Comisia pentru Protecția Datelor din Irlanda a anunțat pe 21 septembrie 2026 o amendă totală de 403 milioane de euro pentru Google Ireland. Decizia privește prelucrarea datelor de localizare prin Web & App Activity, Location History și Location Accuracy într-o perioadă istorică: 25 mai 2018–4 februarie 2020.
Ce a stabilit autoritatea și ce lipsește încă
Comunicatul oficial spune că Web & App Activity și Location History au încălcat cerințele de legalitate și echitate. Pentru Location Accuracy, autoritatea a constatat o problemă de responsabilitate: Google nu a putut demonstra conformitatea cu principiile de legalitate, echitate și transparență. Toate cele trei funcții au avut deficiențe de transparență, iar pentru primele două au fost constatate și încălcări privind retenția datelor de localizare.
- Amenda totală de 403 milioane de euro și termenul de șase luni pentru aducerea prelucrării în conformitate sunt confirmate de DPC.
- Investigația a început în februarie 2020, după plângeri ale unor organizații europene pentru protecția consumatorilor, inclusiv BEUC.
- Perioada analizată este istorică și se încheie la 4 februarie 2020; decizia nu spune că fiecare practică descrisă funcționează identic astăzi.
- Google a declarat pentru Associated Press că dosarul privește politici istorice și că, din 2019, și-a modificat practicile și instrumentele de control al datelor de localizare.
Autoritatea nu publicase încă decizia integrală la momentul verificării acestui articol. Din comunicatul scurt nu putem deduce temeiul juridic analizat pentru fiecare flux, interfața exactă văzută de utilizatori, durata concretă considerată excesivă pentru fiecare categorie, numărul persoanelor vizate sau dacă și cum va fi contestată decizia. Acestea rămân necunoscute până la apariția documentului complet ori a altor acte oficiale.
De ce nu este suficient ca utilizatorul să găsească un comutator
O interfață poate avea un buton de activare și totuși organizația să nu poată răspunde clar ce se colectează, pentru ce scop, din ce funcție, cât timp, cine folosește datele și ce se întâmplă după dezactivare. Când aceste răspunsuri sunt împărțite între product, marketing, engineering, analytics, juridic și privacy, fiecare echipă poate vedea o parte corectă și totuși produsul final să transmită o imagine incompletă.
Datele de localizare sunt și mai greu de explicat fiindcă pot fi observate direct, estimate din alte semnale sau combinate cu istoricul activității. DPC avertizează că folosirea lor poate influența reclamele ori poate permite inferarea intereselor, iar păstrarea mai lungă decât este necesar agravează pierderea controlului. Lecția pentru training nu este memorarea unei definiții GDPR, ci capacitatea fiecărui rol de a descrie traseul real al datelor.
Cele cinci întrebări pe care fiecare echipă trebuie să le poată demonstra
- Scop — ce rezultat precis obținem din localizare și ce funcție nu ar mai merge fără ea?
- Sursă — colectăm o coordonată, o aproximare, istoricul unei activități sau o inferență construită prin combinarea altor date?
- Alegere — ce vede și înțelege persoana înainte de activare și poate folosi serviciul de bază fără această prelucrare?
- Retenție — ce eveniment pornește ștergerea, cine verifică executarea și ce copii, exporturi sau profiluri derivate rămân?
- Dovadă — putem reconstrui versiunea informării, configurația, aprobarea, testul și rezultatul aplicabil unei perioade concrete?
Tabletop de 60 de minute: funcția care pare deja aprobată
Adună product managerul, privacy sau DPO, juridicul, marketingul, engineering, analytics, suportul și un sponsor de management. Folosește o funcție ipotetică de localizare; nu încerca să reproduci designul Google și nu porni de la presupunerea că produsul propriu are aceeași problemă.
- Inject 1 — product propune o recomandare bazată pe locurile vizitate, dar cerința spune doar „îmbunătățirea experienței”. Cine cere un scop măsurabil înainte de dezvoltare?
- Inject 2 — marketing vrea să refolosească aceeași localizare pentru segmentare publicitară. Este același scop sau o decizie nouă și ce trebuie reevaluat?
- Inject 3 — utilizatorul dezactivează funcția. Engineering oprește colectarea nouă, dar profilurile și exporturile istorice rămân. Cine definește și verifică ștergerea?
- Inject 4 — suportul primește întrebarea „ce localizare aveți despre mine?”. Poate răspunde exact sau trimite persoana prin patru politici și trei meniuri?
- Inject 5 — auditorul cere dovada pentru versiunea din urmă cu doi ani. Echipa are numai politica actuală. Cine deținea istoricul aprobărilor, interfețelor și regulilor de retenție?
Ce măsori după exercițiu
- Timpul până la identificarea ownerului pentru scop, interfață, flux tehnic și retenție.
- Procentul participanților care separă oprirea colectării de ștergerea datelor deja păstrate și a profilurilor derivate.
- Numărul de sisteme, copii sau exporturi descoperite în afara diagramei inițiale.
- Capacitatea suportului de a explica funcția în limbaj simplu fără promisiuni mai largi decât dovezile disponibile.
- Existența unei urme datate care leagă versiunea produsului de informare, temei, aprobare, retenție și testul efectiv.
Rolul trainingului: întrebări mai bune, nu o garanție GDPR
Un curs generic despre date personale nu rezolvă o funcție proiectată de șase echipe. Trainingul util este specific rolului: product exersează definirea scopului, marketing recunoaște schimbarea de utilizare, engineering urmărește toate copiile, suportul explică și escaladează, iar managementul refuză lansarea când organizația nu poate demonstra ce afirmă.
Learning Awarely poate distribui aceste scenarii pe roluri și poate păstra dovezi de participare, evaluare și repetare. Aceste evidențe arată că oamenii au exersat decizia, dar nu certifică legalitatea prelucrării și nu înlocuiesc analiza DPO sau juridică, inventarul tehnic, testarea produsului ori documentația cerută de regulator.