Data Protection Commission (DPC) har beslutat om sanktionsavgifter på totalt 403 miljoner euro mot Google Ireland Limited för brister i behandlingen av platsuppgifter i strid med dataskyddsförordningen (GDPR). DPC har även förelagt Google att säkerställa att behandlingen följer GDPR inom sex månader.
Bakgrund
DPC inledde en granskning i februari 2020 efter klagomål från flera europeiska konsumentorganisationer, däribland BEUC, om Googles behandling av platsuppgifter i samband med vissa tjänster och produkter. Granskningen avsåg Googles behandling av platsuppgifter under perioden från den 25 maj 2018, då GDPR började tillämpas, till den 4 februari 2020.
Granskningen omfattade tre funktioner: Web & App Activity, Location History och Location Accuracy. Web & App Activity är en inställning i Google-konton som innebär att Google behandlar information om användarnas aktivitet på Googles tjänster, inklusive webbplatser och appar. Informationen kan bland annat omfatta webbhistorik, sökhistorik och platsuppgifter.
Location History är en tjänst som registrerar användarens plats när användaren har en kompatibel mobil enhet. Funktionen kräver att användaren aktiverar den och kan därefter behandla uppgifter för att bland annat dra slutsatser om besökta platser, aktiviteter och färdvägar mellan olika platser. Location History använder även en funktion som visar en privat karta över var användaren har befunnit sig.
Location Accuracy är en funktion i Android som gör det möjligt för enheten att bestämma sin position med större noggrannhet än genom enbart uppgifter från GPS. Funktionen är tillgänglig för Android-användare oavsett om de har ett Google-konto.
Myndighetens bedömning
DPC bedömde att Google hade behandlat platsuppgifter i strid med kraven på laglighet och korrekthet i samband med Web & App Activity och Location History. Myndigheten konstaterade även brister i Googles ansvarsskyldighet avseende Location Accuracy. Google kunde enligt DPC inte visa att behandlingen av personuppgifter inom denna funktion uppfyllde kraven på laglighet, korrekthet och öppenhet.
DPC konstaterade dessutom brister i öppenheten för samtliga tre funktioner. Myndigheten framhöll att Googles brister innebar att användare kunde vara omedvetna om att deras platsuppgifter användes, exempelvis för att påverka vilken reklam de fick eller för att dra slutsatser om deras intressen. Bristerna kunde därmed påverka användarnas kontroll över sina personuppgifter.
DPC konstaterade även brister när det gäller lagringen av platsuppgifter inom Web & App Activity och Location History. Myndigheten bedömde att användarnas platsuppgifter hade lagrats längre än nödvändigt, vilket enligt DPC ytterligare hade begränsat användarnas kontroll över sina personuppgifter.
Överträdelserna omfattar enligt beslutet artiklarna 5, 6, 12 och 13 GDPR. Bristerna rör bland annat principerna om laglighet, korrekthet och öppenhet, kraven på laglig behandling samt informationsskyldigheten gentemot de registrerade.
DPC beslutade om administrativa sanktionsavgifter på totalt 403 miljoner euro och förelade Google att säkerställa att behandlingen av platsuppgifter följer GDPR inom sex månader. DPC har ännu inte publicerat det fullständiga beslutet, men har uppgett att det kommer att publiceras senare.
Praktiska konsekvenser
Beslutet visar att verksamheter som behandlar platsuppgifter behöver kunna visa att behandlingen har en rättslig grund och sker på ett lagligt, korrekt och öppet sätt. Det är också viktigt att de registrerade får tydlig information om hur platsuppgifter behandlas och vilka konsekvenser behandlingen kan få.
Beslutet understryker även vikten av att verksamheter har kontroll över hur länge platsuppgifter sparas. Personuppgifter får inte lagras längre än vad som är nödvändigt för ändamålet med behandlingen. Verksamheter som använder platsuppgifter bör därför regelbundet se över både sina lagringstider och den information som lämnas till de registrerade.
TechLaw följer utvecklingen och publicerar löpande inlägg om tillsynsärenden, rättsutveckling och andra aktuella frågor på dataskyddsområdet. Läs mer om hur vi bistår våra klienter inom dataskydd och integritet.
Källa: DPC.
