Πρόστιμο 403 εκατ. ευρώ στη Google για δεδομένα θέσης

Μπαίνεις στις ρυθμίσεις του Android, κλείνεις το «Ιστορικό τοποθεσίας» (Location History) και θεωρείς ότι σταμάτησες τη Google να καταγράφει πού πηγαίνεις. Έκλεισες όμως μόνο έναν από τρεις διακόπτες — και οι άλλοι δύο μπορούσαν να μένουν ανοιχτοί. Πάνω σε αυτό ακριβώς πάτησε η απόφαση με την οποία η ιρλανδική Αρχή Προστασίας Δεδομένων (DPC) τιμώρησε τη Google.

Τρεις διακόπτες, όχι ένας

Το κλειδί της υπόθεσης είναι ότι η Google δεν είχε έναν διακόπτη θέσης, αλλά τρεις — με διαφορετική δουλειά ο καθένας. Σκέψου ένα ταξί. Το Android Location Accuracy είναι τα όργανα του ταμπλό που δείχνουν πού βρίσκεται το αυτοκίνητο τώρα: υπολογίζει την τρέχουσα θέση από όποιο σήμα διαθέτει το τηλέφωνο, ακόμη και χωρίς λογαριασμό Google. Το Web & App Activity είναι το βιβλίο αποδείξεων: κάθε αναζήτηση ή χρήση εφαρμογής μπορούσε να αποθηκευτεί μαζί με την τοποθεσία της. Και το Ιστορικό τοποθεσίας είναι το ημερολόγιο διαδρομών — πού πήγες, πότε, με ποια πορεία.

Το ουσιώδες: κλείνοντας το «ημερολόγιο» δεν έκλεινες τα άλλα δύο κανάλια. Μια αναζήτηση «φαρμακείο κοντά μου» μπορούσε να αξιοποιήσει το Location Accuracy και να καταγραφεί μέσω του Web & App Activity, χωρίς καθόλου ενεργό Ιστορικό τοποθεσίας (Android Help, BleepingComputer).

Δεν είναι θεωρία. Δοκιμές του Associated Press, επαληθευμένες από ερευνητές του Princeton, είχαν δείξει ότι με κλειστό το Ιστορικό τοποθεσίας ορισμένες ενέργειες —ο χάρτης, ο καιρός, μια απλή αναζήτηση— συνέχιζαν να δημιουργούν εγγραφές θέσης μέσω άλλων ρυθμίσεων (AP). Και δεν πρόκειται για αδιάφορα ίχνη: από τη σύνθεση τέτοιων εγγραφών μπορούν να συναχθούν τα ενδιαφέροντά σου, οι συνηθισμένες σου διαδρομές και τα μέρη που επισκέπτεσαι.

Ποια παράβαση σε ποια λειτουργία

Η DPC δεν έκρινε τις τρεις λειτουργίες με τον ίδιο τρόπο. Για το Web & App Activity και το Ιστορικό τοποθεσίας διαπίστωσε ότι η επεξεργασία δεν ήταν νόμιμη και δίκαιη — ο χρήστης έδινε συγκατάθεση χωρίς να του εξηγείται καθαρά τι θα καταγραφεί — και ότι τα δεδομένα κρατούνταν περισσότερο απ' όσο χρειαζόταν. Για το Android Location Accuracy το κύριο εύρημα ήταν λογοδοσίας: η Google δεν απέδειξε ότι συμμορφωνόταν, δεν έδειξε δηλαδή τα αρχεία και τις διαδικασίες που το τεκμηριώνουν (DPC, IAPP).

Για αυτές τις παραβάσεις η DPC επέβαλε πρόστιμα συνολικού ύψους 403 εκατ. ευρώ, για επεξεργασία δεδομένων θέσης από τον Μάιο του 2018 έως τον Φεβρουάριο του 2020, και έδωσε στη Google έξι μήνες για να συμμορφωθεί (DPC, RTÉ). Την κύρωση την επέβαλε η εθνική αρχή της Ιρλανδίας, που λειτουργεί ως επικεφαλής εποπτική αρχή για τη Google στο σύστημα του GDPR· είναι, σύμφωνα με την Irish Times, η τέταρτη μεγαλύτερη της DPC, μετά τις αποφάσεις για Meta, TikTok και Instagram.

Πίσω από το ποσό υπάρχει μια αργή διαδρομή. Οι πρώτες συντονισμένες καταγγελίες οκτώ οργανώσεων καταναλωτών κατατέθηκαν τον Νοέμβριο του 2018, με βάση έκθεση νορβηγικής οργάνωσης καταναλωτών που είχε καταγράψει βήμα βήμα πώς οι επιλογές θάβονταν πίσω από πρόσθετα μενού (Forbrukerrådet). Η DPC άνοιξε έρευνα στις 4 Φεβρουαρίου 2020 και εξέδωσε την απόφαση στις 21 Σεπτεμβρίου 2026 (DPC) — σχεδόν οκτώ χρόνια από τις καταγγελίες, πάνω από έξι από το άνοιγμα της έρευνας. Η ευρωπαϊκή ομοσπονδία καταναλωτών BEUC χαιρέτισε την κύρωση αλλά επέκρινε την καθυστέρηση (BEUC, Euronews).

«Ιστορικές πολιτικές», λέει η Google

Η απάντηση της Google είναι ότι οι επίμαχες πρακτικές είναι ιστορικές και έχουν αλλάξει από το 2019. Ένα κομμάτι αυτού επαληθεύεται: τον Μάιο του 2019 προστέθηκε επιλογή αυτόματης διαγραφής μετά από 3 ή 18 μήνες για το Web & App Activity και το Ιστορικό τοποθεσίας, ενώ από το 2023 το ημερολόγιο διαδρομών μεταφέρθηκε στη συσκευή του χρήστη (BBC, CNET). Οι αλλαγές αποδεικνύουν ότι το προϊόν εξελίχθηκε. Δεν αποδεικνύουν ότι η σημερινή εφαρμογή ικανοποιεί την απόφαση — δεν υπάρχει ανεξάρτητος έλεγχος που να το πιστοποιεί, ούτε εντοπίστηκε συγκεκριμένη, χρονολογημένη αλλαγή που να απαντά στο εύρημα λογοδοσίας για το Android Location Accuracy.

Το πρόστιμο τιμωρεί το παρελθόν· η εξάμηνη εντολή συμμόρφωσης μπορεί να επιβάλει και αλλαγές στο μέλλον. Τι ακριβώς θα δει ο χρήστης, όμως, μένει άγνωστο: η πλήρης απόφαση, με το νομικό σκεπτικό και τα συγκεκριμένα διορθωτικά μέτρα, δεν έχει ακόμη δημοσιευθεί (IAPP). Μέχρι τότε ισχύει αυτό που έφερε την υπόθεση εδώ — οι τρεις διακόπτες παραμένουν ξεχωριστοί, και το κλείσιμο του ενός δεν κλείνει τους άλλους δύο (Google Account Help, Google Maps Help).