ítélet részletesebb elemzését kapcsolódó tudósításunkban, hogy pontosan megértse, mi váltotta ki ezt a Google helymeghatározási adatokkal kapcsolatos GDPR-bírságot.