Ủy ban Bảo vệ Dữ liệu (DPC) đã công bố quyết định cuối cùng sau cuộc điều tra đối với Google Ireland Limited (“Google”). Cuộc điều tra do DPC chủ động khởi xướng với tư cách là Cơ quan Giám sát Chính đối với Google vào tháng 2 năm 2020, sau khi nhận được khiếu nại từ một số tổ chức bảo vệ quyền lợi người tiêu dùng tại Châu Âu (bao gồm cả BEUC) liên quan đến việc Google xử lý dữ liệu vị trí đối với một số sản phẩm và dịch vụ nhất định. Phạm vi điều tra tập trung vào việc Google xử lý dữ liệu vị trí trong ba tính năng cụ thể – “Hoạt động trên Web & Ứng dụng” (Web & App Activity), “Lịch sử Vị trí” (Location History) và “Độ chính xác Vị trí” (Location Accuracy) – trong khoảng thời gian từ ngày Quy định chung về bảo vệ dữ liệu (GDPR) bắt đầu có hiệu lực (25 tháng 5 năm 2018) đến ngày 4 tháng 2 năm 2020.

Quyết định này được đưa ra bởi các Ủy viên Bảo vệ Dữ liệu – Tiến sĩ Des Hogan, ông Dale Sunderland và bà Niamh Sweeney – với kết luận rằng Google đã vi phạm GDPR ở các khía cạnh sau:
tính hợp pháp và công bằng trong việc xử lý dữ liệu vị trí đối với các tính năng “Hoạt động trên Web & Ứng dụng” và “Lịch sử Vị trí”;
nghĩa vụ giải trình theo GDPR do không chứng minh được sự tuân thủ các nguyên tắc về tính hợp pháp, công bằng và minh bạch trong việc xử lý dữ liệu cá nhân đối với tính năng “Độ chính xác Vị trí”;
nghĩa vụ minh bạch đối với cả ba tính năng nêu trên; và
việc lưu trữ dữ liệu vị trí đối với các tính năng “Hoạt động trên Web & Ứng dụng” và “Lịch sử Vị trí”.

DPC đã áp dụng các khoản phạt hành chính với tổng trị giá 403 triệu Euro và yêu cầu Google phải điều chỉnh quy trình xử lý dữ liệu để đảm bảo tuân thủ quy định trong vòng 6 tháng. Phó Ủy viên Graham Doyle nhận định:
“Dữ liệu vị trí là một loại dữ liệu cá nhân được xử lý thông qua việc theo dõi vị trí; loại dữ liệu này bao gồm các thông tin do Google thu thập hoặc xử lý mà từ đó – dù đứng độc lập hay kết hợp với các thông tin khác – có thể xác định được vị trí của một cá nhân. Dữ liệu vị trí có thể mang lại cả lợi ích lẫn rủi ro cho các cá nhân. Nó có thể giúp nâng cao đáng kể tính hữu ích của các dịch vụ trực tuyến, nhưng đồng thời cũng có thể tiết lộ lượng lớn thông tin về một cá nhân, bao gồm cả những thông tin mang tính riêng tư cao.

Quy định GDPR thiết lập mức độ bảo vệ dữ liệu cá nhân cao trên toàn Khu vực Kinh tế Châu Âu (EEA) và yêu cầu việc xử lý dữ liệu cá nhân phải được thực hiện một cách hợp pháp, công bằng và minh bạch. Do những thiếu sót của Google trong vấn đề này, các cá nhân có thể đã không hay biết rằng dữ liệu vị trí của họ đang bị sử dụng – chẳng hạn như để tác động đến họ bằng các quảng cáo hoặc để suy đoán về sở thích của họ – và họ có nguy cơ mất quyền kiểm soát đối với dữ liệu cá nhân của mình. Việc Google lưu giữ dữ liệu vị trí của người dùng lâu hơn mức cần thiết càng làm trầm trọng thêm tình trạng mất quyền kiểm soát này”...

Trích lược DPC Press https://www.dataprotection.ie/en/news-media/latest-news/data-protection-commission-fines-google-eu403-million-following-inquiry-googles-processing-location