Google har fått en böter på totalt 403 miljoner euro av den irländska dataskyddsmyndigheten DPC. Bakgrunden är hur företaget behandlade användarnas platsdata genom tre olika Google och Android funktioner mellan maj 2018 och februari 2020.
Granskningen omfattar Web & App Activity, Location History och Androidfunktionen Location Accuracy. DPC konstaterar bland annat brister kring laglighet, rättvisa, transparens och hur länge viss platsdata sparades.
Annons
Tre inställningar samlade in platsdata på olika sätt
Location History är kanske den mest välkända av funktionerna. När den varit aktiverad har Google kunnat registrera var användaren befunnit sig med sin mobil och bygga upp en historik över besökta platser och resor. Informationen har bland annat kunnat visas i Timeline i Google Maps.
Men DPC beslut omfattar även Web & App Activity. Den inställningen registrerar aktivitet i Googles tjänster och kan innehålla både sökhistorik, webbhistorik och platsinformation.
Det betyder att Location History inte var den enda vägen för platsdata att hamna hos Google.
Redan 2018 visade en undersökning från norska Forbrukerrådet att platsinformation kunde registreras genom Web & App Activity även när Location History var avstängt. Organisationen kritiserade samtidigt hur Google presenterade valen för användaren och menade att designen gjorde det onödigt svårt att förstå konsekvenserna.
Läs mer: Google får en vecka på sig att ändra Play Store
Kunde användas för annonser och profilering
DPC riktar särskilt kritik mot hur Google behandlade platsdata i Web & App Activity och Location History. Myndigheten bedömer att behandlingen bröt mot GDPR krav på laglighet och rättvisa.
För Location Accuracy kunde Google enligt myndigheten inte heller visa att behandlingen uppfyllde kraven på laglighet, rättvisa och transparens. Transparensbrister konstaterades dessutom i samtliga tre funktioner.
Location Accuracy är en del av Android och kombinerar fler signaler än enbart mobilens GPS för att bestämma enhetens position mer exakt. Funktionen kan användas även av personer som inte är inloggade på ett Google konto.
Problemet med sådan information är inte bara att Google kan veta ungefär var en telefon befinner sig. När rörelser registreras över längre tid går det också att dra slutsatser om användaren.
DPC pekar på att personer kan ha varit ovetande om att platsen exempelvis användes för att påverka vilka annonser de såg eller för att dra slutsatser om deras intressen.
Svenska konsumenter fanns med från början
Fallet har en tydlig svensk koppling.
Redan i november 2018 lämnade konsumentorganisationer från flera europeiska länder in klagomål mot Googles platsspårning. Sveriges Konsumenter var en av organisationerna bakom initiativet.
Klagomålen byggde på Forbrukerrådets granskning, som anklagade Google för att använda bland annat dolda standardinställningar, upprepade uppmaningar och otydlig information för att få Androidanvändare att aktivera olika former av platsspårning.
Den irländska DPC inledde sin formella utredning i februari 2020. Det innebär att det gått mer än sex år från att utredningen startade till det slutliga beslutet och nästan åtta år sedan de första europeiska klagomålen lämnades in.
BEUC, den europeiska konsumentorganisation som samordnade arbetet, välkomnar böterna men kritiserar samtidigt den långa handläggningstiden.
Läs mer: Uber får GDPR-bot på närmare en miljard kronor
Google har ändrat hur platsinformationen hanteras
Google framhåller att beslutet gäller äldre system och inställningar. Företaget uppger till Reuters att flera förändringar har genomförts sedan perioden som DPC granskat, bland annat tydligare kontroller, automatisk radering av uppgifter och minskad användning av exakt platsinformation.
En av de större förändringarna kom när Google började flytta Timeline historiken i Google Maps från företagets servrar till användarens egen enhet. Location History är också avstängt som standard och Google har infört möjligheten att automatiskt radera äldre platsinformation.
Det innebär däremot inte att DPC betraktar frågan som avslutad. Google har fått sex månader på sig att säkerställa att den behandling som omfattas av beslutet följer GDPR.
Den fullständiga domen har ännu inte publicerats av myndigheten. Därför återstår mer detaljer om exakt hur DPC resonerat kring de olika inställningarna och vilka förändringar som kan krävas.
För användaren är fallet samtidigt en påminnelse om hur svårt begreppet platsspårning kan vara i praktiken. En mobil behöver inte spara en synlig lista över varje plats du besökt för att platsinformation ska behandlas. Sökningar, appar och Androids system för att förbättra positioneringen kan tillsammans säga betydligt mer om var du befinner dig än vad en enskild inställning antyder.
Läs mer: Google tog bort filmen han köpt – och vägrade återbetalning