Dlaczego Google właśnie straciło 403 mln euro przez Twoją historię lokalizacji

Większość z nas traktuje swoje smartfony jak zaufanych towarzyszy, którzy pozostają w naszej kieszeni od rana do nocy. Rzadko myślimy o niewidzialnym szlaku cyfrowych okruchów, które zostawiamy za sobą, dojeżdżając do pracy, odwiedzając lekarza czy spotykając się z przyjacielem w kawiarni. Jednak te okruchy to coś więcej niż tylko techniczne pozostałości. Są one precyzyjną mapą naszego prywatnego życia. W świetle prawa mapa ta jest własnością chronioną.

Irlandzka Komisja Ochrony Danych (DPC) zakończyła niedawno sześcioletnie dochodzenie w sprawie tego, jak Google zarządzało tą mapą. Wynikiem jest grzywna w wysokości 403 mln euro. Kara ta dotyczy sposobu, w jaki Google śledziło i przechowywało dane o lokalizacji użytkowników w latach 2018–2020. Dla przeciętnego człowieka sprawa ta nie dotyczy tylko ogromnej sumy pieniędzy przelewanej z jednego korporacyjnego bilansu na konto regulatora. Jest to fundamentalne potwierdzenie, że Twój cyfrowy cień należy do Ciebie, a nie do firmy dostarczającej system operacyjny.

Długa droga do werdyktu po sześciu latach

Batalie prawne z udziałem gigantów technologicznych toczą się w tempie, które często wydaje się ślimacze. To konkretne dochodzenie rozpoczęło się w lutym 2020 roku. DPC podjęła działania w odpowiedzi na formalne skargi grup praw konsumentów, w tym Europejskiej Organizacji Konsumenckiej (BEUC). Grupy te argumentowały, że Google utrudniało użytkownikom zrozumienie, w jaki sposób wykorzystywane są ich dane lokalizacyjne.

Śledczy przyjrzeli się trzem konkretnym funkcjom: Aktywność w internecie i aplikacjach, Historia lokalizacji oraz Dokładność lokalizacji. Dochodzenie objęło okres od maja 2018 roku, kiedy to zaczęło obowiązywać Ogólne Rozporządzenie o Ochronie Danych (RODO). Ten moment jest istotny, ponieważ RODO stawia wysoko poprzeczkę w kwestii tego, jak firmy muszą prosić o zgodę na wykorzystanie danych osobowych.

Prawo jest tarczą, która chroni Cię przed śledzeniem bez Twojej wyraźnej, świadomej zgody. Gdy firma nie zachowuje przejrzystości w kwestii śledzenia, tarcza ta pęka. DPC stwierdziła, że praktyki Google w tamtych latach pozostawiały użytkowników w niepewności co do tego, gdzie trafiały ich dane i jak długo tam pozostawały.

Analiza trzech funkcji śledzenia

Aby zrozumieć, dlaczego Google ponosi odpowiedzialność za tak wysoką grzywnę, musimy przyjrzeć się konkretnym narzędziom, które badała DPC.

Po pierwsze, Aktywność w internecie i aplikacjach to ustawienie, które zapisuje Twoją aktywność w witrynach i aplikacjach Google. Obejmuje to takie rzeczy, jak wyszukiwania i lokalizację. Po drugie, Historia lokalizacji tworzy osobistą mapę miejsc, do których udajesz się z zalogowanymi urządzeniami. Po trzecie, Dokładność lokalizacji wykorzystuje sygnały takie jak Wi-Fi i sieci komórkowe, aby uzyskać bardziej precyzyjne określenie pozycji urządzenia.

Regulatorzy stwierdzili, że Google nie przetwarzało tych danych w sposób zgodny z prawem i rzetelny. Mówiąc prościej, firma nie miała ważnej podstawy prawnej do gromadzenia danych w taki sposób, w jaki to robiła. DPC odnotowała również brak przejrzystości w funkcji Dokładność lokalizacji. Gdy system nie jest przejrzysty, prawo postrzega go jako pułapkę. Użytkownicy myślą, że zgadzają się na jedną rzecz, podczas gdy system w rzeczywistości robi coś znacznie bardziej inwazyjnego.

Niebezpieczeństwo cyfrowego cienia

Zastępca komisarza Graham Doyle zauważył, że dane lokalizacyjne są wyjątkowo wrażliwe. Nawet jeśli Google nie używa bezpośrednio Twojego imienia i nazwiska, Twoja historia lokalizacji może ujawnić Twoją religię, poglądy polityczne lub stan zdrowia. Jeśli w każdy wtorek odwiedzasz konkretną klinikę, komputer może wywnioskować Twój stan zdrowia, nawet jeśli nigdy nie wpisałeś zapytania na ten temat w wyszukiwarkę.

Z powodu tych uchybień wiele osób nie było świadomych, że ich lokalizacja wpływała na reklamy, które widzieli. Nie zdawali sobie sprawy, że Google wykorzystywało ich fizyczne przemieszczanie się do wnioskowania o ich osobistych zainteresowaniach. Skutkowało to całkowitą utratą kontroli nad danymi osobowymi. Prawo wymaga, abyś pozostał panem swoich informacji. Kiedy firma ukrywa przełączniki lub używa mylącego języka, tracisz tę kontrolę.

