Proč jsou údaje o poloze tak citlivé?
Poloha telefonu může vypovídat o celé řadě aspektů našeho osobního života – například o tom, kde pracujeme, bydlíme, kam chodíme k lékaři nebo jaká místa pravidelně navštěvujeme. Z těchto údajů lze odvodit i velmi citlivé informace: návštěvy nemocnic mohou vypovídat o našem zdravotním stavu, účast na demonstracích o našich politických názorech, návštěvy konkrétních podniků o naší sexuální orientaci a návštěvy míst určených k uctívání o našem náboženském přesvědčení. Proto lokalizační údaje patří z pohledu ochrany soukromí mezi velmi citlivé informace.
Právě způsobu, jakým Google získával souhlas se sledováním polohy a jakým lokalizační údaje zpracovával, se týkala série stížností, které v listopadu 2018 podal dTest společně s dalšími sedmi spotřebitelskými organizacemi z Norska, Nizozemska, Řecka, Slovinska, Polska, Švédska a Dánska. Stížnosti byly koordinovány Evropskou spotřebitelskou organizací (BEUC).
Problematické praktiky podle výzkumu
Stížnosti vycházely z výzkumu, který zveřejnila norská spotřebitelská organizace Forbrukerrådet. Podle něj Google při nastavování účtů a zařízení využíval neférové praktiky a manipulativní design, které uživatele Androidu vedly k povolení průběžného sledování jejich polohy. Týkalo se to především funkcí Historie polohy (Location History) a Aktivita na webu a v aplikacích (Web & App Activity).
Výzkum například upozornil na skrytá či přednastavená nastavení, nedostatečné informace a opakované výzvy k zapnutí sledování. Uživatel, který Historii polohy odmítl, se s výzvou k jejímu zapnutí mohl setkat znovu při používání dalších služeb Googlu – podle výzkumu musel její aktivaci odmítnout opakovaně, například při používání Google Assistant, Google Maps nebo Google Photos.
Spotřebitelské organizace proto namítaly, že za těchto podmínek nemohli uživatelé učinit skutečně svobodné a informované rozhodnutí, zda své lokalizační údaje Googlu poskytnou. Problém podle nich nebyl pouze v samotném shromažďování údajů o poloze, ale také v tom, jakým způsobem Google uživatele k jejich poskytování přiváděl a jak jim vysvětloval důsledky jejich rozhodnutí.
Porušení GDPR potvrzeno
Irský úřad pro ochranu osobních údajů následně konstatoval několik porušení GDPR. Google podle jeho závěrů například nezpracovával lokalizační údaje v rámci funkcí Aktivita na webu a v aplikacích a Historie polohy zákonným a férovým způsobem. U funkce Přesnost polohy navíc nedokázal prokázat soulad zpracování osobních údajů se zásadami zákonnosti, férovosti a transparentnosti. Úřad dále zjistil nedostatky v transparentnosti u všech tří funkcí.
Podle rozhodnutí musí Google zaplatit pokutu ve výši 403 milionů eur a zároveň do šesti měsíců uvést zpracování lokalizačních údajů do souladu s GDPR.
