De Ierse Data Protection Commission (DPC) heeft Google een boete van €403 miljoen ($463 miljoen) opgelegd vanwege de omgang met locatiegegevens van Android- en Google-accountgebruikers. De toezichthouder concludeerde dat het bedrijf geen wettelijke basis had voor het verwerken van de informatie en gebruikers onvoldoende duidelijkheid gaf over waarmee ze akkoord gingen.

De DPC stelde vast dat Google locatiegegevens niet rechtmatig, eerlijk of transparant verwerkte binnen drie producten: Web & App Activity, Location History en Location Accuracy. De eerste twee kunnen browse- en zoekactiviteit bijhouden, evenals de plaatsen waar het apparaat van een gebruiker eerder is geweest, terwijl Location Accuracy een instelling binnen het Android-besturingssysteem is. De uitspraak draait om een van de kerneisen van de General Data Protection Regulation (GDPR), de alomvattende privacywet van de EU: bedrijven moeten een geldige wettelijke basis hebben, zoals toestemming, voordat ze persoonsgegevens verwerken, en moeten transparant zijn over wat die verwerking inhoudt.

De toezichthouder wees ook op de omvangrijke privacyrisico's die gepaard gaan met locatie tracking. plaatsvervangend commissaris Graham Doyle zei dat locatiegegevens online diensten nuttiger kunnen maken, maar ook zeer privé- en gevoelige informatie over een persoon kunnen onthullen. Volgens the Guardian merkte Doyle op dat gebruikers mogelijk niet wisten dat hun verblijfplaats werd gebruikt om advertenties te richten of hun interesses af te leiden. Hij voegde eraan toe dat het langer dan noodzakelijk bewaren van de informatie de controle van gebruikers over hun gegevens verder verminderde.

Het onderzoek liep vanaf de datum waarop de GDPR op 25 mei 2018 van kracht werd tot 4 februari 2020 — een periode van bijna twee jaar.

Een klacht met wortels in Noorwegen

De zaak begon met klachten van zeven Europese consumentenorganisaties die Google beschuldigden van het volgen van gebruikers gednde hun hele dagelijks leven. Hun zorgen waren gebaseerd op onderzoek uit 2018 door de Noorse consumentenautoriteit, de Forbrukerrådet, dat stelde dat Google "allerlei truukjes" gebruikte om Location History en Web & App Activity ingeschakeld te houden.

Het onderzoek beschreef ook hoe en waarom locatie tracking veel meer kan blootleggen dan alleen de geografische plaatsen waar een persoon is geweest. Bezoeken aan gebedshuizen kunnen religieuze overtuigingen onthullen, aanwezigheid bij demonstraties kan wijzen op politieke opvattingen, ziekenhuisbezoeken kunnen op gezondheidsproblemen duiden, en de gelegenheden die iemand bezoekt kunnen diens seksuele geaardheid onthullen.

Finn Myrstad, digital policy director bij de Noorse Consumentenraad, noemde de uitspraak een mijlpaal. Volgens de Guardian zei Myrstad dat mensen moeten kunnen begrijpen waarmee ze akkoord gaan, zonder misleid te worden of onder druk keuzes te maken die ze anders niet zouden nemen.

De Europese consumentenorganisatie BEUC omschreef geolocatie eveneens als een van de meest ingrijpende vormen van consumentensurveillance.

Zes jaar na de start van het onderzoek

BEUC-directeur Agustín Reyna verwelkomde de uitspraak maar bekritiseerde de tijd die het kostte om die te bereiken. Hij noemde de vertraging "onevenredig met de ernst van de inbreuk" en waarschuwde dat "late handhaving net zo schadelijk kan zijn als helemaal geen handhaving." De DPC opende haar onderzoek zes jaar geleden.

Google op zijn beurt wees op veranderingen die het bedrijf zegt te hebben doorgevoerd sinds de periode die door het onderzoek werd gedekt. Een woordvoerder zei dat de zaak historisch beleid betreft dat inmiddels is bijgewerkt, en voegde eraan toe dat het bedrijf zijn praktijken vanaf 2019 aanzienlijk heeft gewijzigd en tools heeft geïntroduceerd om locatiegegevens gemakkelijker te beheren.

De DPC heeft Google zes maanden gegeven om zijn verwerkingspraktijken in overeenstemming te brengen met de GDPR. Op grond van de verordening kunnen bedrijven dergelijke besluiten aanvechten bij nationale rechtbanken.

Waarom Ierland de zaak leidt

Google's Europees hoofdkantoor staat in Dublin, waardoor de Ierse toezichthouder de hoofdregulator is in de 27 lidstaten tellende EU. De DPC vervult dezelfde rol voor de meeste grote Amerikaanse technologiebedrijven met hun Europese vestigingen in Ierland.

De boete van €403 miljoen is de op drie na grootste die de Ierse toezichthouder heeft opgelegd. Volgens de Guardian heeft de DPC eerder Meta €1,2 miljard, TikTok €530 miljoen en Meta-doch Instagram €405 miljoen boetes opgelegd. Het boetekader van de GDPR stelt toezichthouders in staat boetes op te leggen van maximaal 4% van de wereldwijde jaaromzet van een bedrijf, of €20 miljoen, whichever hoger is.

De recente uitspraak is mogelijk niet de laatste actie van de toezichthouder tegen Google dit jaar; drie andere onderzoeken naar het bedrijf bevinden zich al in een gevorderd stadium.