Google har ålagts att betala 403 miljoner euro efter att Irlands dataskyddsmyndighet (DPC) dragit slutsatsen att företaget brutit mot dataskyddsförordningen (GDPR) i sin behandling av användares platsdata. Påföljden, en av de största som utfärdats mot ett enskilt företag enligt GDPR, följer på en utredning av DPC, som fungerar som Googles ledande integritetsskyddsmyndighet i Europeiska unionen eftersom företagets regionala huvudkontor ligger i Dublin.

Vad som hände: böterna på 403 miljoner euro

DPC:s beslut kretsar kring hur Google samlade in, lagrade och använde platsinformation kopplad till användarkonton. Enligt GDPR måste företag inhämta tydligt, informerat samtycke innan de behandlar personuppgifter, och platsdata betraktas som särskilt känslig eftersom den kan avslöja mönster för var människor bor, arbetar, utövar sin religion och reser. Tillsynsmyndigheter har länge granskat hur teknikplattformar presenterar samtyckesval för användare, särskilt när inställningar är begravda i menyer eller formulerade på sätt som gör det svårt att förstå vad som faktiskt samlas in.

Som tidigare rapportering om fallet har beskrivit i detalj, fann DPC att Googles praxis kring platsdata inte uppfyllde de krav på transparens och samtycke som GDPR ställer. Böterna tillkommer en växande lista av sanktioner som europeiska tillsynsmyndigheter har ålagt stora teknikföretag sedan GDPR trädde i kraft, och de befäster Irlands roll som den främsta verkställande myndigheten för många amerikanska teknikjättar som verkar inom EU.

Varför platsdata väckte GDPR-granskning

Platsdata står i centrum för många integritetsdebatter eftersom den samlas in ständigt och ofta passivt. Smarttelefoner, appar och uppkopplade tjänster kan spåra en användares rörelser under hela dagen, ibland utan att personen inser hur mycket detaljer som loggas eller hur länge de behålls. GDPR kräver att denna typ av behandling grundas på en laglig grund, vanligtvis tydligt samtycke, och att användare ges verklig kontroll över huruvida deras plats spåras.

Tillsynsmyndigheter i hela Europa har i allt högre grad fokuserat på standardinställningar och mörka mönster, gränssnittsdesign som knuffar användare mot att dela mer data än de annars skulle välja. När ett företags platsinställningar är svåra att hitta, otydligt formulerade eller är förvalda till "på" utan en enkel opt-out, kan det strida mot GDPR:s samtyckeskrav. DPC:s slutsatser mot Google passar in i detta bredare mönster av verkställighet och signalerar att tillsynsmyndigheter är villiga att ålägga betydande ekonomiska sanktioner när företag inte lever upp till kraven.

Vad detta innebär för dig

För vanliga användare är böterna en påminnelse om att plåtspårning inte bara är en bakgrundsfunktion i moderna appar och enheter, det är en kategori av personuppgifter som bär verklig rättslig vikt och verklig integritetsrisk. Om ett företag så stort som Google kan mötas av en påföljd på 403 miljoner euro för hur det hanterat platsinformation, understryker det hur allvarligt denna typ av data bör behandlas även av konsumenter.

De flesta inser inte hur mycket platshistorik som har ackumulerats på deras konton eller hur den kan användas för annonsering, produktutveckling eller delas med tredje parter. Att regelbundet granska kontots integritetsöversikt, kontrollera vilka appar som har platsbehörighet och inaktivera platshistorik när den inte behövs är praktiska steg som minskar din exponering oavsett vad ett enskilt företag gör eller inte åtgärdar. Detaljerna kring det bakomliggande GDPR-brottet illustrerar också varför det att läsa samtyckesmeddelanden noggrant, i stället för att snabbt klicka sig igenom dem, fortfarande är ett av de enklaste sätten att hålla sig informerad om vad du samtycker till att dela.

Detta fall är också viktigt för alla som använder molnbaserade tjänster i bred bemärkelse. Platsdata är ofta bara en del av en större profil som inkluderar surfvanor, sökhistorik och appanvändning. En GDPR-bot som specifikt fokuserar på platsbehandling är en användbar signal om att tillsynsmyndigheter borrar ned i specifika datakategorier i stället för att behandla integritetsefterlevnad som en enda generisk kryssruta.

Åtgärder att ta med sig

Medan tillsynsmyndigheter fortsätter att hålla stora plattformar ansvariga finns det steg du kan ta just nu för att begränsa ditt eget platsdataavtryck:

  • Kontrollera kontots inställningar för platshistorik och stäng av spårning för appar som inte behöver den för att fungera.
  • Radera regelbundet lagrad platshistorik i stället för att låta den ackumuleras på obestämd tid.
  • Läs samtyckesmeddelanden innan du accepterar dem, särskilt när en ny app eller tjänst begär åtkomst till plats.
  • Använd behörigheter på enhetsnivå (tillgängliga på både Android och iOS) för att bevilja åtkomst endast medan en app används, i stället för hela tiden.

GDPR-verkställighetsåtgärder som böterna på 403 miljoner euro visar att integritetstillsynsmyndigheter är villiga att agera när företag inte lever upp till dataskyddsstandarder, även mot de största aktörerna i branschen. För användare är slutsatsen inte att få panik, utan att vara proaktiv med att granska och begränsa vilken platsdata du delar, eftersom det fortfarande är ett av de mest effektiva sätten att skydda din integritet oavsett hur verkställigheten utvecklas.