DPC legt Google €403 miljoen boete op voor locatiegegevens

Google krijgt van de Ierse Data Protection Commission (DPC) een boete van €403 miljoen voor AVG-inbreuken rond locatiegegevens. De toezichthouder legt Google ook een hersteltermijn van zes maanden op.

Voor een Nederlandse organisatie die locatiegegevens verwerkt, zit de inzet in de bewijsvoering. Een app, account of analyseomgeving moet een rechtmatige en eerlijke verwerking kunnen uitleggen, aantonen dat de organisatie daaraan voldoet en laten zien waarom gegevens niet langer worden bewaard dan nodig.

Drie functies, vier tekortkomingen

De DPC onderzocht drie Google-functies: Web & App Activity, Location History en Location Accuracy. Het onderzochte tijdvak liep van 25 mei 2018, de start van de AVG, tot 4 februari 2020. De procedure begon in februari 2020 na klachten van Europese consumentenorganisaties, waaronder BEUC.

De toezichthouder stelt vier soorten tekortkomingen vast:

• Bij Web & App Activity en Location History waren de verwerkingen niet rechtmatig en niet eerlijk genoeg.
• Bij Location Accuracy kon Google niet aantonen dat het voldeed aan de beginselen van rechtmatigheid, eerlijkheid en transparantie.
• Voor alle drie de functies schoot de transparantie tekort.
• Bij Web & App Activity en Location History werden locatiegegevens langer bewaard dan noodzakelijk.

Location History houdt bij waar iemand met een geschikt mobiel apparaat is geweest en kan daaruit bezoeken, activiteiten en routes afleiden. Web & App Activity verwerkt onder meer activiteit op Google-diensten, waaronder zoek-, browse- en locatiegegevens. Location Accuracy is een Android-functie die de locatie nauwkeuriger bepaalt dan alleen het gps-signaal van het apparaat.

Zes maanden voor herstel

De DPC legt administratieve boetes op met een totaal van €403 miljoen en beveelt Google om de verwerking binnen zes maanden in overeenstemming met de AVG te brengen. De toezichthouder publiceert de volledige beslissing later. Daardoor zijn de precieze verdeling van het bedrag en de volledige juridische motivering nog niet openbaar.

Google noemt de zaak historisch beleid, zegt dat het sinds 2019 de werkwijze heeft aangepast en dat het automatische verwijdering, opslag van Timeline-gegevens op het apparaat en instellingen voor het gebruik van locatiegegevens in advertenties heeft toegevoegd. Bij zoekopdrachten zou Google bovendien een geschatte algemene omgeving bewaren in plaats van de precieze apparaatlocatie.

De DPC zegt dat locatiegegevens op zichzelf of in combinatie met andere informatie kunnen onthullen waar iemand is. Dat kan ook privé-informatie blootleggen. Juist de combinatie van onduidelijke verwerking en te lange opslag maakt deze zaak relevant voor bedrijven met apps, buitendienst, bezorging, bezoekersstromen of locatiegebonden analyses.

De datumgrens van het onderzoek maakt de governancevraag niet historisch. Als een huidige app of dienst nog dezelfde gegevensstroom, standaardinstelling of bewaartermijn gebruikt, blijft het onderzochte patroon operationeel relevant. De hersteltermijn van zes maanden maakt duidelijk dat de toezichthouder naar de actuele verwerking kijkt zodra het besluit maatregelen oplegt.

Geen datalek nodig voor handhaving

De zaak draait niet om een inbraak waarbij gegevens op straat liggen. De handhaving gaat over de manier waarop een groot platform locatiegegevens verzamelt, uitlegt, gebruikt en bewaart. Daarmee verschuift het zwaartepunt van privacybeheer naar de hele dataketen: van de eerste instelling op een apparaat tot het moment waarop een record verdwijnt.

Voor Nederlandse ondernemers is dat de concrete betekenis van deze boete. Locatiegegevens zijn geen neutrale technische parameter. Ze vragen om een aantoonbare reden, begrijpelijke uitleg en een bewaartermijn die de organisatie kan verdedigen. Datagovernance wordt daarmee een eigenschap van het product zelf, niet alleen van het privacybeleid eromheen.