Irska Komisija za zaštitu podataka izrekla je Googleu kaznu od 403 miliona evra zbog nezakonitog prikupljanja i obrade podataka o lokaciji korisnika Androida, saopštila je komisija. Prema PPC Land, odluka se oslanja na argumente koje su potrošačke organizacije iznele još u novembru 2018. Tada su grupe iz sedam evropskih zemalja optužile kompaniju da korisnike Androida navodi da dele podatke o kretanju, a te podatke koristi za ciljano oglašavanje bez valjane pravne osnove. Google sada ima šest meseci da promeni način na koji obrađuje ove podatke.
Odluka ima praktične posledice za svakog ko u Evropi ima Google nalog ili Android telefon, ali i za oglašivače koji koriste Googleovo ciljanje zasnovano na lokaciji. Irski regulator još nije objavio potpuno obrazloženje odluke, pa nije moguće precizno utvrditi koje je od prvobitnih tvrdnji usvojio, a koje je proširio ili odbacio.
Ukratko: kazna od 403 miliona evra za nezakonito praćenje lokacije
- Izvor i tajming: Irska Komisija za zaštitu podataka donela je odluku zasnovanu na pritužbama sedam evropskih potrošačkih organizacija iz novembra 2018; istraga je zvanično otvorena 4. februara 2020, a odluka je objavljena 2.855 dana nakon što su pritužbe postale javne.
- Suština povrede: Regulator je utvrdio da je Google prekršio zahteve o zakonitosti i poštenju u obradi podataka o lokaciji kroz podešavanja Location History i Web & App Activity.
- Tehničko pozadinsko prikupljanje: Pored GPS koordinata, podešavanje Location History pasivno je beležilo atmosferski pritisak kao zamenu za nadmorsku visinu, obližnje Wi-Fi mreže, Bluetooth odašiljače i nivo napunjenosti baterije, a ti podaci nikad nisu bili prikazani korisnicima.
- Tržišni kontekst: Google Ireland Limited postala je kontrolor podataka za korisnike u Evropskom ekonomskom prostoru tek 22. januara 2019, više od godinu dana nakon što je sporni period počeo da teče od 25. maja 2018, što otvara pitanje atribucije odgovornosti za ranije mesece.
Šta su potrošačke organizacije prijavile
Potrošačke organizacije iz sedam evropskih zemalja prijavile su 27. novembra 2018. da Google navodi korisnike Androida da aktiviraju praćenje lokacije, a potom te podatke koristi za oglašavanje i van Googleovih servisa, na sajtovima i u aplikacijama trećih strana. Organizacije koje su podnele pritužbe bile su norveški Forbrukerrådet, holandski Consumentenbond, grčki Ekpizo, češki dTest, slovenački Zveza Potrošnikov Slovenije, poljski Federacija Konsumentów i švedski Sveriges Konsumenter.
Centralni argument ticao se kvaliteta pristanka. Prema GDPR-u, pristanak mora biti slobodan, specifičan, informisan i nedvosmislen. Organizacije su tvrdile da nijedan od ova četiri uslova nije bio ispunjen. Najkonkretnija zamerka bila je brojna: korisnik koji je odbio Location History tokom podešavanja telefona morao je to da učini najmanje četiri puta – u Google Assistantu, Google Mapsu, Google Search aplikaciji i Google Fotografijama. Podešavanje Location Accuracy, treći element koji se pojavljuje u današnjoj odluci regulatora, uopšte nije pomenuto u originalnim pritužbama.
Pored toga, organizacije su ukazale na problem vezivanja funkcija. Korisnik koji je hteo samo da mu fotografije budu grupisane po mestu snimanja morao je da aktivira Location History u celosti, uključujući sve reklamne namene. Slična situacija bila je i sa aktivacijom Google Assistanta. Googleova praksa prikupljanja podataka za reklamne svrhe odavno je predmet regulatornih analiza u Evropi, a ovaj slučaj donosi prvi konkretan nalaz vezan za podatke o lokaciji.
Kako je istraga tekla i zašto je trajala skoro osam godina
Irska komisija zvanično je otvorila istragu 4. februara 2020, što znači 434 dana nakon što su pritužbe postale javne. Predmet je dospeo do irskog regulatora zbog GDPR mehanizma jedne tačke kontakta. Kada je Google Ireland Limited 22. januara 2019. preuzela ulogu kontrolora podataka za korisnike u Evropskom ekonomskom prostoru, sve prekogranične pritužbe o Googleovoj obradi podataka u EEA počele su da se usmeravaju prema Dablinu.
