Ирландская Комиссия по защите данных (DPC) назначила Google штраф в размере €403 млн по итогам расследования, посвящённого обработке информации о местоположении пользователей. Регулятор выявил несколько нарушений европейского Общего регламента по защите данных (GDPR), в том числе недостаточную прозрачность при сборе и использовании геоданных.

Разбирательство охватывало практики Google с мая 2018-го по февраль 2020 года и касалось трёх механизмов: Web & App Activity, Location History и Location Accuracy. По выводам регулятора, пользователи не всегда получали достаточно понятную информацию о том, каким образом обрабатывались сведения об их местоположении и могли ли эти данные использоваться, в частности, для персонализации рекламы. С тех пор Google существенно изменила систему хранения геоданных и предоставила дополнительные инструменты управления ими.

Расследование началось после жалоб общественных организаций

DPC начала проверку в феврале 2020 года. Основанием послужили жалобы общественных организаций, касавшиеся того, как Google собирала и обрабатывала информацию о местоположении пользователей.

В центре внимания оказались сразу три функции, работавшие в рассматриваемый период.

Web & App Activity, или «Активность в интернете и приложениях», позволяла сохранять сведения о взаимодействии человека с различными сервисами компании.

Location History, известная как «История местоположений», использовалась для сохранения информации о перемещениях совместимых мобильных устройств и формирования истории маршрутов.

Location Accuracy предназначалась для повышения точности определения координат на Android-устройствах и могла функционировать независимо от наличия учётной записи Google.

Регулятора не устроила прозрачность обработки данных

По результатам расследования DPC пришла к выводу, что обработка информации посредством Web & App Activity и Location History не соответствовала ряду требований GDPR.

В отношении Location Accuracy регулятор указал, что Google не смогла должным образом продемонстрировать соблюдение предусмотренных законодательством принципов обработки персональной информации.

Одной из центральных претензий стала недостаточная информированность пользователей. Человек мог не вполне понимать, какие сведения о его местоположении собираются, как долго они сохраняются и для каких целей впоследствии используются.

Отдельное внимание было уделено применению геоданных в рекламных механизмах. Заместитель комиссара DPC Грэм Дойл отметил, что недостаток понятной информации ограничивал возможность пользователей самостоятельно контролировать использование своих персональных данных.

Вопросы возникли и к срокам хранения геоданных

Претензии европейского регулятора касались не только самого процесса сбора информации, но и продолжительности её хранения.

DPC посчитала, что данные о перемещениях могли сохраняться дольше, чем это было необходимо для заявленных целей обработки. Чем продолжительнее хранится подробная история местоположений, тем больше информации о перемещениях и привычках человека потенциально оказывается сосредоточено в сервисах компании.

В контексте GDPR это имеет особое значение, поскольку организации должны не только иметь законные основания для обработки персональных данных, но и соблюдать принципы минимизации информации и ограничения сроков её хранения.

Google утверждает, что спорные практики уже изменены

Google в ответ на решение регулятора подчеркнула, что расследование относится к практикам прошлых лет, а механизмы управления геолокацией с того времени были существенно переработаны.

Компания заявляет, что начала внедрять дополнительные инструменты контроля информации о местоположении ещё в 2019 году. В дальнейшем пользователям предоставили возможность автоматически удалять накопленные сведения.

Изменился и принцип работы истории перемещений в Google Maps. Функция, ранее известная как Location History, теперь представлена в виде «Хронологии». Данные такой истории могут храниться непосредственно на устройстве пользователя, а система предусматривает автоматическое удаление старой информации.

Google также уточняет, что в Web & App Activity сейчас может сохраняться приблизительная информация о местоположении вместо точных координат.

Штраф составил €403 млн

По совокупности выявленных нарушений ирландский регулятор назначил Google штраф в размере €403 млн.

Ирландская DPC играет важную роль в применении европейского законодательства о защите персональных данных к крупным международным технологическим компаниям, чьи европейские подразделения находятся в Ирландии.

В данном случае расследование заняло несколько лет: оно было начато в 2020 году и охватывало практики, применявшиеся ещё с 2018 года. Поэтому решение регулятора не следует воспринимать как описание всех действующих сегодня механизмов Google по работе с геолокацией.

Настройки геолокации за несколько лет заметно изменились

За прошедшее время Google действительно переработала ряд функций, связанных с местоположением. Пользователям стали доступны автоматическое удаление накопленной информации и более подробное управление отдельными категориями активности.

Компания также перенесла хранение данных «Хронологии Google Карт» на устройства пользователей и изменила стандартные сроки хранения такой информации.

Однако решение DPC касается конкретного исторического периода и того, соответствовали ли применявшиеся тогда методы требованиям GDPR. Последующие изменения сервисов сами по себе не отменяют ответственности за нарушения, которые регулятор установил в ходе проверки.

Штраф в €403 млн в очередной раз показывает, насколько чувствительной темой для европейских регуляторов остаются геолокационные данные. Информация о перемещениях способна многое рассказать о повседневной жизни человека, поэтому от технологических компаний требуют максимально понятно объяснять, какие сведения собираются, зачем они нужны и как пользователь может контролировать их хранение и использование.