Google z karą 403 mln euro za dane o lokalizacji. Czego uczy ta decyzja

Irlandzka Komisja Ochrony Danych (DPC) zakończyła postępowanie w sprawie przetwarzania danych o lokalizacji przez Google Ireland. Decyzja z 21 września 2026 r. oznacza dla firmy administracyjne kary pieniężne w łącznej wysokości 403 mln euro oraz nakaz dostosowania przetwarzania do RODO w ciągu 6 miesięcy. Informację o decyzji opublikowała Europejska Rada Ochrony Danych (EDPB).

To sprawa wielkiego koncernu, ale zarzuty dotyczą zasad, które obowiązują każdą firmę zbierającą dane osobowe, także właściciela niewielkiego sklepu internetowego.

Skąd wzięło się postępowanie

DPC wszczęła dochodzenie z własnej inicjatywy w lutym 2020 r., jako wiodący organ nadzorczy dla Google w UE. Impulsem były skargi kilku europejskich organizacji konsumenckich, w tym BEUC, czyli europejskiej federacji organizacji konsumentów.

Postępowanie objęło trzy funkcje związane z lokalizacją:

• Web & App Activity, czyli aktywność w internecie i aplikacjach,
• Location History, czyli historię lokalizacji,
• Location Accuracy, czyli funkcję zwiększającą dokładność lokalizacji.

Badany okres to czas od rozpoczęcia stosowania RODO, 25 maja 2018 r., do 4 lutego 2020 r. Decyzja dotyczy więc praktyk sprzed kilku lat, ale kara zapadła dopiero teraz. To przypomnienie, że postępowania w sprawie ochrony danych potrafią trwać latami, a odpowiedzialność za dawne praktyki nie wygasa sama.

Co zarzucono Google

Według streszczenia decyzji opublikowanego przez EDPB organ uznał, że Google naruszył RODO w czterech obszarach:

1. Zgodność z prawem i rzetelność przetwarzania danych o lokalizacji w funkcjach Web & App Activity oraz Location History.
2. Rozliczalność w przypadku Location Accuracy: firma nie była w stanie wykazać, że przetwarzanie było zgodne z prawem, rzetelne i przejrzyste.
3. Przejrzystość we wszystkich trzech funkcjach, czyli sposób informowania użytkowników.
4. Przechowywanie danych o lokalizacji w Web & App Activity oraz Location History.

Podstawą prawną decyzji były art. 5, 6, 12 i 13 RODO: zasady przetwarzania, podstawy prawne, przejrzyste informowanie oraz obowiązek informacyjny przy zbieraniu danych od osoby, której dotyczą.

Lekcja pierwsza: rozliczalność to nie formalność

Zarzut dotyczący Location Accuracy jest szczególnie pouczający. Organ nie stwierdził w tym punkcie wprost, że przetwarzanie było bezprawne. Stwierdził, że firma nie potrafiła wykazać, że było zgodne z prawem. To zasada rozliczalności w praktyce: ciężar dowodu spoczywa na tym, kto dane przetwarza.

Dla Twojej firmy oznacza to, że powinieneś móc w każdej chwili pokazać, jakie dane zbierasz, na jakiej podstawie, komu je przekazujesz i jak długo je trzymasz. Nie chodzi o grube segregatory. Często wystarczy prosty rejestr czynności przetwarzania, notatka z oceną, dlaczego dane narzędzie jest potrzebne, oraz archiwum wersji polityki prywatności. Takie dokumenty tworzy się w kilka godzin, a w razie kontroli albo skargi klienta są pierwszą rzeczą, o którą zapyta urząd. Na stronie internetowej dotyczy to także narzędzi analitycznych i reklamowych. Jeśli używasz ich na podstawie zgody, musisz mieć zapis tej zgody i dowód, że narzędzia nie uruchamiały się przed nią.

Lekcja druga: informacja musi być zrozumiała

Naruszenie przejrzystości objęło wszystkie trzy funkcje. Użytkownik powinien wiedzieć, co się dzieje z jego danymi, zanim podejmie decyzję, a nie dopiero po lekturze kilkunastu stron regulaminu.

W praktyce sprawdź:

• czy polityka prywatności wymienia wszystkie narzędzia, które działają na stronie, i cele, w jakich zbierają dane,
• czy baner zgody opisuje kategorie prostym językiem i pozwala odmówić równie łatwo jak zaakceptować,
• czy informujesz o lokalizacji, jeśli ją wykorzystujesz, na przykład w wyszukiwarce sklepów stacjonarnych, aplikacji mobilnej czy przy personalizacji oferty.

Lekcja trzecia: dane nie mogą leżeć wiecznie

Czwarty zarzut dotyczył przechowywania danych o lokalizacji. Zasada jest prosta: dane trzymasz tylko tak długo, jak są potrzebne do celu, w którym je zebrano. Ustaw konkretne okresy przechowywania w narzędziach analitycznych, w CRM i w bazie klientów. Usuwaj stare zgłoszenia z formularzy, porzucone koszyki i nieaktywne konta według jasno opisanych reguł.

Dane o lokalizacji są szczególnie wrażliwe, bo w połączeniu z czasem mogą zdradzić miejsce zamieszkania, pracy czy zwyczaje danej osoby. Im dłużej je przechowujesz, tym większe ryzyko przy ewentualnym wycieku.

Od czego zacząć

Nie musisz mieć budżetu koncernu, żeby uniknąć błędów, za które ukarano Google. Wystarczy uporządkować podstawy w czterech krokach:

1. Rejestr narzędzi i celów. Spisz wszystkie systemy i skrypty, które zbierają dane: sklep, formularze, analitykę, piksele reklamowe, czat, newsletter. Przy każdym zapisz cel i podstawę prawną.
2. Aktualna polityka prywatności. Porównaj rejestr z tym, co faktycznie piszesz użytkownikom. Każda rozbieżność to potencjalny zarzut braku przejrzystości.
3. Okresy przechowywania. Ustal je dla każdej kategorii danych i skonfiguruj automatyczne usuwanie tam, gdzie to możliwe.
4. Baner, który działa. Narzędzia analityczne i reklamowe powinny ruszać dopiero po zgodzie, a odmowa musi być tak samo prosta jak akceptacja.

Jeśli chcesz sprawdzić, co dziś uruchamia się na Twojej stronie, zanim odwiedzający podejmie decyzję, skorzystaj z naszego Skanera zgody.

Źródło: EDPB

Googlekara RODOlokalizacjarozliczalnośćDPC