Dlaczego zbyt długie przechowywanie danych to ryzyko prawne

Jedno z najważniejszych ustaleń w tej sprawie dotyczy retencji danych. DPC stwierdziła, że Google przechowywało dane lokalizacyjne dłużej, niż było to konieczne do świadczenia usług. Zgodnie z RODO obowiązuje zasada minimalizacji danych. Oznacza to, że firma powinna zbierać tylko to, czego potrzebuje, i usuwać to, gdy tylko cel zostanie osiągnięty.

Pomyśl o swoich danych jak o dziurawym wiadrze. Jeśli firma trzyma wiadro pełne przez lata, ryzyko wycieku lub niewłaściwego użycia rośnie z każdym dniem. DPC ustaliła, że nawyk Google polegający na przechowywaniu tej historii przez dłuższy czas pogłębił utratę kontroli przez użytkowników. Firma nie może po prostu gromadzić Twoich ruchów w nieskończoność tylko dlatego, że mogą one być przydatne dla ich algorytmów reklamowych w przyszłości. Wymóg ustawowy jest jasny: jeśli dane nie są już potrzebne do pierwotnego zadania, muszą zostać usunięte.

Sześciomiesięczne odliczanie do zapewnienia zgodności

Grzywna ta jest potężnym ciosem, ale DPC nie poprzestała na karze finansowej. Regulator wydał wiążący nakaz, aby Google dostosowało swoje praktyki przetwarzania danych do przepisów w ciągu sześciu miesięcy. Oznacza to, że Google musi przeredagować swoje wewnętrzne zasady i zmienić sposób prezentowania wyborów dotyczących prywatności użytkownikom w całej Europie.

Decyzja ta zapadła po współpracy z innymi organami ochrony prywatności w całej Unii Europejskiej. Ponieważ Google ma swoją europejską siedzibę w Dublinie, irlandzka DPC działa jako wiodący organ nadzorczy. Był to jednak wspólny wysiłek, aby zapewnić, że zasady są takie same bez względu na to, czy jesteś w Paryżu, Berlinie czy Dublinie. Systemowy charakter tych naruszeń wymagał kompleksowej odpowiedzi, która zmusi firmę do zmiany zachowania, a nie tylko do zapłacenia kary i kontynuowania działań jak dotychczas.

Co to oznacza dla Twoich praw do prywatności

Ta sprawa stanowi silny precedens dla praw konsumentów. Dowodzi, że ustawienia „standardowe” nie zawsze są ustawieniami legalnymi. To, że firma działa w określony sposób od lat, nie oznacza, że jej praktyki są sprawiedliwe lub zgodne z prawem.

W kontekście regulacyjnym grzywna ta jest częścią większego trendu. Organy nadzorcze w Brukseli i krajowe organy regulacyjne nie wahają się już nakładać kar sięgających setek milionów. Patrzą poza standardowy język polityk prywatności, aby zobaczyć, jak oprogramowanie faktycznie funkcjonuje w praktyce.

Dla przeciętnego człowieka jest to przypomnienie o konieczności sprawdzania ustawień. Masz prawo wiedzieć dokładnie, co jest śledzone. Jeśli masz wrażenie, że usługa wie zbyt wiele o Twojej codziennej rutynie, może to oznaczać, że firma przesuwa granice tego, na co pozwala prawo.

Jak chronić swoje dane lokalizacyjne już dziś

Nie potrzebujesz stopnia naukowego z prawa, aby przejąć kontrolę nad swoją cyfrową prywatnością. Podczas gdy regulatorzy zajmują się dużymi zmianami korporacyjnymi, Ty możesz podjąć natychmiastowe kroki w celu zabezpieczenia własnych urządzeń.

1. Przejrzyj ustawienia swojego konta Google i poszukaj konkretnie karty „Dane i prywatność”.
2. Sprawdź „Zarządzanie aktywnością” i zobacz, czy funkcja Aktywność w internecie i aplikacjach jest włączona.
3. Przyjrzyj się opcjom „Automatycznego usuwania”. Możesz ustawić Google tak, aby automatycznie usuwało dane o lokalizacji i aktywności po trzech lub 18 miesiącach.
4. Przeprowadź audyt uprawnień do lokalizacji dla każdej aplikacji w telefonie. Wiele aplikacji prosi o dostęp do lokalizacji, nawet gdy nie jest on potrzebny do ich działania.
5. Użyj funkcji „Poproś aplikację o nieśledzenie”, jeśli korzystasz z iPhone'a, lub ustawienia „Przybliżona lokalizacja” w systemie Android, aby ograniczyć szczegółowość danych otrzymywanych przez firmę.

Ostatecznie prawo jest tak silne, jak jego egzekwowanie. Grzywna w wysokości 403 mln euro służy jako wyraźne ostrzeżenie dla branży technologicznej. Przypomina każdemu dostawcy usług, że przejrzystość jest wymogiem, a nie sugestią. Jako konsument, Twoim najpotężniejszym narzędziem jest świadomość. Gdy zauważysz, że firma niejasno informuje o Twoich danych, masz prawo zrezygnować z jej usług lub złożyć skargę do lokalnego organu ochrony danych.

Źródła: Ogólne rozporządzenie o ochronie danych (RODO) artykuły 5, 6, 12 i 13; irlandzka ustawa o ochronie danych z 2018 r.; oficjalne zgłoszenia Europejskiej Organizacji Konsumenckiej (BEUC).

Zastrzeżenie: Niniejszy artykuł służy wyłącznie celom informacyjnym i edukacyjnym i nie stanowi formalnej porady prawnej. Prosimy o skonsultowanie się z wykwalifikowanym prawnikiem w swojej jurysdykcji w przypadku konkretnych problemów prawnych lub wątpliwości dotyczących prywatności.