Google står overfor en av de største personvernsanksjonene i sin historie etter at Irlands databeskyttelseskommisjon (DPC) ila selskapet en bot på 403 millioner euro (459 millioner dollar) knyttet til hvordan det behandlet brukeres posisjonsdata. Haken: sporingsfunksjonen som er i sentrum av saken, rapporteres fortsatt å være i drift i mer enn 30 land, noe som betyr at boten alene ikke har stanset praksisen. For vanlige brukere betyr det at ansvaret for å begrense denne typen sporing nå ligger hos den enkelte kontos innstillinger, snarere enn hos regulatorisk håndheving.

Hva Irlands DPC-bot faktisk dekker

DPC, som regulerer Google under EUs personvernforordning (GDPR) fordi selskapets europeiske hovedkvarter ligger i Irland, fant at Google brøt personvernlovgivningen gjennom måten det samlet inn og brukte posisjonsinformasjon knyttet til brukerkontoer. Fordi DPC fungerer som Googles hovedregulator i hele Den europeiske union, har avgjørelsene deres vekt langt utover Irlands grenser og setter ofte tonen for hvordan andre databeskyttelsesmyndigheter reagerer. Vi har dekket den juridiske og regulatoriske bakgrunnen for denne saken mer detaljert, inkludert hvordan boten kom i stand, i vår tidligere rapport om Irlands DPCs bot på 403 millioner euro mot Google over posisjonsdata.

Det som gjør denne boten bemerkelsesverdig, er ikke bare størrelsen. Det er det faktum at en bot av denne størrelsen ikke umiddelbart har tvunget Google til å slå av praksisen overalt. Ifølge rapportering om saken er funksjonen som er ansvarlig for bruddet, fortsatt aktiv i dusinvis av land utenfor EUs direkte jurisdiksjon, noe som reiser det åpenbare spørsmålet om hvem andre som kan bli påvirket, og hva disse brukerne kan gjøre med det akkurat nå.

Hvordan den skjulte sporingsfunksjonen fungerer og hvem den påvirker

Kjernen i saken er innsamling av posisjonsdata knyttet til Google-kontoer og Android-enheter, den typen sporing som i det stille kan bygge opp et detaljert bilde av hvor en person drar, hvor ofte og når. Denne typen data er verdifulle for annonsering fordi de lar selskaper utlede vaner, rutiner og til og med sensitive detaljer som besøk på medisinske fasiliteter eller steder for tilbedelse, alt uten at en bruker nødvendigvis er klar over at sporingen noen gang ble slått på, eller fullt ut forstår hva den fanger opp.

De mest berørte er typisk vanlige Android- og Google-kontobrukere som aldri eksplisitt gjennomgikk innstillingene sine for posisjon og aktivitet, siden mange av disse verktøyene leveres med standardinnstillinger som favoriserer datainnsamling. Med mindre noen aktivt leter etter det, er det lett å anta at posisjonssporing enten er av eller begrenset til når en app faktisk er i bruk, mens bredere innstillinger på kontonivå i praksis fortsatt kan loggføre aktivitet i bakgrunnen.

Hvilke land som fortsatt er eksponert, og hvorfor håndhevingen henger etter

EUs GDPR gir regulatorer som Irlands DPC reell håndhevingsmakt, inkludert muligheten til å ilegge bøter i hundremillioners euro. Men den myndigheten stopper ved EUs grenser. I de mer enn 30 landene som angivelig fortsatt kjører sporingsfunksjonen, finnes det kanskje ingen tilsvarende regulator med samme håndhevingskraft, eller eksisterende personvernlover kan være snevrere, håndheves langsommere eller rett og slett være uprøvd mot et selskap på Googles størrelse.

Dette gapet betyr noe, fordi det innebærer at juridiske konsekvenser i én region ikke automatisk oversettes til endret atferd overalt hvor det samme produktet brukes. Inntil lokale regulatorer kommer etter, eller inntil Google velger å frivillig anvende én global standard, er brukere utenfor EU i stor grad overlatt til seg selv når det gjelder å begrense denne typen datainnsamling.

Hvordan sjekke Google-kontoen din og deaktivere posisjonssporing nå

Å vente på regulatorer er ikke en realistisk strategi for de fleste, så det er verdt å bruke noen minutter på å gjennomgå dine egne innstillinger direkte:

  • Åpne Google-kontoinnstillingene dine og se under delen Data og personvern etter kontrollene for Posisjonshistorikk og Nett- og appaktivitet.
  • Sjekk om posisjonssporing er aktivert, og hvis du ikke trenger den, slå den av eller sett den til automatisk sletting etter en kort periode.
  • Gå gjennom hvilke apper som har tillatelse til å få tilgang til posisjonen din i bakgrunnen kontra bare mens de er i bruk, og fjern tilgang for alt som ikke trenger det.
  • Sjekk aktivitetskontrollene dine med jevne mellomrom, siden oppdateringer av apper eller kontoinnstillinger noen ganger kan tilbakestille preferanser.

Hva dette betyr for deg

Denne boten er en påminnelse om at regulatoriske tiltak, selv et betydelig ett, ikke alltid oversettes til en umiddelbar global løsning. Hvis du bor utenfor EU, kan funksjonen i hjertet av denne saken fortsatt kjøre akkurat som før avgjørelsen. Det betyr ikke at du er maktesløs. Å gjennomgå Google-kontoens innstillinger for posisjon og aktivitet tar bare noen minutter og gir deg direkte kontroll som regulering alene ennå ikke kan garantere overalt. Å kombinere disse endringene på kontonivå med en anerkjent VPN kan ytterligere redusere hvor mye av posisjonen og nettleseraktiviteten din som eksponeres gjennom IP-adressen din, og legge til et ekstra lag med beskyttelse mens håndhevingen kommer etter.

Den bredere lærdommen fra boten for Googles skjulte sporingsfunksjon er at personvern ofte er ujevnt fordelt på tvers av landegrenser, og brukere som ønsker konsistent kontroll, må sjekke sine egne innstillinger i stedet for å anta at loven allerede har ordnet det for dem. Bruk noen minutter i dag på å gjennomgå Google-kontoens posisjonsinnstillinger, stram inn apptillatelser og vurder å bruke en VPN som en ekstra sikkerhet mens regulatorer arbeider seg gjennom resten av verden.