Ирландия оштрафовала Google на 403 млн евро за незаконную слежку за местоположением

Ирландская Комиссия по защите данных (DPC) оштрафовала Google Ireland на 403 млн евро за то, как компания собирала, объясняла и хранила данные о местоположении пользователей. Решение объявлено 21 сентября, оно закрывает расследование, начатое в феврале 2020 года, и касается трёх настроек: «История приложений и веб-поиска», «История местоположений» и «Точность геолокации». На приведение обработки в соответствие с GDPR у Google полгода. Компания называет дело «историческим» и, по данным RTE, будет обжаловать решение.

Три переключателя, один штраф

Три функции работают по-разному, и претензии DPC к каждой свои. «История приложений и веб-поиска» - настройка аккаунта, которая сохраняет ваши действия в сервисах Google, а при включённой дополнительной галочке и в сторонних приложениях и на сайтах, использующих сервисы Google, вместе с местоположением. «История местоположений», теперь «Хронология», ведёт карту, где бывали устройства, в которые вы вошли, даже если ни одно приложение Google не открыто. «Точность геолокации» - настройка Android, которая уточняет позицию телефона сканированием сетей Wi-Fi и вышек связи; она работает независимо от того, есть ли у вас аккаунт Google.

Заместитель комиссара Грэм Дойл уложил вред в одну фразу: из-за этих нарушений «люди могли не знать, что их местоположение используется, например, чтобы влиять на них рекламой или делать выводы об их интересах, и могли потерять контроль над своими персональными данными. Хранение геоданных пользователей дольше необходимого усугубило эту потерю контроля». Три комиссара, подписавшие решение, Дес Хоган, Дейл Сандерленд и Нив Суини, дали полгода на устранение нарушений. Полный текст опубликуют позже, поэтому как 403 млн евро распределены между четырьмя нарушениями, пока неизвестно.

Восемь лет от жалобы до решения

Дело началось не с утечки, а с отчёта. В ноябре 2018 года Норвежский совет потребителей опубликовал «Every Step You Take», пошаговый разбор того, как телефон на Android подталкивает нового пользователя к слежке за перемещениями: процесс настройки навязывал «Историю местоположений»; «История приложений и веб-поиска» была включена по умолчанию и спрятана за дополнительными кликами; то, что геоданные идут в рекламу, было закопано в глубине; отказавшихся снова спрашивали в Картах, Ассистенте и других приложениях; а такие функции, как Ассистент или сортировка фото по местам, шли в связке со слежкой. В том же месяце потребительские организации восьми стран при координации BEUC подали жалобы по GDPR своим национальным регуляторам. Европейская штаб-квартира Google находится в Дублине, поэтому дело досталось DPC.

1. 27 ноября 2018Норвежский совет потребителей публикует «Every Step You Take»; жалобы подают организации из Норвегии, Нидерландов, Греции, Чехии, Словении, Польши, Швеции и Дании.
2. 4 февраля 2020Конец периода, который проверяла DPC. В том же месяце регулятор по собственной инициативе открывает расследование как ведущий надзорный орган для Google.
3. Июнь 2022Десять потребительских организаций подают вторую серию жалоб, уже на процесс регистрации аккаунта: один клик включает все настройки сбора данных, а приватный путь занимает пять шагов и девять кликов.
4. 21 сентября 2026DPC объявляет решение: четыре нарушения, 403 млн евро, полгода на исправление.
5. До марта 2027Срок исполнения. По данным RTE, Google собирается обжаловать решение по юридическим вопросам.

BEUC результат приветствовала, а сроки раскритиковала. Её гендиректор Агустин Рейна заявил, что решение «подтверждает незаконность того, как техногигант получал согласие на использование геоданных людей», но «время, потребовавшееся на этот вывод, несоразмерно тяжести нарушения», а «запоздалое правоприменение может быть так же вредно, как его отсутствие». Поведение, за которое назначен штраф, закончилось в феврале 2020-го, и все годы с тех пор Google перестраивал те самые настройки, о которых идёт речь.

Место в ирландской таблице штрафов

DPC - ведущий регулятор для большинства американских платформ в ЕС, поэтому её штрафы заодно служат европейским табло. 403 млн евро для Google встают чуть ниже 405 млн, назначенных Instagram в 2022 году за детские аккаунты, и выше 390 млн, которые Meta заплатила в 2023-м за рекламу на основании договора вместо согласия.

