Google stoi w obliczu jednej z największych kar za naruszenie prywatności w swojej historii. Irlandzka Komisja Ochrony Danych (DPC) nałożyła na spółkę grzywnę w wysokości 403 mln euro, czyli około 463 mln dolarów lub blisko 4 000 crore rupii, za sposób gromadzenia i przetwarzania danych o lokalizacji użytkowników. Sprawa, wszczęta na podstawie unijnego Ogólnego rozporządzenia o ochronie danych (GDPR), dotyczy urządzeń z systemem Android i informacji o lokalizacji, które generują one w codziennym życiu użytkowników.

Choć kwota z nagłówków przyciąga uwagę, dla przeciętnego użytkownika znacznie istotniejsze jest to, co ta sprawa ujawnia o tym, jak wiele danych o lokalizacji jest gromadzonych domyślnie, często bez świadomości osób, których dotyczą, oraz co można z tym faktycznie zrobić.

Co irlandzka DPC ustaliła w sprawie śledzenia lokalizacji przez Google

Europejska centrala Google znajduje się w Irlandii, co w ramach mechanizmu kompleksowej obsługi (one-stop-shop) przewidzianego w GDPR czyni irlandzką DPC wiodącym organem regulacyjnym ds. praktyk Google w zakresie danych na terenie całej UE. Organ ten uznał obecnie, że sposób, w jaki Google przetwarza dane o lokalizacji gromadzone za pośrednictwem urządzeń z systemem Android, narusza to rozporządzenie.

Dane o lokalizacji są w ramach GDPR uznawane za szczególnie wrażliwe, ponieważ mogą ujawniać wzorce dotyczące miejsca zamieszkania, pracy, codziennych nawyków, relacji, a nawet stanu zdrowia (wystarczy pomyśleć o regularnych wizytach w konkretnej klinice). Organy regulacyjne konsekwentnie traktują tę kategorię danych ze szczególną uwagą, a grzywna tej wielkości sygnalizuje, że DPC uznała praktyki Google za poważne i trwałe naruszenie zgodności, a nie drobne uchybienie techniczne.

Jak Android i usługi Google domyślnie gromadzą dane o lokalizacji

Dla większości ludzi śledzenie lokalizacji nie jest czymś, co aktywnie konfigurują. Dzieje się to po cichu w tle poprzez połączenie ustawień urządzenia, uprawnień aplikacji i funkcji na poziomie konta wbudowanych w ekosystem Androida. GPS, sygnały Wi-Fi i dane sieci komórkowej współtworzą wiedzę telefonu o tym, gdzie się znajduje, a te informacje nie pozostają wyłącznie na urządzeniu. Często są powiązane z kontem Google i wykorzystywane w usługach takich jak Mapy, Wyszukiwarka i systemy reklamowe.

Domyślny charakter tego gromadzenia danych jest częścią problemu, na który organy regulacyjne nieustannie wskazują. Wielu użytkowników nigdy wyraźnie nie zgodziło się na szczegółowe rejestrowanie swoich przemieszczeń albo zaakceptowało ogólne warunki, nie rozumiejąc, co faktycznie jest gromadzone i przez jak długi czas. Ta sprawa wpisuje się w rosnący zbiór działań egzekucyjnych pokazujących, że „użytkownik technicznie kliknął akceptuj” nie jest wystarczająco mocnym argumentem obronnym w ramach GDPR, gdy leżące u podstaw praktyki dotyczące danych są nieprzejrzyste lub nadmiernie szerokie.

Co ta grzywna sygnalizuje dla egzekwowania GDPR w zakresie prywatności lokalizacji

To nie jest odosobniony przypadek. Wpisuje się w szerszy wzorzec europejskich regulatorów zaostrzających kurs wobec sposobu, w jaki duże platformy technologiczne przetwarzają dane o lokalizacji i zachowaniach. Skala grzywny, jednej z największych kar nałożonych dotychczas na podstawie GDPR, sugeruje, że regulatorzy są gotowi nakładać koszty wystarczająco wysokie, by faktycznie zmieniać zachowania korporacji, a nie tylko stanowić koszt prowadzenia działalności.

Czytelnicy, którzy chcą poznać pełne omówienie regulacyjne, w tym konkretne artykuły GDPR będące przedmiotem sprawy oraz odpowiedź Google, znajdą więcej szczegółów w naszych wcześniejszych materiałach: jak irlandzka DPC doszła do grzywny 403 mln euro za dane o lokalizacji z Androida oraz szersze ustalenia dotyczące naruszenia danych o lokalizacji w ramach GDPR, które stały za tą sprawą. Ten artykuł koncentruje się natomiast na tym, co możesz zrobić już teraz, aby ograniczyć własną ekspozycję.

Praktyczne kroki do ograniczenia śledzenia lokalizacji na Twoich urządzeniach

Nie musisz czekać na wyniki działań regulacyjnych, aby przejąć kontrolę nad własnymi danymi o lokalizacji. Kilka praktycznych kroków robi realną różnicę:

  • Sprawdź ustawienia historii lokalizacji w Androidzie. Zobacz, co jest zapisywane na Twoim koncie Google, i usuń lub wstrzymaj historię, której nie chcesz przechowywać.
  • Regularnie audytuj uprawnienia aplikacji. Wiele aplikacji prosi o dostęp do lokalizacji, który nie jest potrzebny do podstawowego działania. Ustaw uprawnienia na „tylko podczas korzystania z aplikacji” lub całkowicie ich odmów, gdzie to możliwe.
  • Wyłącz usługi lokalizacyjne, gdy nie są potrzebne. Wyłączenie GPS i udostępniania lokalizacji, gdy nie korzystasz aktywnie z nawigacji lub aplikacji opartych na lokalizacji, ogranicza ciągłe śledzenie.
  • Korzystaj z ustawień przeglądarki i wyszukiwarki nastawionych na prywatność, aby ograniczyć ilość kontekstu lokalizacyjnego powiązanego z Twoimi wyszukiwaniami i przeglądaniem.
  • Rozważ VPN dla prywatności na poziomie sieci. Choć VPN nie zatrzyma śledzenia opartego na GPS w Twoim urządzeniu, może zamaskować Twoją lokalizację opartą na adresie IP przed stronami i usługami, które wnioskują o lokalizacji w ten sposób.

Co to oznacza dla Ciebie

Grzywna dla Google za dane o lokalizacji przypomina, że śledzenie lokalizacji jest często znacznie bardziej rozległe i bardziej domyślne, niż większość ludzi zakłada. Nawet jeśli nie jesteś konkretnie użytkownikiem Google, leżąca u podstaw lekcja ma szerokie zastosowanie: dane o lokalizacji są cenne, wrażliwe i warte aktywnego zarządzania, a nie pozostawiania na autopilocie.

Poświęcenie kilku minut na przejrzenie ustawień lokalizacji w urządzeniu i uprawnień aplikacji to niewielki wysiłek z wymierną korzyścią dla prywatności. Grzywny regulacyjne takie jak ta mogą z czasem skłonić firmy do lepszych ustawień domyślnych, ale zanim to nastąpi, najbardziej niezawodnym sposobem ochrony prywatności lokalizacji jest zarządzanie nią samodzielnie.