Irlands DPC ger Google en bötesstraff på 403 miljoner euro

Google står inför en av de största integritetsbestraffningarna i sin historia efter att Irlands dataskyddsmyndighet (DPC) ålagt företaget en bötesstraff på 403 miljoner euro för överträdelser kopplade till hur företaget behandlade användares platsdata. DPC, som fungerar som Googles ledande tillsynsmyndighet inom Europeiska unionen eftersom företagets regionala huvudkontor ligger i Dublin, inledde sin utredning efter att ha granskat hur platsinformation samlades in, lagrades och användes inom Googles tjänster. Tillsynsmyndigheten konstaterade att Googles praxis inte uppfyllde de krav på transparens och samtycke som följer av dataskyddsförordningen (GDPR), och den har beordrat Google att bringa sin databehandling i överensstämmelse inom sex månader.

Detta markerar en betydande eskalering av DPC:s tillsynshållning gentemot Google, ett företag som tidigare har granskats enligt GDPR men sällan i denna omfattning specifikt av den irländska tillsynsmyndigheten. Platsdata står i centrum för ärendet på grund av hur avslöjande den kan vara: en registrering av var någon har varit, när och hur länge kan avslöja hemadresser, arbetsplatser, sjukvårdsbesök, religiösa praktiker och dagliga rutiner, ofta utan att personen inser hur mycket information som loggas.

Vad Google gjorde fel med plåtsspårning

Kärnan i DPC:s slutsatser är en välbekant spänning i moderna teknikprodukter: klyftan mellan vad användare tror att de samtycker till och vad som faktiskt händer med deras data bakom kulisserna. Plåtsspårning på både Android- och iOS-enheter är ofta inbäddad i flera inställningar, vissa synliga i telefonens huvudmeny för integritet och andra begravda i enskilda appbehörigheter eller kontoövergripande webbaktivitetskontroller. Tillsynsmyndigheter har i allt högre grad hävdat att denna typ av skiktade, svårnavigerade samtyckesstruktur inte uppfyller GDPR:s krav på tydligt, informerat och frivilligt samtycke.

DPC:s avgörande tyder på att Googles behandling av platsdata inte gav användarna tillräcklig klarhet eller kontroll över hur deras förflyttningar spårades och användes, vare sig för annonsering, personalisering eller andra ändamål. Detta ekar bredare farhågor inom teknikbranschen om hur företag hanterar känsliga personuppgifter genom gränssnitt som tekniskt sett avslöjas men i praktiken är svåra för den genomsnittlige personen att förstå eller hantera. Liknande frågor har rests om andra plattformar; till exempel beskriver Perplexity AI stäms över dold spårning och datadelning en jämförbar tvist om oupptäckbara spårningsmekanismer i en AI-driven produkt, vilket visar att detta inte är en isolerad fråga begränsad till ett företag eller en typ av tjänst.

Varför denna bötesstraff signalerar en vändpunkt

En bötesstraff på 403 miljoner euro är anmärkningsvärd inte bara för sin storlek utan för vad den representerar: en tillsynsmyndighet som är villig att hålla ett av världens största teknikföretag ansvarigt för hur det tjänar pengar på platsintelligens, en central insats för riktad annonsering och den bredare dataekonomin som ibland beskrivs som övervakningskapitalism. DPC:s sexmånadersföreläggande om efterlevnad ger avgörandet verklig tyngd och tvingar Google att visa konkreta förändringar i sin datapraxis snarare än att bara betala böter och fortsätta som vanligt.

För den bredare teknikbranschen förstärker detta ärende ett mönster som har byggts upp under flera år i hela EU: tillsynsmyndigheter är i allt högre grad ovilliga att acceptera vag eller standardaktiverad plåtsspårning som tillräcklig enligt GDPR. Företag som förlitar sig på detaljerad platsdata för sina affärsmodeller bör förvänta sig fortsatt granskning, och detta avgörande ger integritetsförespråkare och andra dataskyddsmyndigheter en stark prejudikat att hänvisa till i framtida ärenden. Det kommer också samtidigt som Google navigerar granskning på flera fronter samtidigt; företaget har separat vidtagit åtgärder mot externa hot, vilket framgår av när Google slår ut KKP-länkade hackare som träffade 53 mål globalt, även när dess egna interna datapraxis drar på sig regulatorisk eld.

Vad detta innebär för dig

Även om bötesstraffet är en seger för integritetsansvar, förändrar det inte automatiskt hur din enhet hanterar platsdata idag. Användare bär fortfarande ansvaret för att granska och justera sina egna inställningar. På Android innebär detta att kontrollera Inställningar > Plats för att se vilka appar som har åtkomst och om den åtkomsten är inställd på "Alltid", "När appen används" eller "Fråga varje gång". På iOS är motsvarande väg Inställningar > Integritet och säkerhet > Platstjänster, där du kan granska behörigheter app för app och inaktivera spårning för allt som inte behöver det. Det är också värt att granska ditt Google-kontos platshistorik och inställningar för webb- och appaktivitet direkt via din kontoinstrumentpanel, eftersom dessa kontroller finns separat från behörigheter på enhetsnivå.

En snabb granskning tar bara några minuter men kan avsevärt minska hur mycket av din rörelsehistorik som samlas in och lagras. Överväg att inaktivera platsåtkomst för appar som inte behöver det funktionellt, stänga av platshistorik helt om du inte förlitar dig på funktioner som Google Maps tidslinje, och regelbundet granska annonsanpassningsinställningar kopplade till ditt konto.

Viktiga slutsatser

Denna bötesstraff för Googles platsdata från Irlands DPC är en påminnelse om att regulatorisk tillsyn enligt GDPR intensifieras, och att även de största teknikföretagen kan möta verkliga ekonomiska konsekvenser för ogenomskinlig datapraxis. Men reglering ensam skyddar inte din integritet dag för dag. Ta några minuter den här veckan för att granska dina platsbehörigheter på både din telefon och ditt Google-konto, inaktivera spårning du inte behöver och var uppmärksam på hur framtida policyändringar från Google rullas ut under de kommande sex månaderna när företaget arbetar mot efterlevnad.