Google is door de Ierse Data Protection Commission (DPC) beboet met €403 miljoen vanwege de omgang met locatiegegevens van gebruikers. De toezichthouder vond meerdere overtredingen van de AVG met betrekking tot de manier waarop Google locatiegegevens verwerkte, uitlegde en bewaarde die via verschillende van zijn diensten was verzameld.
Het onderzoek omvatte de werkwijzen van Google tussen 25 mei 2018 en 4 februari 2020. Het onderzocht drie functies die locatiegegevens kunnen verwerken: Web & App-activiteit, Locatiegeschiedenis en Locatienauwkeurigheid.
De Ierse DPC is in februari 2020 haar onderzoek gestart na klachten van Europese consumentenorganisaties. Omdat het Europese hoofdkantoor van Google in Ierland is gevestigd, fungeert de Ierse autoriteit als de belangrijkste toezichthouder van het bedrijf voor veel grensoverschrijdende gegevensbeschermingszaken binnen de Europese Unie.
De toezichthouder identificeerde problemen met de wettigheid en eerlijkheid van Google’s verwerking via Web & App Activity en Location History. Ook werd vastgesteld dat Google niet had aangetoond dat Google voldoet aan de GDPR-vereisten met betrekking tot persoonsgegevens die via Location Accuracy worden verwerkt.
Transparantie was een ander centraal punt. Volgens de DPC gaf Google gebruikers niet voldoende duidelijke informatie over hoe locatiegegevens werden verwerkt tussen de drie diensten. Toezichthouders concludeerden ook dat sommige informatie verzameld via Web & App Activity en Location History langer werd bewaard dan nodig.
Locatie-informatie kan bijzonder gevoelig zijn omdat herhaalde registraties van iemands bewegingen vaak bezochte locaties, routines en interesses kunnen onthullen. De DPC zei dat de praktijken van Google mensen onbewust kunnen hebben gemaakt dat hun locatiegegevens mogelijk worden gebruikt om interesses af te leiden of de advertenties die ze werden getoond te beïnvloeden.
De drie Google-functies die in het onderzoek worden behandeld, dienen verschillende doelen. Web & App Activiteit kan activiteit opslaan binnen Google-diensten, terwijl Locatiegeschiedenis plaatsen en routes die aan een gebruiker gekoppeld zijn vastlegt en deze kan weergeven via de Google Maps Timeline. Locatienauwkeurigheid gebruikt signalen van meerdere bronnen om de positionering op Android-apparaten te verbeteren.
Google betwist het belang van de bevindingen voor zijn huidige diensten. Het bedrijf zegt dat de zaak betrekking heeft op historische praktijken die sindsdien zijn veranderd, en wijst op maatregelen die de afgelopen jaren zijn ingevoerd, zoals automatische verwijderingsopties, extra privacycontroles en duidelijkere informatie over locatiegegevens.
Google is van plan in beroep te gaan tegen de beslissing, wat betekent dat het geschil via de rechtbank kan worden voortgezet. Naast de boete van €403 miljoen heeft de DPC het bedrijf opgedragen de getroffen verwerking binnen zes maanden in overeenstemming te brengen met de AVG-vereisten.
De toezichthouder heeft de volledige beslissing nog niet gepubliceerd. Een uitgebreidere uitleg van haar bevindingen en de specifieke nalevingsmaatregelen die van Google worden vereist, wordt verwacht wanneer de definitieve uitspraak openbaar wordt gemaakt.