Google krijgt in Ierland boete van €403 miljoen om historische praktijken met locatiegegevens

De Ierse Data Protection Commission maakte op 21 september een boete van €403 miljoen tegen Google bekend wegens historische praktijken rond locatiegegevens. De toezichthouder beval het bedrijf ook om zijn verwerking binnen zes maanden in overeenstemming te brengen met de regels. Het besluit gaat over gegevens die tussen 2018 en 2020 zijn verzameld via Web- en app-activiteit, Locatiegeschiedenis en instellingen voor locatienauwkeurigheid.

Wat het Ierse besluit bestrijkt

De vaststelling van de toezichthouder is een regulatoir besluit, geen onafhankelijke technische benchmark. Zij wijst op tekortkomingen rond rechtmatigheid, behoorlijkheid, transparantie en bewaring onder privacyregels die op locatiegegevens worden toegepast. In praktische zin draait de zaak om de vraag of Googles omgang met locatie-informatie in de onderzochte periode voldeed aan de vereiste normen voor het uitleggen, rechtvaardigen en beperken van die verwerking.

De reikwijdte is van belang omdat het besluit niet wordt gepresenteerd als een oordeel over elk huidig Google-product of elke vorm van locatiegebruik. Het is gekoppeld aan specifieke instellingen en aan een afgebakend historisch tijdvak. Web- en app-activiteit, Locatiegeschiedenis en instellingen voor locatienauwkeurigheid zijn afzonderlijke bedieningselementen, maar ze kunnen allemaal verband houden met de manier waarop een dienst signalen vastlegt of gebruikt over waar iemand is of is geweest.

De zorg van de toezichthouder berust ook op de gevoeligheid van precieze locatie. Precieze locatie kan privé-informatie onthullen, waaronder patronen die kunnen wijzen op interesses, routines of gevoelige plaatsen. Zij kan ook worden gebruikt om interesses af te leiden of reclame te beïnvloeden. Dat betekent niet dat elk locatiesignaal dezelfde gevoeligheid heeft, maar het verklaart waarom bewaring, transparantie en rechtsgrond centrale kwesties zijn in deze zaak.

Wat Google zegt te hebben veranderd

Google zegt dat het besluit betrekking heeft op historische praktijken die sinds 2019 zijn gewijzigd. Het bedrijf verwijst naar opties voor automatisch verwijderen, opslag van Maps-tijdlijn op het apparaat en een groter gebruik van geschatte gebieden. Dat zijn bedrijfsverklaringen over product- en beleidswijzigingen, en ze moeten worden onderscheiden van de vaststelling van de toezichthouder over de eerdere periode.

Opties voor automatisch verwijderen, zoals door Google beschreven, richten zich op bewaring doordat locatiegerelateerde informatie na een bepaalde periode kan worden verwijderd in plaats van voor onbepaalde tijd te worden bewaard. De relevantie voor het Ierse besluit is duidelijk: bewaring was een van de onderdelen waarop de toezichthouder tekortkomingen vaststelde. Het bestaan van een optie voor automatisch verwijderen bewijst op zichzelf echter niet dat de eerdere verwerking rechtmatig, behoorlijk of transparant was.

Opslag van Maps-tijdlijn op het apparaat verandert waar bepaalde informatie uit de locatiegeschiedenis wordt bewaard. Het bewaren van tijdlijngegevens op een apparaat kan de hoeveelheid locatiegeschiedenis die in centrale systemen is opgeslagen verminderen, afhankelijk van hoe een dienst is geconfigureerd. Het besluit van de toezichthouder betreft echter de praktijken tussen 2018 en 2020, en is geen onafhankelijke audit van de werking van elke huidige implementatie. Google verwijst ook naar een groter gebruik van geschatte gebieden. Het onderscheid tussen precieze en geschatte locatie is belangrijk, omdat precieze locatie specifiekere gevolgtrekkingen over iemands leven kan ondersteunen. Geschatte gebieden kunnen de fijnmazigheid verminderen, maar het praktische privacyeffect hangt af van context, doel en bewaring.

Wat de cijfers tonen, en wat niet

Het bedrag van €403 miljoen laat de omvang zien van de administratieve sanctie die de Ierse Data Protection Commission heeft opgelegd. Het wordt gemeld als de op drie na grootste boete die de Ierse toezichthouder heeft opgelegd. Die rangschikking is een maat voor de zwaarte van handhaving binnen het dossier van de toezichthouder; zij is geen meting van hoeveel gebruikers zijn getroffen, hoeveel gegevens zijn verzameld of hoe winstgevend enige verwerking mogelijk is geweest.

Het nalevingsbevel van zes maanden staat los van de geldboete. Het geeft Google een termijn om de relevante verwerking in lijn te brengen met de eisen van de toezichthouder. Het bevel is operationeel van belang omdat het de zaak verder brengt dan een financiële sanctie en naar vereiste wijzigingen of bevestigingen van naleving. De vergelijking met de Verenigde Staten geeft context, maar geen gelijkwaardigheid. In 2022 bereikte Google een schikking van $391,5 miljoen over locatietracking met veertig Amerikaanse staten. Die schikking en de Ierse boete gaan allebei over locatiegerelateerde praktijken, maar ze komen voort uit verschillende rechtsstelsels en procedures.

Ook bewijzen de cijfers niet wat de huidige staat van Googles systemen is. Het Ierse besluit beoordeelt historische praktijken van 2018 tot 2020, terwijl Google zegt dat het sinds 2019 praktijken heeft gewijzigd. De boete toont aan dat de toezichthouder eerdere tekortkomingen ernstig genoeg vond voor een grote sanctie en een nalevingsbevel. Zij vormt op zichzelf geen onafhankelijke technische meting van de huidige locatiebedieningselementen.

Praktische implicaties

Voor Google is de onmiddellijke implicatie regulatoir: het bedrijf wordt geconfronteerd met een boete van €403 miljoen en een verplichting om binnen zes maanden te voldoen. De praktische taak is om de relevante verwerking van locatiegegevens af te stemmen op verwachtingen rond rechtmatigheid, behoorlijkheid, transparantie en bewaring. Omdat het besluit meerdere instellingen betreft, is naleving niet alleen een kwestie van één label of één schakelaar.

Voor gebruikers onderstreept de zaak waarom locatie-instellingen moeilijk te beoordelen kunnen zijn. Web- en app-activiteit, Locatiegeschiedenis en instellingen voor locatienauwkeurigheid kunnen gescheiden klinken, maar elk ervan kan bijdragen aan een beeld van verplaatsing, plaats of nabijheid. Het besluit bevestigt dat duidelijke uitleg en bewaarlimieten geen bijkomstige details zijn; ze staan centraal in hoe mensen begrijpen wat er met hun gegevens gebeurt.

Voor adverteerders en datagedreven diensten is het besluit opnieuw een herinnering dat afgeleide interesses op basis van locatie toezichtsaandacht trekken. De kwestie is niet alleen of locatie relevantie kan verbeteren. Het gaat erom of verzameling, gebruik en opslag voldoen aan de eisen van het privacyrecht, vooral wanneer precieze locatie privé-informatie kan onthullen.

De bredere betekenis is dat historisch productontwerp blootgesteld blijft aan latere handhaving. Googles positie is dat de relevante praktijken zijn gewijzigd, terwijl het besluit van de toezichthouder een sanctie oplegt voor de eerdere periode en een toekomstgerichte nalevingstermijn stelt. De uitkomst bevindt zich daardoor op het snijvlak van vroegere datapraktijken, huidige bedieningselementen en de aanhoudende regulatoire aandacht voor locatie als gevoelig signaal.