Google is veroordeeld tot het betalen van €403 miljoen nadat de Data Protection Commission (DPC) van Ierland concludeerde dat het bedrijf de Algemene Verordening Gegevensbescherming (AVG) heeft geschonden in de manier waarop het de locatiegegevens van gebruikers verwerkte. De boete, een van de hoogste die ooit aan een individueel bedrijf onder de AVG is opgelegd, volgt op een onderzoek door de DPC, die optreedt als de leidende privacytoezichthouder voor Google in de Europese Unie omdat het regionale hoofdkantoor van het bedrijf in Dublin is gevestigd.

Wat er is gebeurd: de boete van €403 miljoen

De beslissing van de DPC draait om hoe Google locatie-informatie die aan gebruikersaccounts is gekoppeld, verzamelde, opsloeg en gebruikte. Onder de AVG moeten bedrijven duidelijke, geïnformeerde toestemming verkrijgen voordat zij persoonsgegevens verwerken, en locatiegegevens worden als bijzonder gevoelig beschouwd omdat ze patronen kunnen onthullen over waar mensen wonen, werken, bidden en reizen. Toezichthouders hebben al lange tijd kritisch gekeken naar hoe technologieplatforms toestemmingskeuzes aan gebruikers presenteren, vooral wanneer instellingen diep in menu's zijn verborgen of zodanig zijn geformuleerd dat het moeilijk te begrijpen is wat er daadwerkelijk wordt verzameld.

Zoals eerdere berichtgeving over deze zaak heeft uiteengezet, stelde de DPC vast dat Google's praktijken rond locatiegegevens niet voldeden aan de transparantie- en toestemmingsnormen die de AVG vereist. De boete voegt zich bij een groeiende lijst van sancties die Europese toezichthouders sinds de inwerkingtreding van de AVG aan grote technologiebedrijven hebben opgelegd, en versterkt Ierlands rol als primaire handhaver voor veel Amerikaanse techgiganten die in de EU actief zijn.

Waarom locatiegegevens onder de AVG extra aandacht kregen

Locatiegegevens staan centraal in veel privacydebatten omdat ze voortdurend en vaak passief worden verzameld. Smartphones, apps en verbonden diensten kunnen de bewegingen van een gebruiker gedurende de dag volgen, soms zonder dat de persoon beseft hoeveel detail wordt vastgelegd of hoe lang het wordt bewaard. De AVG vereist dat dit soort verwerking is gebaseerd op een rechtmatige grondslag, meestal duidelijke toestemming, en dat gebruikers echte controle krijgen over de vraag of hun locatie wordt gevolgd.

Toezichthouders in heel Europa richten zich steeds meer op standaardinstellingen en dark patterns, ontwerpkeuzes in interfaces die gebruikers ertoe aanzetten meer gegevens te delen dan zij anders zouden kiezen. Wanneer de locatie-instellingen van een bedrijf moeilijk te vinden zijn, onduidelijk geformuleerd zijn, of standaard op "aan" staan zonder een eenvoudige opt-out, kan dat in strijd zijn met de toestemmingsvereisten van de AVG. De bevindingen van de DPC tegen Google passen in dit bredere patroon van handhaving en geven aan dat toezichthouders bereid zijn aanzienlijke financiële sancties op te leggen wanneer bedrijven tekortschieten.

Wat dit voor u betekent

Voor alledaagse gebruikers is deze boete een herinnering dat locatietracking niet zomaar een achtergrondfunctie van moderne apps en apparaten is; het is een categorie persoonsgegevens met echte juridische betekenis en een echt privacyrisico. Als een bedrijf zo groot als Google een boete van €403 miljoen kan krijgen voor de manier waarop het locatie-informatie heeft behandeld, onderstreept dat hoe serieus dit type gegevens ook door consumenten zou moeten worden genomen.

De meeste mensen beseffen niet hoeveel locatiegeschiedenis zich op hun accounts heeft opgebouwd of hoe die gebruikt kan worden voor advertenties, productontwikkeling of gedeeld kan worden met derden. Periodiek uw privacy-dashboard van uw account bekijken, controleren welke apps locatiemachtigingen hebben en locatiegeschiedenis uitschakelen wanneer deze niet nodig is, zijn praktische stappen die uw blootstelling verminderen, ongeacht wat een individueel bedrijf wel of niet oplost. De details van de onderliggende AVG-schending illustreren ook waarom het zorgvuldig lezen van toestemmingsprompts, in plaats van er snel doorheen te klikken, een van de eenvoudigste manieren blijft om geïnformeerd te blijven over waarmee u instemt te delen.

Deze zaak is ook van belang voor iedereen die breed gebruikmaakt van clouddiensten. Locatiegegevens zijn vaak slechts één onderdeel van een groter profiel dat browsegedrag, zoekgeschiedenis en app-gebruik omvat. Een AVG-boete die specifiek gericht is op locatieverwerking is een nuttig signaal dat toezichthouders inzoomen op specifieke gegevenscategorieën in plaats van privacy-compliance als één generiek selectievakje te behandelen.

Concrete aandachtspunten

Terwijl toezichthouders grote platforms verantwoordelijk blijven houden, zijn er stappen die u nu kunt nemen om uw eigen locatiegegevensvoetafdruk te beperken:

  • Controleer de instellingen voor locatiegeschiedenis van uw account en schakel tracking uit voor apps die dit niet nodig hebben om te functioneren.
  • Verwijder regelmatig opgeslagen locatiegeschiedenis in plaats van deze onbeperkt te laten oplopen.
  • Lees toestemmingsprompts voordat u ze accepteert, vooral wanneer een nieuwe app of dienst om locatietoegang vraagt.
  • Gebruik locatiemachtigingen op apparaatniveau (beschikbaar op zowel Android als iOS) om toegang alleen toe te staan terwijl een app in gebruik is, in plaats van te allen tijde.

Handhavingsacties onder de AVG zoals deze boete van €403 miljoen tonen aan dat privacytoezichthouders bereid zijn op te treden wanneer bedrijven tekortschieten op het gebied van gegevensbeschermingsnormen, zelfs tegen de grootste spelers in de sector. Voor gebruikers is de les niet om in paniek te raken, maar om proactief te blijven bij het beoordelen en beperken van welke locatiegegevens u deelt, aangezien dat een van de meest effectieve manieren blijft om uw privacy te beschermen, ongeacht hoe de handhaving zich ontwikkelt.