Vremenski okvir istrage ima i jednu nerazjašnjenu pravnu prazninu. Istraga obuhvata period koji počinje od 25. maja 2018, dakle 242 dana pre nego što je Google Ireland Limited zvanično postala kontrolor podataka. Odluka je upućena toj kompaniji, ali regulator u saopštenju nije objasnio kako se obrada iz ranijih meseci pripisuje subjektu koji tada još nije bio odgovoran. Odgovor se očekuje u punom obrazloženju koje Komisija najavljuje.
Sporosti postupka prethodila je i javna kritika. Kada je Evropska potrošačka organizacija BEUC u novembru 2020. objavila izveštaj o preprekama u prekograničnoj primeni GDPR-a, pritužbe o praćenju lokacije bile su i dalje nerešene, pune dve godine od podnošenja. Između prvog javnog saopštenja organizacija i današnje odluke proteklo je 2.855 dana.
Šta odluka znači za oglašivače
Kazna od 403 miliona evra nije samo sankcija prema Googleu. Ona postavlja pravni presedan o tome šta se smatra zakonitim prikupljanjem podataka o lokaciji za reklamne svrhe u Evropi. Podaci o lokaciji korisnika jedan su od najvažnijih signala u digitalnom oglašavanju jer omogućavaju ciljanje na osnovu mesta boravka, navika kretanja i konteksta kupovine.
Narednih šest meseci Google mora da prilagodi način na koji obrađuje ove podatke. To direktno utiče na svaki reklamni nalog koji koristi lokacijsko ciljanje kroz Googleove platforme. Regulatorni pritisak na digitalne reklamne platforme raste i iz drugih pravaca. Ovaj slučaj pokazuje da GDPR može da donese višestomilionske posledice i za prakse koje su godinama bile deo standardnih podešavanja uređaja. Oglašivači koji u Evropi planiraju kampanje zasnovane na lokaciji treba da prate kako će Google implementirati promene, jer bi nova ograničenja mogla da utiču na dostupnost i preciznost tih signala. Promene u Googleovim reklamnim API-jima već su ranije najavile da kompanija prilagođava svoju infrastrukturu regulatornim zahtevima, a ova odluka taj proces dodatno ubrzava.
Sedam godina postupka otkriva sistemski problem u primeni GDPR-a
Slučaj koji je trajao skoro osam godina otkriva strukturni problem evropskog sistema zaštite podataka. Mehanizam jedne tačke kontakta osmišljen je radi efikasnosti, ali je u praksi stvorio usko grlo. Irska komisija vodi veliki broj postupaka protiv tehnoloških kompanija koje su, ne slučajno, smestile svoja evropska sedišta upravo u Dablinu.
Istovremeno, materijalni nalaz regulatora potvrđuje nešto što potrošačke organizacije tvrde godinama: podrazumevana podešavanja i arhitektura korisničkog interfejsa mogu biti jednako moćan alat za prikupljanje podataka kao i eksplicitni zahtev za pristanak. Kada korisnik mora da odbije neku opciju četiri puta na četiri različita mesta, pitanje slobodnog pristanka postaje retoričko. Ovakav nalaz mogao bi da postane referentna tačka u budućim postupcima koji se tiču dizajna podešavanja privatnosti – ne samo za Google, nego i za druge kompanije koje grade mobilne ekosisteme.
Česta pitanja
Kolika je kazna koja je izrečena Googleu i zašto?
Irska Komisija za zaštitu podataka izrekla je kaznu od 403 miliona evra zbog nezakonitog prikupljanja podataka o lokaciji korisnika Androida kroz podešavanja Location History i Web & App Activity, koji su korišćeni za ciljano oglašavanje bez valjane pravne osnove.
Da li ova odluka utiče na korisnike u Srbiji?
Srbija nije članica EU i nije deo Evropskog ekonomskog prostora, pa se odluka irskog regulatora formalno ne primenjuje ovde. Ipak, Google najčešće implementira promene u obradi podataka na globalnom nivou, tako da bi korisnički interfejs i podešavanja lokacije mogli da se promene i na uređajima u Srbiji.
Šta Google mora da uradi i do kada?
Google ima šest meseci da promeni način na koji obrađuje podatke o lokaciji. Potpuno obrazloženje odluke, koje će precizirati koje konkretne promene se zahtevaju, irski regulator još nije objavio.