Google: «исторические правила»

Публично Google выводы не оспаривает. «Это дело касается исторических правил, которые с тех пор обновлены, - сказал представитель компании. - С 2019 года мы существенно изменили практику и запустили надёжные инструменты, которые делают управление геоданными простым». Инструменты и правда есть: автоудаление данных активности появилось в 2019 году; в декабре 2023-го Google объявил, что «Хронология» переезжает с серверов на телефон, с зашифрованной резервной копией в облаке и автоудалением по умолчанию через три месяца вместо 18; сегодня справка Google сообщает, что примерное местоположение и IP-адрес, привязанные к «Истории приложений и веб-поиска», удаляются через 30 дней. С мая 2026 года саму «Историю приложений и веб-поиска» делят на «Историю сервисов поиска» и «Персональные рекомендации».

Два регулятора за пределами ЕС пришли к тем же выводам раньше и деньги получили раньше. В ноябре 2022 года Google заключил мировое соглашение на 391,5 млн долларов с 40 штатами США за ту же конструкцию: с 2014 по 2020 год пользователей, выключивших «Историю местоположений», продолжали отслеживать через «Историю приложений и веб-поиска». В августе 2022-го Федеральный суд Австралии оштрафовал компанию на 60 млн австралийских долларов по иску ACCC: экраны Android подавали «Историю местоположений» как единственную значимую настройку, тогда как включённая по умолчанию «История приложений и веб-поиска» тоже сохраняла местоположение. Ирландское расследование охватывает те же месяцы и те же два переключателя; ему понадобилось на четыре года больше.

Проверьте свой аккаунт

Все настройки из решения существуют до сих пор, некоторые под новым именем, а значения по умолчанию стали лучше, но никуда не делись. Выключенная «Хронология» не останавливает сохранение местоположения в других местах: справка Google прямо пишет, что при включённой «Истории сервисов поиска» или «Истории приложений и веб-поиска» аккаунт «может по-прежнему сохранять данные о местоположении». Порядок имеет значение, поэтому идите по пунктам.

• Аккаунт Google, «Данные и конфиденциальность», «Настройки истории»: откройте «Историю приложений и веб-поиска» (или «Историю сервисов поиска» - это название Google вводит с мая 2026 года) и решите, нужна ли она. Если оставляете, поставьте автоудаление через 3 месяца.
• В той же настройке снимите галочку «Включать историю Chrome и действия на сайтах, в приложениях и на устройствах, которые используют сервисы Google». Именно она подтягивает действия и местоположение из других приложений.
• «Настройки истории», «Хронология» (или Google Карты, фото профиля, «Хронология»): выключить, либо оставить с автоудалением через 3 месяца и зашифрованной резервной копией, которую вы включили сами.
• На Android: «Настройки», «Местоположение», «Геолокационные сервисы», «Точность геолокации Google». Выключено означает только GPS и датчики. «Поиск сетей Wi-Fi» и «Поиск Bluetooth-устройств» в том же меню тоже участвуют в определении позиции, даже когда геолокация отключена.
• Мой центр рекламы (myadcenter.google.com): выключите персонализированную рекламу. Именно сюда попадают те «выводы об интересах», о которых пишет DPC.
• myactivity.google.com: удалите прошлые действия за выбранный период; в Картах удалите «Хронологию» целиком или отдельные дни.

VPN относится к другому списку. Он подменяет IP-адрес, который видят сайты и Google, то есть тот «примерный район», который попадает в «Историю приложений и веб-поиска» со стороны сети. На GPS, Wi-Fi и сотовое позиционирование он не влияет, как и на аккаунт, в который выполнен вход на телефоне: при включённых переключателях выше серверы Google получают через VPN-туннель те же данные, что и без него. На Android и сам туннель не герметичен, что в этом месяце показал отказ Google чинить утечку IP мимо VPN. Используйте VPN для того, что он умеет, скрывать сетевое местоположение от сайтов и сетей, а настройки аккаунта для того, за что оштрафовали Google.

Есть и вторая причина следить за тем, где лежат эти данные. Именно «Историю местоположений» запрашивает полиция, когда хочет узнать, кто был рядом с местом преступления; в июне Верховный суд США постановил в деле Chatrie, что для таких запросов нужен ордер. Данные, которые хранятся только на телефоне и стираются через три месяца, с сервера не вытащить.