💻 Дело Rodriguez v. Google LLC: в поиске подхода к политикам конфиденциальности

Расскажу об интересном кейсе, о котором узнал на конференции King & Spalding.

Пользователи Android и не-Android устройств подали групповой иск против компании Google. Истцы утверждали, что компания систематически собирает данные об их активности в приложениях, не имеющих отношения к компании Google (например, данные об истории поиска, местоположении, взаимодействии с рекламными объявлениями) – даже в тех случаях, когда настройки конфиденциальности (Web & App Activity / supplemental Web & App Activity, WAA / (s)WAA) исключали сбор информации.

Сбор данных осуществлялся посредством инструментов Google Analytics for Firebase (GA4F) и Google Mobile Ads SDK, которые были интегрированы в сторонние предложения. Истцы заявили, что это не соответствовало представлению пользователей о конфиденциальности, т.к. Google заявляла, что отключение WAA / (s)WAA не допускает сохранение данных в акаунте пользователей.

Истцы заявили о следующих нарушениях:
▪️Нарушение конфиденциальности: Google собирал данные через псевдонимные идентификаторы (ADID/IDFA), которые теоретически позволяли связывать информацию с конкретными устройствами и пользователями, несмотря на отключение WAA / (s)WAA,
▪️Вторжение в частную жизнь: Google получал доступ к информации об активности пользователей в сторонних приложениях и без явного согласия этих пользователей,
▪️Нарушение правил Акта Калифорнии о доступе к компьютерным данным и мошеннических действиях (The California Comprehensive Computer Data Access and Fraud Act, CDAFA) в части незаконного сбора и использования данных.

Ответчик привел следующие возражения:
▪️Данные, собранные при отключенных настройках WAA / (s)WAA, являются псевдонимными (не содержат идентификаторов Google-аккаунтов, таких как GAIA ID), используются исключительно для аналитики и оказания рекламных услуг разработчикам приложений – соответственно, нарушения конфиденциальности нет,
▪️Добросовестность раскрытия информации: в соответствии с Политикой конфиденциальности Google настройки WAA / (s)WAA применимы только к сохранению данных в аккаунт пользователя, но не к общему сбору информации.

В январе 2025 г. суд отказал Google в ходатайстве о вынесении окончательного решения и постановил, что вопросы факта требуют рассмотрения в ходе судебного разбирательства. В частности, необходимо исследовать вопросы:
🔺Является ли сбор данных при отключенных WAA / sWAA введением пользователей в заблуждение,
🔺Можно ли считать псевдонимные идентификаторы (ADID / IDFA) персональными данными по смыслу калифорнийского законодательства.

Суд сертифицировал четыре класса истцов, включая пользователей Android и не-Android устройств, чьи данные собирались через Firebase / GMA SDK в период с 2016 по 2024 гг.

По состоянию на май 2025 г. дело не завершено и переходит на этап подготовки к судебному разбирательству. Google обязана уведомить потенциальных участников всех групп через сервис Google Workspace.

Дело является потенциально значимым для аналогичных дел, охватывающих вопросы сбора данных и конфиденциальности:
✔ значимым может стать ответ на вопрос о том, насколько пользователи могут доверять настройкам конфиденциальности в цифровых сервисах,
✔ решение может создать прецедент для индустрии Big Tech, привести к масштабному обновлению политик конфиденциальности других компаний (в т.ч. скрытых настроек),
✔ решение вопроса о природе псевдонимных данных может привести к расширительному толкованию правил о конфиденциальности,
✔ решение по делу может задать новый стандарт ясности в формулировках пользовательских соглашений.

Напомню, что в 2020 г. сходный групповой иск был предъявлен к Google в связи с тем, что компания собирала данный, несмотря на активацию настройки "инкогнито" в браузере Google Chrome. По итогам рассмотрения дела Google обязалась удалить миллионы записей о пользовательской активности, однако денежной компенсации в рамках того группового иска члены группы не получили.

#обзор #кейс