Google kreeg een boete voor bewijs dat ontbrak

Een boete opgebouwd uit vier aparte overtredingen

De Ierse gegevensbeschermingsautoriteit (DPC) beboette Google op 21 september voor 403 miljoen euro wegens de omgang met locatiegegevens in drie functies: Web- en app-activiteit, Locatiegeschiedenis en Locatienauwkeurigheid. Het onderzoek besloeg een afgebakende periode, van 25 mei 2018 tot 4 februari 2020, en stelde vier afzonderlijke overtredingen vast, niet één.

Twee functies faalden op rechtmatigheid en behoorlijkheid, dat wil zeggen dat Google geen deugdelijke rechtsgrond had voor het gebruik van de verzamelde gegevens. Dezelfde twee functies faalden ook op bewaartermijn, want Google bewaarde de gegevens langer dan nodig. Alle drie de functies faalden op transparantie: volgens de DPC konden gebruikers onwetend blijven dat hun locatie werd gebruikt voor advertentietargeting of interesse-afleiding.

De vierde overtreding is de ongebruikelijke

Locatienauwkeurigheid kreeg een vierde bevinding die niets te maken heeft met het daadwerkelijke gebruik van de gegevens. Het is een verantwoordingsfout: Google kon niet aantonen dat de verwerking voldeed aan de beginselen van rechtmatigheid, behoorlijkheid en transparantie. Die bevinding beschrijft iets anders: wat Google zes jaar later niet kon aantonen om te bewijzen dat de verwerking van meet af aan rechtmatig was.

Dat onderscheid tilt de boete uit boven een routineuze privacysanctie, en het plaatst Google op een lijst die grotendeels via hetzelfde one-stop-shopmechanisme tot stand kwam, waarbij Ierland reguleert namens elke EU-lidstaat waar een bedrijf actief is.

Google zegt dat de functie al lang niet meer bestaat

Het antwoord van Google leunt op de kalender. Het bedrijf stelt dat de zaak gaat over historisch beleid dat al is vervangen: sinds 2019 bouwde Google eenvoudigere locatiecontroles, voegde automatische verwijdering toe na periodes van drie tot 36 maanden, en verplaatste de Timeline-locatiegegevens van de eigen servers naar de toestellen van gebruikers. Google kan delen van het besluit aanvechten.

Consumentenorganisatie BEUC, wier lidorganisaties in meerdere Europese landen de oorspronkelijke klachten indienden, verwelkomde de boete, maar wees vanuit de andere richting op hetzelfde gat: late handhaving kan bijna even schadelijk zijn als geen handhaving. Beide partijen wijzen naar dezelfde vertraging van zes jaar tussen gedrag en uitspraak. Ze trekken er alleen tegengestelde conclusies uit.

Wat een in de EU actief bedrijf hiervan moet meenemen

Het verantwoordingspunt is wat thuishoort in uw eigen compliancedossier. Een AVG-onderzoek kan een allang uitgefaseerde functie bereiken en er toch voor beboeten, dus moet niet alleen de praktijk zelf jarenlange bewaring overleven. De onderbouwing erachter ook. Houd een gedateerd bewijs bij van waarom een besluit over gegevensverwerking werd genomen op het moment dat het werd genomen, geen reconstructie die pas ontstaat als een toezichthouder ernaar vraagt.

De kloof van zes jaar betekent ook dat Google een functie binnen zes maanden in overeenstemming moet brengen, terwijl die functie al rond 2023 vanzelf is veranderd. Handhavingstermijnen en productcycli lopen op verschillende klokken. Elk bedrijf dat in de EU actief is, erft die mismatch, niet alleen Google.

Lees hierna: Faalt Uw Bedrijf, Dan Worden Uw E-Mails Verkocht  |  Google koopt interne data van een failliete airline