گوگل به دلیل نقض GDPR بر سر داده‌های مکانی ۴۰۳ میلیون یورو جریمه شد

شرکت گوگل به دلیل نقض مقررات حفاظت از داده‌های اتحادیه اروپا (GDPR) در نحوه پردازش داده‌های مکانی کاربران، با جریمه‌ای ۴۰۳ میلیون یورویی مواجه شده است. این پرونده به نحوه عملکرد سه قابلیت Web & App Activity، Location History و Location Accuracy در فاصله زمانی مه ۲۰۱۸ تا فوریه ۲۰۲۰ مربوط می‌شود.

رگولاتور اصلی گوگل در اتحادیه اروپا، یعنی کمیسیون حفاظت از داده‌های ایرلند (DPC)، علاوه بر تعیین این جریمه، به گوگل دستور داده است طی شش ماه نحوه پردازش داده‌های مورد بررسی را با الزامات GDPR مطابقت دهد. با این حال، DPC هنوز به‌صورت عمومی مشخص نکرده است که این دستور دقیقاً کدام بخش از پردازش داده‌ها را در بر می‌گیرد و اعلام کرده متن کامل تصمیم در آینده منتشر خواهد شد.

سه قابلیت گوگل در کانون بررسی DPC

قابلیت Web & App Activity یکی از تنظیمات حساب کاربری گوگل است که در صورت فعال بودن، به این شرکت اجازه می‌دهد اطلاعات مربوط به فعالیت کاربر در وب‌سایت‌ها و اپلیکیشن‌های گوگل را پردازش کند. این اطلاعات می‌تواند شامل داده‌های مکانی نیز باشد.

قابلیت Location History نیز سرویس دیگری است که فعال‌سازی آن به انتخاب کاربر انجام می‌شود و می‌تواند موقعیت مکانی دستگاه‌های موبایلی متصل به حساب کاربری را ثبت کند؛ حتی در شرایطی که کاربر در حال استفاده مستقیم از یکی از سرویس‌های گوگل نباشد.

قابلیت Location Accuracy در دستگاه‌های اندرویدی برای تعیین موقعیت مکانی دقیق‌تر از GPS به کار می‌رود و استفاده از آن حتی برای کاربرانی که حساب گوگل ندارند نیز امکان‌پذیر است. با این حال، یافته‌های DPC درباره این قابلیت محدودتر از دو مورد دیگر بوده است.

نقض الزامات قانونی و شفافیت

بررسی‌های DPC نشان داد که گوگل در مورد Web & App Activity و Location History، الزامات GDPR در زمینه قانونی و منصفانه بودن پردازش داده‌ها و همچنین الزامات مربوط به شفافیت را نقض کرده است. این نهاد همچنین اعلام کرد که داده‌های مکانی برای مدتی طولانی‌تر از مدت ضروری نگهداری شده‌اند.

رگولاتور ایرلندی همچنین اعلام کرد گوگل نتوانسته نشان دهد که پردازش این داده‌ها به شکلی قانونی، منصفانه و شفاف انجام شده است. از دیدگاه DPC، این مسئله می‌توانست باعث شود کاربران از نحوه استفاده از داده‌های مکانی خود اطلاع کافی نداشته باشند.

گراهام دویل، معاون کمیسیون حفاظت از داده‌های ایرلند، اعلام کرد که چنین کاستی‌هایی می‌توانست به شرایطی منجر شود که کاربران از استفاده از داده‌های مکانی خود برای اهدافی مانند هدف‌گیری تبلیغاتی یا استنباط علایق آنها آگاه نباشند. به گفته وی، این وضعیت می‌توانست کنترل کاربران بر داده‌های شخصی‌شان را کاهش دهد و نگهداری طولانی‌مدت این اطلاعات نیز این مشکل را تشدید می‌کرد.

