Комиссия по защите данных Ирландии выписала рекордный штраф за данные о местоположении

Google была оштрафована на €403 млн Комиссией по защите данных Ирландии (DPC) после того, как расследование установило, что компания неправомерно обрабатывала данные о местоположении пользователей в нарушение Общего регламента по защите данных (GDPR). DPC, которая выступает ведущим надзорным органом Google в Европейском союзе, поскольку региональная штаб-квартира компании находится в Дублине, подтвердила штраф по итогам расследования того, как технологический гигант собирал, хранил и использовал информацию о местоположении, связанную с учётными записями пользователей.

Грэм Дойл, заместитель комиссара DPC, прокомментировал выводы расследования, которые касались практик обработки данных Google в целом, а не единичного инцидента. Этот штраф добавляет Google к растущему списку крупных технологических компаний, оштрафованных в соответствии с GDPR за то, как они управляют чувствительными персональными данными, и подтверждает тенденцию, которой следуют регуляторы по всей Европе с момента вступления регламента в силу: данные о местоположении рассматриваются как особо чувствительная категория персональной информации, подпадающая под строгие правила в отношении согласия, прозрачности и правомерной обработки.

Почему данные о местоположении привлекают внимание регуляторов

Данные о местоположении уникально информативны. В отличие от истории просмотров или адреса электронной почты, запись о всех местах, где побывал человек, может раскрыть домашний адрес, место работы, визиты к врачу, религиозные практики и повседневные маршруты. В соответствии с GDPR компании, собирающие такие данные, должны иметь законное основание для этого, быть прозрачными в отношении их использования и предоставлять пользователям реальный контроль над ними.

Решение DPC отражает растущее нетерпение регуляторов в отношении того, как крупные платформы исторически обращались с этой категорией данных, часто включая отслеживание местоположения в общие настройки учётной записи таким образом, что обычным пользователям трудно понять, что именно собирается, или отказаться от этого. Как подробно описано в штрафе DPC Ирландии против Google за неправомерное использование данных о местоположении, расследование изучило практики, которые регуляторы признали не соответствующими требованиям GDPR о правомерной обработке.

Это дело также вписывается в более широкую тенденцию: органы по защите данных ЕС выписывают крупные штрафы против ведущих технологических компаний, используя правоприменительные полномочия GDPR, которые позволяют рассчитывать штрафы как процент от глобального годового дохода компании, чтобы дать сигнал о том, что обязательства по защите данных применяются независимо от размера компании или её позиции на рынке. Масштаб этого штрафа, одного из крупнейших штрафов по GDPR, выписанных на сегодняшний день, подчёркивает, насколько серьёзно регуляторы теперь оценивают практики отслеживания местоположения — этот аспект более подробно рассматривается в уроке о данных о местоположении, стоящем за штрафом Google в €403 млн.

Что дальше для Google

Теперь Google сталкивается с финансовым штрафом наряду с ожиданиями, что компания скорректирует свои практики обработки данных в соответствии с требованиями GDPR в дальнейшем. Более широкие последствия выходят за рамки одной компании: любая организация, работающая в ЕС и обрабатывающая данные о местоположении — от приложений для совместных поездок до фитнес-трекеров и рекламных сетей — вероятно, воспримет это решение как сигнал к пересмотру того, как они получают согласие и раскрывают информацию об отслеживании местоположения пользователям. Детали рассматриваемых практик, охватывающих многолетний период, который покрывало расследование DPC, более подробно изложены в разборе практик Google в отношении данных о местоположении с 2018 по 2020 год.

Что это значит для вас

Если вы пользуетесь сервисами Google, такими как Android, Google Maps или приложениями, привязанными к учётной записи Google, этот штраф — напоминание о том, что отслеживание местоположения часто более масштабно и менее прозрачно, чем представляют себе большинство пользователей. Стоит периодически проверять историю местоположений и элементы управления активностью в вашей учётной записи, поскольку многие сервисы включают отслеживание по умолчанию, если пользователь активно не изменит настройки.

Также полезно понимать, что могут и чего не могут делать инструменты в этом случае. VPN маскирует ваш IP-адрес и шифрует интернет-трафик, что может помешать вашему интернет-провайдеру или сетевым наблюдателям определить ваше примерное местоположение по вашему соединению. Однако VPN не мешает приложениям, установленным на вашем телефоне, получать доступ к данным GPS, Wi-Fi-позиционированию или другим сигналам местоположения на уровне устройства, если вы предоставили им такое разрешение. Ограничение отслеживания местоположения на уровне приложений требует изменения разрешений непосредственно в настройках вашего устройства или учётной записи, а не полагания только на VPN.

Ключевые выводы

Этот штраф подчёркивает, насколько серьёзно регуляторы ЕС относятся к данным о местоположении как к категории чувствительной персональной информации, и служит практическим поводом для пользователей пересмотреть свои настройки конфиденциальности, а не предполагать, что конфигурации по умолчанию являются наиболее защитными. Рассмотрите возможность проверки настроек истории местоположений вашей учётной записи Google, проверки того, какие приложения имеют разрешение на постоянный доступ к местоположению вашего устройства, а не только во время использования, и отключения отслеживания местоположения для сервисов, которые вам не нужны. Сочетание этих изменений на уровне устройства с VPN для обеспечения конфиденциальности на уровне сети и понимание различий между тем, что фактически защищает каждый инструмент, даёт пользователям более полную картину их цифрового следа. Поскольку регуляторный контроль за практиками обработки данных продолжает усиливаться, информированность о том, как компании собирают и используют данные о местоположении, остаётся одним из наиболее эффективных шагов, которые могут предпринять отдельные пользователи для защиты своей конфиденциальности.