“Google” sodīta ar 403 miljoniem par datu pārkāpumiem

Īrijas Datu aizsardzības komisija (DPC) piemērojusi “Google” 403 miljonu eiro naudassodu par Eiropas Savienības Vispārīgās datu aizsardzības regulas pārkāpumiem. Īrijas regulators šajā lietā darbojas kā uzņēmuma vadošā uzraudzības iestāde Eiropas Savienībā.

Līdz ar naudassodu DPC uzdevusi uzņēmumam sešu mēnešu laikā novērst konstatētās nepilnības un nodrošināt, ka atrašanās vietas datu apstrāde atbilst VDAR prasībām. “Google” norādījusi, ka lieta attiecas uz agrāku praksi, kas vēlāk tikusi mainīta.

Izmeklēšana sākās pēc patērētāju sūdzībām

Izmeklēšanas pamatā bija vairāku Eiropas patērētāju tiesību aizsardzības organizāciju sūdzības par “Google” izmantotajām atrašanās vietas izsekošanas metodēm. Tās sekoja Norvēģijas Patērētāju padomes 2018. gada pētījumam “Every Step You Take”, kurā tika analizēti uzņēmuma kontu iestatījumi un veids, kā lietotāji tika mudināti ieslēgt atrašanās vietas vēsturi un citas ar izsekošanu saistītas funkcijas.

Eiropas Patērētāju organizācija BEUC norādīja, ka lietotājiem sniegtā informācija bijusi neskaidra un dažādos iestatījumu posmos izkaisīta. Organizāciju ieskatā izmantotais dizains varēja ietekmēt cilvēku izvēli un apgrūtināt brīvas, konkrētas un informētas piekrišanas sniegšanu personas datu apstrādei.

Saņemtās sūdzības kļuva par pamatu oficiālai izmeklēšanai, kas tika sākta 2020. gada 4. februārī. Tās ietvaros vērtēja “Google” praksi no 2018. gada 25. maija, kad sāka piemērot VDAR, līdz 2020. gada 4. februārim. Pārbaude notika, ievērojot VDAR 60. pantā paredzēto sadarbības mehānismu starp Eiropas datu aizsardzības iestādēm.

Izmeklēšanas mērķis bija noskaidrot, vai uzņēmums lietotājiem pietiekami saprotami izskaidroja atrašanās vietas datu apstrādi un vai iegūtā piekrišana atbilda Eiropas datu aizsardzības prasībām.

Trīs funkcijas, kas apstrādāja atrašanās vietas datus

Pārbaudes uzmanības centrā bija trīs “Google” funkcijas - “Darbības tīmeklī un lietotnēs”, “Atrašanās vietu vēsture” un Android ierīcēs pieejamā “Atrašanās vietas precizitāte”. Lai gan visas bija saistītas ar lietotāja atrašanās vietu, katra darbojās atšķirīgi.

“Darbības tīmeklī un lietotnēs” ir “Google” konta iestatījums, kas saglabā informāciju par personas aktivitātēm uzņēmuma pakalpojumos. Apstrādātie dati var ietvert izmantotās vietnes un lietotnes, meklēšanas un pārlūkošanas vēsturi, kā arī ar konkrētām darbībām saistītu atrašanās vietas informāciju. Tādēļ atrašanās vietas dati varēja tikt saglabāti arī tad, ja lietotājs bija apturējis citu izsekošanas funkciju.

“Atrašanās vietu vēsture”, kas tagad pazīstama kā “Google Maps” laika skala, fiksē ar saderīgām mobilajām ierīcēm apmeklētās vietas. Šī informācija ļauj noteikt lietotāja maršrutus, aktivitātes un pārvietošanos starp dažādiem galamērķiem. Dati tiek izmantoti, lai izveidotu privātu karti ar vietām, kurās persona ir uzturējusies, arī brīžos, kad tā aktīvi neizmanto kādu “Google” pakalpojumu.

Savukārt “Atrašanās vietas precizitāte” ir Android operētājsistēmas funkcija, kas palīdz ierīcei noteikt pozīciju precīzāk, nekā tas būtu iespējams, izmantojot tikai GPS. Atšķirībā no abām pārējām funkcijām tā var darboties arī Android lietotājiem, kuri nav pierakstījušies “Google” kontā.

Konstatētie VDAR pārkāpumi

DPC secināja, ka “Google” atrašanās vietas datu apstrāde neatbilda vairākiem VDAR pamatprincipiem. Pārkāpumi skāra datu apstrādes likumību un godprātību, informācijas pārredzamību, uzņēmuma pārskatatbildību un personas datu glabāšanas ilgumu.

Attiecībā uz funkcijām “Darbības tīmeklī un lietotnēs” un “Atrašanās vietu vēsture” regulators konstatēja problēmas ar datu apstrādes juridisko pamatu un tās godprātību. Tas nozīmē, ka personas datu izmantošanai nepietiek tikai ar tehniski iegūtu lietotāja izvēli - uzņēmumam jāspēj pierādīt, ka apstrāde notikusi tiesiski un cilvēkam saprotamā veidā.

Pārredzamības prasības nebija pienācīgi ievērotas nevienā no trim pārbaudītajām funkcijām. VDAR paredz, ka informācijai par personas datu izmantošanu jābūt kodolīgai, viegli pieejamai un formulētai skaidrā valodā. Lietotājam jāvar saprast, kādi dati tiek iegūti, kādam nolūkam tie nepieciešami un cik ilgi tos paredzēts glabāt.

Saistībā ar Android funkciju “Atrašanās vietas precizitāte” uzņēmums nespēja pietiekami pierādīt atbilstību likumības, godprātības un pārredzamības principiem. Šis atzinums skāra VDAR noteikto pārskatatbildības pienākumu - datu pārzinim ne tikai jāievēro regula, bet arī jāspēj savu atbilstību dokumentēti pamatot.

Regulators konstatēja arī atrašanās vietas datu glabāšanu ilgāk, nekā tas bijis nepieciešams. Šāda prakse neatbilst glabāšanas ierobežojuma principam, kas paredz personas datu dzēšanu vai anonimizēšanu pēc to izmantošanas mērķa sasniegšanas.