愛爾蘭資料保護委員會（DPC）以Google處理Android與Google帳戶使用者位置資料的方式為由，對其處以4.03億歐元（4.63億美元）罰款。監管機構認定，該公司在缺乏法律依據的情況下處理這些資訊，且未讓使用者充分了解他們所同意的內容。

DPC認定，Google在三項產品中處理位置資料的方式不合法、不公平且不透明：「網路與應用程式活動」（Web & App Activity）、「定位記錄」（Location History）以及「位置精確度」（Location Accuracy）。前兩項產品可追蹤瀏覽與搜尋活動，以及使用者裝置先前到訪過的地點，而「位置精確度」則是Android作業系統中的一項設定。此裁決的核心在於《通用資料保護規則》（GDPR）這部歐盟全面性隱私法的其中一項基本要求：公司在處理個人資料前必須具備有效的法律依據（例如同意），且必須對處理內容保持透明。

監管機構同時強調位置追蹤所帶來的重大隱私風險。副專員Graham Doyle表示，位置資料可以讓線上服務更加實用，但也可能揭露一個人高度私密且敏感的資訊。根據衛報，Doyle指出，使用者可能並不知道自己的行蹤被用於投放廣告或推測其興趣。他補充說，將資訊保存超過必要期限，進一步削弱了使用者對自身資料的控制權。

這項調查自GDPR於2018年5月25日生效之日起，持續至2020年2月4日，歷時近兩年。

源自挪威的申訴

本案始於七個歐洲消費者組織的申訴，他們指控Google追蹤使用者的日常生活。這些組織的疑慮源自挪威消費者機構Forbrukerrådet於2018年的研究，該研究指出Google使用「各種手段」讓「定位記錄」與「網路與應用程式活動」保持開啟狀態。

該研究闡明瞭位置追蹤為何以及如何揭露遠超過一個人到訪過的地理位置的資訊。前往宗教場所可透露宗教信仰，參加示威活動可指向政治立場，就醫紀錄可顯示健康狀況，而一個人常去的場所則可能揭露其性傾向。

挪威消費者委員會數位政策總監Finn Myrstad稱這項裁決為一個里程碑。根據衛報報導，Myrstad表示，人們應該能夠瞭解自己同意的內容，而不應被誤導或被迫做出原本不會做的選擇。

歐洲消費者組織（BEUC）同樣將地理位置定位描述為最具侵犯性的消費者監控形式之一。

調查啟動六年之後

BEUC總幹事Agustín Reyna對該決定表示歡迎，但批評作出決定所耗費的時間，稱此延宕「與侵權行為的嚴重性不成比例」，並警告「延遲的執法可能與完全不執法一樣有害。」DPC於六年前啟動這項調查。

Google方面則指出，該公司聲稱在調查所涵蓋的期間之後已作出改變。一位發言人表示，本案涉及的是此後已更新的歷史政策，並補充說，該公司自2019年起顯著調整了其做法，並推出了讓位置資料更易於管理的工具。

DPC給予Google六個月時間，使其處理做法符合GDPR的要求。根據該規則，公司可在國家法院對此類決定提出異議。

為何由愛爾蘭主導此案

Google的歐洲總部位於都柏林，這使愛爾蘭監管機構成為其在擁有27個成員國的歐盟中的主要監管機構。對於大多數將歐洲基地設在愛爾蘭的美國大型科技公司而言，DPC同樣扮演這一角色。

這筆4.03億歐元的罰款是愛爾蘭監管委員會開出的第四大罰款。根據衛報報導，DPC此前曾對Meta處以12億歐元罰款，對TikTok處以5.3億歐元罰款，並對Meta旗下的Instagram處以4.05億歐元罰款。GDPR的處罰框架允許監管機構開出最高達公司全球年度營業額4%或2,000萬歐元（以較高者為準）的罰款。

這項最新決定可能不是該監管機構今年對Google採取的最後行動，另有三項針對該公司的調查已進入後期階段。