Ирландский регулятор DPC оштрафовал Google на 403 млн евро за нарушения GDPR при обработке данных о местоположении пользователей Android и сервисов компании. Расследование велось больше 6 лет и охватило работу сразу трёх систем, в частности Web & App Activity, Location History и Location Accuracy. Google дали 6 месяцев на то, чтобы привести все процессы в порядок.
Жалобы поступили ещё в феврале 2020 года от нескольких европейских организаций по защите прав потребителей, среди которых была European Consumer Organisation. DPC разбирала период с 25 мая 2018 года по 4 февраля 2020 года, ведь в этот день в ЕС вступил в силу GDPR. Три системы работали совершенно по-разному, и регулятору пришлось разбираться в каждой отдельно:
▫️Web & App Activity собирала данные о поисковых запросах, посещённых сайтах и местоположении в зависимости от настроек аккаунта;
▫️Location History фиксировала перемещения совместимых устройств и строила Timeline с маршрутами и посещёнными местами;
▫️Location Accuracy уточняла координаты Android-устройства за счёт Wi-Fi, датчиков и сотовых вышек, а не только GPS, и работала даже без аккаунта Google.
Регулятор пришёл к выводу, что Google нарушила сразу несколько принципов GDPR. Web & App Activity и Location History не соответствовали требованиям законности и справедливости обработки данных о местоположении. Location Accuracy, по мнению DPC, не подтвердила соответствие ни законности, ни справедливости, ни прозрачности.
Пользователь мог годами листать настройки телефона и не подозревать, какой объём информации о его перемещениях копится в дата-центрах Google. DPC прямо указала, что людям не объясняли, какие данные собираются, зачем они нужны и как влияют на дальнейшую работу сервисов.
Отмечается, что геоданные способны рассказать о человеке куда больше, чем просто точка на карте, ведь они выдают привычки, маршруты и даже круг общения.
DPC отдельно обратила внимание на возможное использование геоданных для рекламы и профилирования интересов пользователей. Компания, по выводам расследования, хранила часть данных о местоположении дольше необходимого срока, а чем дольше живёт подробная база маршрутов человека, тем больше выводов из неё можно вытащить.
Из связки геометок и другой активности аккаунта вполне реально собрать подробный цифровой портрет человека:
▫️где он живёт и работает;
▫️какие места посещает регулярно, от спортзала до кафе;
▫️по каким маршрутам передвигается в течение дня;
▫️с кем пересекается часто, если сопоставить локации нескольких аккаунтов.
Штраф в 403 млн евро стал четвёртым по размеру за годы работы ирландского DPC в статусе ведущего регулятора для крупных техкомпаний, зарегистрированных в Ирландии. Суммарно ведомство уже назначило больше 4 млрд евро штрафов по GDPR. У DPC на руках ещё 3 отдельных расследования в отношении Google, и все они уже на продвинутом этапе. Что там под капотом, регулятор пока не раскрывает.
Заместитель комиссара ирландского DPC Грэм Дойл отметил, что геоданные заметно повышают удобство цифровых сервисов, но одновременно раскрывают немало деталей о частной жизни человека. Он также отметил, что недостаточная прозрачность могла привести к потере контроля над собственными данными, а долгие сроки хранения только усиливали эту проблему.
В 2025 году ирландские журналисты купили у брокера данных набор геометок и восстановили маршруты сотен людей почти в реальном времени, просто сопоставив точки с картой города.
Проверить, что конкретно Google знает о перемещениях, можно за пару минут в настройках аккаунта:
▫️в разделе Location History можно посмотреть и удалить сохранённый Timeline;
▫️в настройках Web & App Activity доступно отключение сбора поисковых запросов и геометок;
▫️Location Accuracy можно выключить отдельно от основной геолокации в системных настройках Android;
▫️автоматическое удаление данных настраивается на срок от 3 до 36 месяцев.
🔗 Другие новости про хакеров, мошенников, утечки, ИБ, ИИ и ИТ можно прочитать здесь.
📤 Подписывайтесь на CISOCLUB в MAX