Google er blitt ilagt en bot på over 400 millioner euro (omtrent 345 millioner pund) etter at Irlands databeskyttelseskommisjon (DPC) fant at selskapet brøt personvernforordningen (GDPR) i måten det håndterte brukernes lokasjonsdata på. Boten, en av de største som noen gang er ilagt under GDPR, følger etter en etterforskning av hvorvidt Googles behandling av lokasjonsinformasjon var lovlig, rettferdig og tilstrekkelig ansvarlig overfor dem den påvirker.

For et selskap som gjentatte ganger har møtt regulatorisk gransking i Europa, understreker denne siste GDPR-boten for brudd et vedvarende tema: lokasjonsdata er en av de mest sensitive kategoriene av personopplysninger som samles inn av hverdagslige apper og enheter, og tilsynsmyndighetene er ikke lenger villige til å la vage samtykkepraksiser passere.

Hva databeskyttelseskommisjonen fant

DPCs undersøkelse dreide seg om to grunnleggende spørsmål. For det første: var Googles innsamling og behandling av lokasjonsdata lovlig og rettferdig etter GDPR grunnleggende prinsipper? For det andre: oppfylte Google sine ansvarlighetsforpliktelser, altså kunne selskapet demonstrere, med bevis, at dets datapraksis faktisk var i samsvar med loven, i stedet for bare å hevde det?

Ansvarlighet er en egen og ofte oversett søyle i GDPR. Det er ikke nok for et selskap å ha en personvernerklæring som teknisk sett nevner datainnsamling. Tilsynsmyndighetene forventer at organisasjoner viser arbeidet sitt: hvordan samtykke ble innhentet, hvordan data ble minimert, og hvordan beslutninger om behandling ble dokumentert og begrunnet internt. DPCs funn tyder på at Google kom til kort på disse punktene, spesielt i tilknytning til lokasjonsdata, som tidligere omtale av denne boten har bemerket, involverte tall nærmere 403 millioner euro, eller omtrent 463 millioner dollar, da DPCs avgjørelse først ble bekreftet.

Hvorfor lokasjonsdata er annerledes

Lokasjonsdata er unikt avslørende. I motsetning til nettleserhistorikk eller en handlepreferanse, kan en kontinuerlig oversikt over hvor noen beveger seg avsløre hjemadressen deres, arbeidsplassen, medisinske besøk, religiøse praksiser, relasjoner og daglige rutiner. Det er nettopp derfor GDPR behandler det rettslige grunnlaget for å samle inn slike data med så stor gransking, og hvorfor tilsynsmyndigheter i hele EU har flagget lokasjonssporing som en tilbakevendende samsvarsrisiko for store teknologplattformer.

Som tidligere analyse av denne GDPR-boten påpekte, fremhever saken et bredere mønster: selskaper som bygger annonserings- eller personaliseringsfunksjoner rundt lokasjonssignaler, sliter ofte med å innhente samtykke som oppfyller GDPR strenge standard om å være frivillig, spesifikt, informert og utvetydig. Forhåndsavkryssede bokser, begravde innstillinger eller samtykkeforespørsler pakket sammen med urelaterte tillatelser har alle blitt utfordret av europeiske tilsynsmyndigheter i tidligere håndhevingssaker.

Denne boten kommer også midt i en bredere global samtale om hvordan teknologiselskaper håndterer data på tvers av jurisdiksjoner. Regulatorisk press på Google har ikke vært begrenset til Europa; selskapet har også møtt straffer andre steder for hvordan det forvalter plattformene sine, inkludert bøter knyttet til app-butikkretningslinjene i Russland, en påminnelse om at Google opererer under svært ulike regulatoriske forventninger avhengig av region.

Hva dette betyr for deg

Hvis du bruker Android-enheter eller Google-tjenester, er denne GDPR-avgjørelsen en nyttig påminnelse om å gå gjennom dine egne innstillinger for lokasjonsdata, selv om boten i seg selv er en sak mellom Google og tilsynsmyndighetene. De fleste smarttelefoner lar deg gjennomgå og justere lokasjonstillatelser app for app, deaktivere lokasjonshistorikk helt, eller angi at data skal slettes automatisk etter en fastsatt periode.

Det er også verdt å huske at GDPR-håndheving, selv om den er betydelig, ikke retroaktivt sletter data som allerede er samlet inn under praksisen som straffes. Boten adresserer tidligere atferd og presser selskaper mot bedre samsvar fremover, men individuelle brukere bærer fortsatt ansvaret for aktivt å administrere sine egne personverninnstillinger i dag.

For lesere utenfor EU er det verdt å merke seg at GDPR-beskyttelse generelt gjelder for brukere innenfor Det europeiske økonomiske samarbeidsområdet, selv om mange selskaper anvender lignende personvernkontroller globalt for konsistens. Hvis du er usikker på om regionen din nyter godt av GDPR-lignende beskyttelse, er det et godt utgangspunkt å sjekke appens regionale personvernoversikt.

Viktige punkter

Denne GDPR-boten mot Google er et sterkt signal om at håndhevingen knyttet til lokasjonsdata ikke bremser ned. Noen praktiske tiltak verdt å gjøre:

  • Gå gjennom lokasjonshistorikken og aktivitetskontrollene i Google-kontoen din, og slå av sporing for apper som ikke trenger det.
  • Revider apptillatelser på telefonen din jevnlig, særlig tilgang til lokasjon i bakgrunnen.
  • Behandle samtykkeforespørsler nøye; ikke godta samlede tillatelser uten å sjekke hva som faktisk samtykkes til.
  • Hold deg informert om pågående regulatoriske tiltak, siden GDPR-håndheving ofte fører til bredere endringer i hvordan selskaper utformer samtykkeflyter.

Ettersom europeiske tilsynsmyndigheter fortsetter å teste grensene for GDPR mot store teknologplattformer, er det brukerne som tjener mest på å være proaktive i stedet for å vente på neste overskriftsskapende bot for å ta en sjekk av innstillingene.