Google оштрафована на 403 миллиона за нарушения в работе с данными

Комиссия по защите данных Ирландии (DPC) оштрафовала Google на 403 миллиона евро за нарушения Общего регламента по защите данных (GDPR) Европейского союза. В этом деле ирландский регулятор выступает в качестве ведущего надзорного органа компании в Европейском союзе.

Наряду со штрафом DPC обязала компанию в течение шести месяцев устранить выявленные недостатки и обеспечить соответствие обработки данных о местоположении требованиям GDPR. В Google отметили, что дело касается прежней практики, которая впоследствии была изменена.

Расследование началось после жалоб потребителей

В основе расследования лежали жалобы ряда европейских организаций по защите прав потребителей на методы отслеживания местоположения, используемые Google. Они последовали за исследованием Норвежского совета потребителей 2018 года под названием “Every Step You Take” (“Каждый ваш шаг”), в котором анализировались настройки учетных записей компании и то, как пользователей побуждали включать историю местоположений и другие функции, связанные с отслеживанием.

Европейская организация потребителей BEUC указала, что информация, предоставляемая пользователям, была неясной и разбросанной по разным этапам настроек. По мнению организаций, использованный дизайн мог влиять на выбор людей и затруднять предоставление свободного, конкретного и информированного согласия на обработку персональных данных.

Полученные жалобы стали основанием для официального расследования, которое было начато 4 февраля 2020 года. В его рамках оценивалась практика Google с 25 мая 2018 года, когда начал применяться GDPR, до 4 февраля 2020 года. Проверка проводилась с соблюдением механизма сотрудничества между европейскими органами по защите данных, предусмотренного статьей 60 GDPR.

Целью расследования было выяснить, достаточно ли понятно компания объясняла пользователям процесс обработки данных о местоположении и соответствовало ли полученное согласие европейским требованиям по защите данных.

Три функции, обрабатывавшие данные о местоположении

В центре внимания проверки находились три функции Google: “История приложений и веб-поиска”, “История местоположений” и доступная на устройствах Android “Точность определения местоположения”. Хотя все они были связаны с местоположением пользователя, каждая работала по-своему.

“История приложений и веб-поиска” - это настройка учетной записи Google, которая сохраняет информацию о действиях человека в сервисах компании. Обрабатываемые данные могут включать используемые сайты и приложения, историю поиска и просмотра, а также информацию о местоположении, связанную с конкретными действиями. Поэтому данные о местоположении могли сохраняться даже в том случае, если пользователь приостановил работу других функций отслеживания.

“История местоположений”, теперь известная как “Хронология Google Карт”, фиксирует места, посещенные с совместимых мобильных устройств. Эта информация позволяет определить маршруты пользователя, его действия и перемещения между различными пунктами назначения. Данные используются для создания личной карты мест, где человек находился, даже в те моменты, когда он активно не использует какой-либо сервис Google.

В свою очередь, “Точность определения местоположения” - это функция операционной системы Android, которая помогает устройству определять позицию точнее, чем это было бы возможно только с помощью GPS. В отличие от двух других функций, она может работать и у пользователей Android, которые не вошли в учетную запись Google.

Выявленные нарушения GDPR

DPC пришла к выводу, что обработка данных о местоположении компанией Google не соответствовала ряду основных принципов GDPR. Нарушения касались законности и добросовестности обработки данных, прозрачности информации, подотчетности компании и срока хранения персональных данных.

В отношении функций “История приложений и веб-поиска” и “История местоположений” регулятор выявил проблемы с правовым основанием обработки данных и ее добросовестностью. Это означает, что для использования персональных данных недостаточно просто технически полученного выбора пользователя - компания должна быть в состоянии доказать, что обработка происходила законно и понятным для человека образом.

Требования прозрачности не были должным образом соблюдены ни в одной из трех проверенных функций. GDPR предусматривает, что информация об использовании персональных данных должна быть краткой, легкодоступной и сформулированной на понятном языке. Пользователь должен иметь возможность понять, какие данные собираются, для какой цели они необходимы и как долго их планируется хранить.

В связи с функцией Android “Точность определения местоположения” компания не смогла в достаточной мере доказать соответствие принципам законности, добросовестности и прозрачности. Этот вывод коснулся установленной GDPR обязанности подотчетности - оператор данных должен не только соблюдать регламент, но и уметь документально обосновать свое соответствие.

Регулятор также установил, что данные о местоположении хранились дольше, чем это было необходимо. Такая практика не соответствует принципу ограничения хранения, который предусматривает удаление или анонимизацию персональных данных после достижения цели их использования.