Google heeft een boete van € 403 miljoen gekregen wegens het overtreden van de EU-wetgeving inzake gegevensbescherming, de AVG, in de manier waarop drie van zijn functies tussen mei 2018 en februari 2020 de locatiegegevens van mensen verwerkten.
De Ierse Data Protection Commission (DPC), de belangrijkste toezichthouder van Google in de EU, heeft het bedrijf ook opgedragen zijn verwerking binnen zes maanden in overeenstemming te brengen met de wet. De DPC heeft niet publiekelijk gezegd welke verwerking de order omvat, en zegt dat het volledige besluit later zal worden gepubliceerd.
De drie functies zijn Web- en app-activiteit, Locatiegeschiedenis en Locatienauwkeurigheid.
Web- en app-activiteit is een Google-accountinstelling waarmee Google, indien ingeschakeld, gegevens kan verwerken over de activiteit van een gebruiker op zijn sites en in zijn apps. Die gegevens kunnen de locatie omvatten. Locatiegeschiedenis, waarvoor gebruikers zich moeten aanmelden, houdt bij waar ze naartoe gaan met hun ingelogde mobiele apparaten, zelfs als ze geen Google-service gebruiken.
In beide gevallen oordeelde de DPC dat Google de regels van de AVG inzake wettige en eerlijke verwerking en transparantie had geschonden en dat het locatiegegevens langer bewaarde dan nodig was.
Locatienauwkeurigheid is een Android-functie die de locatie van een apparaat nauwkeuriger bepaalt dan alleen GPS, en is beschikbaar voor Android-gebruikers met of zonder een Google-account. De bevindingen van de DPC voor deze functie zijn beperkter.
Google heeft de transparantieregels en de aansprakelijkheidsregels van de AVG overtreden omdat zij niet kon aantonen dat deze verwerking rechtmatig, eerlijk en transparant was.
DPC-adjunct-commissaris Graham Doyle zei dat deze mislukkingen ertoe leidden dat mensen zich er niet van bewust waren dat hun locatie bijvoorbeeld werd gebruikt om hen te beïnvloeden met advertenties of om hun interesses af te leiden. Ze konden ook de controle over hun persoonlijke gegevens verliezen, en het zo lang bewaren ervan maakte dat nog erger.
Met € 403 miljoen is de boete de vierde hoogste die de DPC heeft opgelegd. Deze kan nog niet worden geïnd, omdat een DPC-boete pas opeisbaar wordt nadat een Ierse rechtbank deze heeft bevestigd. Google kan binnen 28 dagen na ontvangst van de formele kennisgeving van de beslissing in beroep gaan bij het Hooggerechtshof.
In een verklaring van Associated Press zegt Google dat de zaak “draait rond historisch beleid dat sindsdien is bijgewerkt” en dat het zijn praktijken sinds 2019 aanzienlijk heeft veranderd.
In mei 2019, tijdens de periode die de DPC onderzocht, kondigde Google opties voor automatische verwijdering aan voor Locatiegeschiedenis en Web- en app-activiteit. Ze laten gebruikers toe om die gegevens automatisch na 3 of 18 maanden te laten verwijderen. In juni 2020 heeft Google automatisch verwijderen van 18 maanden ingesteld als standaard voor Web- en app-activiteit op nieuwe accounts en voor iedereen die Locatiegeschiedenis voor het eerst inschakelt.
In december 2023 kondigde Google aan dat Timeline, de Google Maps-functie die locatiegeschiedenis op een kaart toont, de gegevens op de apparaten van gebruikers zou bewaren. Automatisch verwijderen zou ook standaard drie maanden duren voor iedereen die Locatiegeschiedenis voor de eerste keer inschakelt.
De DPC heeft niet publiekelijk gezegd of deze wijzigingen voldoende zijn om aan haar bevel te voldoen.
De DPC opende haar onderzoek in februari 2020 na klachten van Europese consumentengroepen, waaronder BEUC, de Europese Consumentenorganisatie. De ledengroepen van BEUC hadden de klachten in november 2018 ingediend bij de nationale gegevensbeschermingsautoriteiten. De periode die de DPC onderzocht, eindigt op 4 februari 2020, de dag waarop zij het onderzoek aankondigde.
De beslissing kwam ruim 6,5 jaar nadat het onderzoek was geopend. In commentaren gerapporteerd door NewsIreland.EU verwelkomde BEUC-directeur-generaal Agustín Reyna het, maar bekritiseerde hij hoe lang het duurde. ‘Laat handhaven kan net zo schadelijk zijn als helemaal geen handhaving’, zei hij.
