Irlands dataskyddsmyndighet (DPC) har bötfällt Google med 403 miljoner euro efter att ha konstaterat att företaget bröt mot EU:s allmänna dataskyddsförordning genom sin hantering av platsdata. Påföljden, en av de största GDPR-åtgärderna hittills, avslutar en utredning som inleddes i februari 2020 och omfattar Googles agerande mellan maj 2018 och februari 2020. För alla som förlitar sig på integritetsverktyg som en VPN för att skydda sin position online är fallet en nyttig påminnelse om att en VPN och telefonens platsinställningar löser två helt olika problem.

Vad Irlands dataskyddsmyndighet kom fram till

Enligt DPC:s slutliga beslut bröt Google mot GDPR "avseende lagligheten och skäligheten i sin behandling av plats"data. Myndigheten inledde sin utredning i februari 2020 och ägnade år åt att granska hur Google samlade in, lagrade och använde platsinformation kopplad till användarkonton och enheter under den aktuella perioden. Påföljden på 403 miljoner euro återspeglar DPC:s slutsats att Googles praxis inte uppfyllde GDPR:s grundläggande krav på laglig och skälig databehandling, vilket i allmänhet innebär att användare måste ges tydliga, meningsfulla val om huruvida och hur deras plats spåras, inte dolda standardinställningar eller förvirrande inställningar.

Som Googles huvudsakliga EU-regleringsmyndighet enligt GDPR:s mekanism för "en enda kontaktpunkt" (Googles europeiska huvudkontor ligger i Irland) har DPC jurisdiktion över företagets datapraxis i hela unionen. Det gör beslutet bindande i hela EU, inte bara för irländska användare.

Ett mönster av påföljder för platsintegritet under GDPR

Detta är inte första gången ett stort teknikföretag har straffats för hur det hanterar platsdata, och plåtspårning har gång på gång visat sig vara ett av de svåraste områdena inom GDPR-tillämpningen. Platthistorik är unikt känslig: den kan avslöja var någon bor, arbetar, utövar sin religion, söker vård eller tillbringar tid med specifika personer. Tillsynsmyndigheter har konsekvent granskat huruvida företag inhämtar genuint, informerat samtycke innan de samlar in denna typ av data, i stället för att förlita sig på standardinställningar som användare kanske aldrig inser att de har godkänt.

Det är värt att sätta böternas storlek i sammanhang. GDPR:s teoretiska maximistraff är 20 miljoner euro eller 4 procent av ett företags globala årsomsättning, beroende på vilket som är högre. För ett företag av Googles storlek är detta tak enormt, och de flesta böter som utfärdas enligt GDPR ligger långt under det. Vår förklaring om varför GDPR:s bötetak sällan tillämpas redogör för hur tillsynsmyndigheter faktiskt beräknar påföljder i praktiken, vilket hjälper till att förklara varför en böt på 403 miljoner euro, trots att den väcker rubriker, fortfarande utgör en bråkdel av vad GDPR tekniskt sett tillåter.

Vad en VPN döljer och inte döljer om din plats

Fall som detta får ofta läsare att fråga om en VPN skulle ha förhindrat den här typen av spårning. Det ärliga svaret är nej, och att förstå varför är viktigt. En VPN krypterar din internettrafik och maskerar din IP-adress, vilket kan dölja din ungefärliga geografiska plats för din internetleverantör, nätverksspanare och vissa webbplatser som förlitar sig på IP-baserade platsuppskattningar.

Men en VPN har ingen effekt på platsdata som samlas in via andra kanaler, inklusive GPS-signaler, Wi-Fi- och Bluetooth-scanning, mobiltorns-triangulering eller kontoinställningar inbyggda i ett operativsystem eller en app. Om telefonens platstjänster är påslagna och en app eller ett konto har behörighet att komma åt dem, kan dessa data fortfarande samlas in och behandlas oavsett om en VPN körs i bakgrunden. Med andra ord skyddar en VPN din plats på nätverksnivå från externa observatörer, men den rör inte de platsdata som din enhet och dess appar genererar och delar direkt.

Lås ner plåtspårning på Android och Google-konton

Eftersom GDPR-tillämpningen riktar in sig på hur företag konfigurerar standardinställningar och samtyckesflöden, är det mest effektiva skyddet för enskilda användare att granska dessa inställningar direkt i stället för att anta att en VPN täcker luckan. Några praktiska steg:

  • Öppna enhetens platsinställningar och kontrollera vilka appar som har platsåtkomst "tillåt alltid" kontra "endast när appen används", och återkalla åtkomst för allt som inte behöver det.
  • Granska ditt Google-kontos aktivitetskontroller för att se om platshistorik är aktiverad, och stäng av den eller ställ in den på att automatiskt raderas efter en kortare period.
  • Granska appbehörigheter med jämna mellanrum, eftersom appar ibland begär platsåtkomst för funktioner du inte längre använder.
  • Överväg att inaktivera Wi-Fi- och Bluetooth-scanning när du inte aktivt ansluter till enheter, eftersom dessa kan användas för att uppskatta plats även med GPS avstängd.

Vad detta innebär för dig

Denna böt är ett regulatoriskt resultat, inte en dataintrång, men den understryker en bredare poäng: platsintegritet bestäms till stor del av konto- och enhetsinställningar, inte av verktyg på nätverksnivå. Om du använder en VPN för att du bryr dig om vem som kan se din plats är det en rimlig instinkt, men den bör kombineras med en regelbunden kontroll av behörigheter och historikinställningar kopplade till din telefon och dina konton. De två metoderna hanterar olika hot, och ingen ersätter den andra.

Siffran 403 miljoner euro är betydande, men som med de flesta GDPR-fall ligger den under förordningens maximala möjliga påföljd, en skillnad som är värd att förstå innan man antar att en böt speglar den fulla omfattningen av den tillsynsbefogenhet som myndigheterna faktiskt har.

Praktiska slutsatser:

  • Granska vilka appar på din telefon som har platsbehörigheter och ta bort åtkomst du inte känner igen eller behöver.
  • Kontrollera ditt Google-kontos platshistorik och aktivitetskontroller, och justera inställningarna för automatisk radering om du inte redan har gjort det.
  • Kom ihåg att en VPN skyddar din nätverksplats, inte GPS- eller kontobaserade platsdata, så använd båda verktygen medvetet i stället för att förlita dig på bara ett.
  • Återbesök dessa inställningar med jämna mellanrum, eftersom appuppdateringar och nyinstallationer tyst kan begära platsåtkomst på nytt.