چهارمین جریمه بزرگ DPC

جریمه ۴۰۳ میلیون یورویی چهارمین جریمه بزرگ صادرشده توسط کمیسیون حفاظت از داده‌های ایرلند محسوب می‌شود. با این حال، این جریمه در حال حاضر قابل وصول نیست؛ زیرا جریمه‌های صادرشده توسط DPC تنها پس از تأیید یک دادگاه ایرلندی قابلیت اجرا پیدا می‌کنند.

گوگل همچنین می‌تواند ظرف ۲۸ روز پس از دریافت اطلاعیه رسمی تصمیم، نسبت به این حکم در دادگاه عالی ایرلند درخواست تجدیدنظر کند.

واکنش گوگل به این پرونده

گوگل در واکنش به این تصمیم اعلام کرده است که این پرونده مربوط به سیاست‌های قدیمی این شرکت است که از آن زمان تاکنون به‌روزرسانی شده‌اند. این شرکت همچنین گفته است که از سال ۲۰۱۹ تغییرات قابل‌توجهی در شیوه‌های خود ایجاد کرده است.

گوگل در مه ۲۰۱۹ و در دوره‌ای که تحت بررسی DPC قرار داشت، کنترل‌های حذف خودکار داده‌ها را برای قابلیت‌های Location History و Web & App Activity معرفی کرد. این تنظیمات به کاربران اجازه می‌داد اطلاعات مربوط به فعالیت و موقعیت مکانی خود را به‌صورت خودکار پس از ۳ یا ۱۸ ماه حذف کنند.

در ژوئن ۲۰۲۰ نیز گوگل اعلام کرد که حذف خودکار ۱۸ماهه برای Web & App Activity در حساب‌های جدید و همچنین برای کاربرانی که برای نخستین بار Location History را فعال می‌کنند، به گزینه پیش‌فرض تبدیل خواهد شد.

تغییرات بیشتر در Google Maps

گوگل در دسامبر ۲۰۲۳ نیز اعلام کرد که داده‌های مربوط به قابلیت Timeline در Google Maps، که تاریخچه موقعیت مکانی کاربر را روی نقشه نمایش می‌دهد، به‌جای سرورهای گوگل روی دستگاه خود کاربر ذخیره خواهد شد.

همچنین برای کاربرانی که برای نخستین بار Location History را فعال می‌کنند، گزینه حذف خودکار داده‌ها به‌صورت پیش‌فرض روی سه ماه تنظیم خواهد شد.

با این حال، DPC هنوز اعلام نکرده است که آیا تغییرات اعمال‌شده توسط گوگل برای برآورده کردن الزامات مطرح‌شده در دستور جدید این نهاد کافی هستند یا خیر.

آغاز تحقیقات پس از شکایت گروه‌های مصرف‌کننده

تحقیقات DPC در فوریه ۲۰۲۰ و پس از شکایت گروه‌های مصرف‌کننده اروپایی، از جمله BEUC (سازمان اروپایی مصرف‌کنندگان)، آغاز شد.

گروه‌های عضو BEUC در نوامبر ۲۰۱۸ شکایت‌های خود را در ارتباط با نحوه پردازش داده‌های کاربران توسط گوگل نزد نهادهای حفاظت از داده کشورهای مختلف ثبت کرده بودند.

دوره‌ای که در این پرونده مورد بررسی قرار گرفته است، در ۴ فوریه ۲۰۲۰ به پایان می‌رسد؛ همان روزی که DPC آغاز رسمی تحقیقات خود را اعلام کرد.

انتقاد از طولانی شدن روند رسیدگی

تصمیم نهایی DPC بیش از ۶.۵ سال پس از آغاز تحقیقات صادر شده است. آگوسین رینا، مدیرکل BEUC، ضمن استقبال از این تصمیم، از طولانی شدن روند رسیدگی به پرونده انتقاد کرد.

رینا در اظهاراتی که توسط NewsIreland.EU منتشر شده، تأکید کرده است که اجرای دیرهنگام قوانین می‌تواند تأثیرگذاری اقدامات نظارتی را کاهش دهد.