Miljoenenboete voor Google om omgang met locatiegegevens

Wie een navigatie-app gebruikt, een restaurant in de buurt opzoekt of gewoon zijn telefoon bij zich draagt, laat voortdurend een digitaal spoor achter. Voor de meeste mensen is dat een vanzelfsprekend onderdeel van een smartphone. Toch bleek dat een van de grootste techbedrijven ter wereld jarenlang niet netjes met die gegevens omging. De Ierse privacytoezichthouder Data Protection Commission (DPC) heeft Google een boete van 403 miljoen euro opgelegd, wegens onrechtmatige verwerking van locatiegegevens.

Waar ging het mis?

Het onderzoek van de DPC richtte zich op drie onderdelen van Google: Web & App Activity, Location History en Location Accuracy. Deze functies verzamelen gegevens via diensten als Google Maps, Google Zoeken en Android. Volgens de toezichthouder was Google niet transparant genoeg over hoe die locatiegegevens werden gebruikt, onder meer voor gepersonaliseerde advertenties, en werden gegevens langer bewaard dan noodzakelijk.

Het onderzoek besloeg de periode van 25 mei 2018, de dag waarop de Algemene Verordening Gegevensbescherming (AVG) van kracht werd, tot 4 februari 2020. De DPC stelde uiteindelijk vier afzonderlijke overtredingen vast. Adjunct-commissaris Graham Doyle van de DPC liet weten dat gebruikers zich er door de tekortkomingen van Google mogelijk niet van bewust waren dat hun locatie werd gebruikt om hen te beïnvloeden met advertenties of om hun interesses in kaart te brengen.

Waarom een Ierse toezichthouder?

Dat uitgerekend de Ierse privacywaakhond deze boete oplegt, komt doordat het Europese hoofdkantoor van Google in Ierland is gevestigd. De DPC treedt daardoor binnen de Europese Unie op als de leidende toezichthouder voor de meeste grote Amerikaanse techbedrijven, en behandelt namens andere Europese toezichthouders klachten die inwoners van de hele EU raken. Het onderzoek startte in 2020, na klachten van verschillende Europese consumentenorganisaties, waaronder de Nederlandse Consumentenbond.

Google krijgt van de toezichthouder zes maanden de tijd om de manier waarop locatiegegevens worden verwerkt in lijn te brengen met de privacywetgeving. In een reactie laat het bedrijf weten dat de zaak gaat over verouderd beleid, en dat de werkwijze sinds 2019 ingrijpend is aangepast, onder meer met tools waarmee gebruikers hun locatiegeschiedenis eenvoudiger kunnen beheren of automatisch laten verwijderen.

Onderdeel van een langere reeks

De boete van 403 miljoen euro staat niet op zichzelf. Google kreeg de afgelopen jaren vaker te maken met Europese sancties op het gebied van mededinging, advertenties en gegevensbescherming, en deze zaak komt op de vierde plaats van de hoogste AVG-boetes die ooit zijn opgelegd. Het onderstreept hoe indringend toezichthouders inmiddels kijken naar de manier waarop grote onlineplatforms met persoonsgegevens omgaan, juist omdat die gegevens zoveel kunnen onthullen: niet alleen waar iemand woont of werkt, maar indirect ook welke plekken, zoals een ziekenhuis of een specifieke bijeenkomst, iemand bezoekt.

Niet alleen techbedrijven staan onder toezicht

Die strenge blik op identificatie, gegevensverwerking en transparantie beperkt zich niet tot zoekmachines en kaarten-apps. Ook andere online sectoren waarin persoonsgegevens en betalingen een rol spelen, hebben te maken met strikte regelgeving. Bij een aanbieder van nederlandse casino-diensten gelden bijvoorbeeld vergelijkbare eisen rond klantidentificatie en veilige verwerking van persoonlijke gegevens, gecontroleerd door de Kansspelautoriteit. Het is een ander domein dan zoekmachines en kaartendiensten, maar het principe is hetzelfde: wie persoonsgegevens verwerkt, moet daar transparant en zorgvuldig mee omgaan.

Wat betekent dit voor gebruikers?

Voor de gemiddelde gebruiker verandert er op korte termijn weinig aan hoe een telefoon of navigatie-app werkt. Wat de uitspraak wél laat zien, is dat het de moeite waard blijft om zelf de instellingen rond locatiegegevens te controleren. Android en Google-accounts bieden opties om locatiegeschiedenis uit te schakelen, automatisch te laten verwijderen na een bepaalde periode, of volledig te wissen. Wie nooit heeft stilgestaan bij wat er precies wordt bijgehouden, kan dat via het eigen Google-account nakijken.

Voor de Consumentenbond, die mede aan de basis van de klacht stond, is de uitspraak vooral een bevestiging dat langlopende privacyklachten uiteindelijk tot een resultaat kunnen leiden, ook al duurde het in dit geval bijna acht jaar voordat de toezichthouder tot een oordeel kwam.

Vooruitkijken

De komende zes maanden moet blijken hoe Google zijn locatiefuncties precies aanpast om aan de eisen van de DPC te voldoen. Tot die tijd blijft de zaak een voorbeeld van hoe langzaam, maar gestaag, Europese privacyregels grip proberen te krijgen op de manier waarop grote technologiebedrijven met de gegevens van miljoenen gebruikers omgaan.