Google amendată cu 403 milioane € pentru practicile privind datele de localizare din perioada 2018-2020

Comisia pentru Protecția Datelor din Irlanda (DPC) a amendat Google cu 403 milioane de euro după ce a constatat că compania a încălcat Regulamentul general al UE privind protecția datelor prin modul în care a gestionat datele de localizare. Penalitatea, una dintre cele mai mari acțiuni de aplicare a GDPR de până acum, încheie o investigație începută în februarie 2020 și acoperă conduita Google între mai 2018 și februarie 2020. Pentru oricine se bazează pe instrumente de confidențialitate precum un VPN pentru a-și proteja locația online, acest caz este un memento util că un VPN și setările de localizare ale telefonului rezolvă două probleme foarte diferite.

Ce a constatat Comisia pentru Protecția Datelor din Irlanda

Potrivit deciziei finale a DPC, Google a încălcat GDPR „în ceea ce privește legalitatea și corectitudinea prelucrării datelor sale de localizare”. Autoritatea de reglementare și-a deschis investigația în februarie 2020 și a petrecut ani de zile examinând modul în care Google a colectat, stocat și utilizat informațiile de localizare asociate conturilor și dispozitivelor utilizatorilor în perioada în cauză. Penalitatea de 403 milioane de euro reflectă concluzia DPC că practicile Google nu au îndeplinit cerințele fundamentale ale GDPR privind prelucrarea legală și corectă a datelor, ceea ce înseamnă în general că utilizatorilor trebuie să li se ofere opțiuni clare și semnificative cu privire la dacă și cum le este urmărită locația, nu setări implicite ascunse sau configurări confuze.

În calitate de autoritate principală de reglementare a UE pentru Google în cadrul mecanismului „ghișeului unic” al GDPR (sediul european al Google se află în Irlanda), DPC are jurisdicție asupra practicilor de date ale companiei în întregul bloc. Astfel, această decizie este obligatorie la nivelul întregii UE, nu doar pentru utilizatorii irlandezi.

Un tipar de sancțiuni privind confidențialitatea localizării în temeiul GDPR

Nu este prima dată când o companie tech mare este sancționată pentru modul în care gestionează datele de localizare, iar urmărirea locației s-a dovedit în repetate rânduri a fi una dintre cele mai spinoase domenii de aplicare a GDPR. Istoricul locațiilor este în mod unic sensibil: poate dezvălui unde locuiește cineva, unde lucrează, unde se închină, unde caută îngrijire medicală sau cu ce persoane specifice petrece timpul. Autoritățile de reglementare au examinat în mod constant dacă companiile obțin un consimțământ real și în cunoștință de cauză înainte de a colecta acest tip de date, în loc să se bazeze pe setări implicite pe care utilizatorii s-ar putea să nu realizeze niciodată că le-au acceptat.

Merită să punem dimensiunea acestei amenzi în context. Penalitatea maximă teoretică a GDPR este de 20 de milioane de euro sau 4 la sută din cifra de afaceri anuală globală a unei companii, oricare dintre acestea este mai mare. Pentru o companie de dimensiunea Google, acest plafon este enorm, iar majoritatea amenzilor emise în temeiul GDPR sunt mult sub acesta. Explicația noastră despre de ce plafonul amenzilor GDPR se aplică rareori detaliază modul în care autoritățile de reglementare calculează efectiv penalitățile în practică, ceea ce ajută la explicarea motivului pentru care o amendă de 403 milioane de euro, deși atrage atenția, reprezintă totuși doar o fracțiune din ceea ce permite tehnic GDPR.

Ce ascunde și ce nu ascunde un VPN despre locația ta

Cazuri ca acesta determină adesea cititorii să se întrebe dacă un VPN ar fi prevenit acest tip de urmărire. Răspunsul onest este nu, iar înțelegerea motivului contează. Un VPN criptează traficul tău de internet și maschează adresa ta IP, ceea ce poate ascunde locația ta geografică generală față de furnizorul tău de internet, față de cei care spionează rețeaua și față de unele site-uri web care se bazează pe estimări de localizare bazate pe IP.

Dar un VPN nu are niciun efect asupra datelor de localizare colectate prin alte canale, inclusiv semnale GPS, scanare Wi-Fi și Bluetooth, triangulare prin turnuri de telefonie mobilă sau setări la nivel de cont integrate într-un sistem de operare sau într-o aplicație. Dacă serviciile de localizare ale unui telefon sunt activate și o aplicație sau un cont are permisiunea de a le accesa, acele date pot fi totuși colectate și prelucrate indiferent dacă un VPN rulează în fundal. Cu alte cuvinte, un VPN protejează locația ta la nivel de rețea față de observatorii externi, dar nu afectează datele de localizare pe care dispozitivul tău și aplicațiile sale le generează și le partajează direct.

Blocarea urmăririi locației pe Android și în conturile Google

Deoarece aplicarea GDPR vizează modul în care companiile configurează setările implicite și fluxurile de consimțământ, cea mai eficientă protecție pentru utilizatorii individuali este să revizuiească aceste setări direct, în loc să presupună că un VPN acoperă această lacună. Câțiva pași practici:

• Deschide setările de localizare ale dispozitivului tău și verifică ce aplicații au acces la locație „întotdeauna permis” față de „doar în timpul utilizării aplicației” și revocă accesul pentru orice nu are nevoie de el.
• Revizuiește controalele de activitate ale contului tău Google pentru a vedea dacă istoricul locațiilor este activat și dezactivează-l sau setează-l să se șteargă automat după o perioadă mai scurtă.
• Auditează periodic permisiunile aplicațiilor, deoarece aplicațiile solicită uneori acces la locație pentru funcții pe care nu le mai folosești.
• Ia în considerare dezactivarea scanării Wi-Fi și Bluetooth atunci când nu te conectezi activ la dispozitive, deoarece acestea pot fi folosite pentru a estima locația chiar și cu GPS-ul oprit.

Ce înseamnă asta pentru tine

Această amendă este un rezultat de reglementare, nu o breșă de date, dar subliniază un punct mai larg: confidențialitatea locației este în mare măsură determinată de setările contului și ale dispozitivului, nu de instrumentele la nivel de rețea. Dacă folosești un VPN pentru că îți pasă cine îți poate vedea locația, acesta este un instinct rezonabil, dar ar trebui să fie însoțit de o verificare regulată a permisiunilor și setărilor de istoric asociate telefonului și conturilor tale. Cele două abordări vizează amenințări diferite și niciuna nu o înlocuiește pe cealaltă.

Cifra de 403 milioane de euro este semnificativă, dar, ca în majoritatea cazurilor GDPR, este sub penalitatea maximă posibilă a regulamentului, o lacună care merită înțeleasă înainte de a presupune că orice amendă reflectă amploarea completă a puterii de aplicare pe care o dețin efectiv autoritățile de reglementare.

Concluzii acționabile:

• Auditează ce aplicații de pe telefonul tău au permisiuni de localizare și elimină accesul pe care nu îl recunoști sau nu îl necesiți.
• Verifică istoricul locațiilor și controalele de activitate ale contului tău Google și ajustează setările de ștergere automată dacă nu ai făcut-o deja.
• Amintește-ți că un VPN protejează locația ta la nivel de rețea, nu datele de localizare GPS sau bazate pe cont, așa că folosește ambele instrumente în mod deliberat, în loc să te bazezi pe unul singur.
• Revizuiește periodic aceste setări, deoarece actualizările aplicațiilor și instalările noi pot solicita în mod silențios din nou accesul la locație.