Google bị phạt 403 triệu Euro vì vi phạm GDPR liên quan đến dữ liệu vị trí người dùng
Ủy ban Bảo vệ Dữ liệu Ireland (DPC) đã phạt Google Ireland Limited 403 triệu Euro sau khi kết luận rằng gã khổng lồ công nghệ này đã vi phạm Quy định Bảo vệ Dữ liệu Chung (GDPR) trong quá trình xử lý dữ liệu vị trí của người dùng. Quyết định này, được công bố vào ngày 21 tháng 9 năm 2026, cũng yêu cầu Google đưa các hoạt động xử lý liên quan vào tuân thủ trong vòng sáu tháng.
Hành động thực thi này bắt nguồn từ một cuộc điều tra tự nguyện được mở vào tháng 2 năm 2020 sau khi cơ quan quản lý nhận được khiếu nại từ một số tổ chức quyền lợi người tiêu dùng châu Âu, bao gồm BEUC. Với vai trò là cơ quan giám sát chính của Google tại Liên minh Châu Âu, DPC đã xem xét việc xử lý dữ liệu vị trí được thực hiện từ ngày 25 tháng 5 năm 2018, ngày GDPR có hiệu lực, cho đến ngày 4 tháng 2 năm 2020.
Các tính năng bị điều tra
Theo kết quả được công bố bởi Ủy ban Bảo vệ Dữ liệu, các điều tra viên đã tập trung vào ba tính năng của Google: Web & App Activity, Location History và Android’s Location Accuracy. DPC phát hiện ra rằng Google đã không xử lý thông tin vị trí một cách hợp pháp và công bằng thông qua Web & App Activity và Location History. Cơ quan này cũng xác định các lỗi về tính minh bạch trên cả ba dịch vụ và ra phán quyết rằng Google đã lưu giữ thông tin vị trí quá lâu đối với hai dịch vụ đầu tiên.
Đối với Location Accuracy, cơ quan quản lý cho biết Google không thể chứng minh tuân thủ các yêu cầu về trách nhiệm giải trình của GDPR bao gồm tính hợp pháp, công bằng và minh bạch. Sự phân biệt này rất quan trọng vì trách nhiệm giải trình không chỉ yêu cầu bộ điều khiển dữ liệu phải tuân thủ mà còn phải duy trì bằng chứng cho thấy các thực tiég xử lý dữ liệu của họ đáp ứng quy định.
Chi tiết về các tính năng
Web & App Activity có sẵn cho những người dùng có Tài khoản Google và có thể xử lý thông tin duyệt web, tìm kiếm và vị trí được tạo ra thông qua các trang web và ứng dụng của Google. Location History, yêu cầu sự đồng ý trước, ghi lại di chuyển từ các thiết bị tương thích và sử dụng Google Maps Timeline để hiển thị các địa điểm đã ghé thăm, hoạt động và lộ trình ngay cả khi người dùng không tích cực sử dụng dịch vụ của Google.
Trong khi đó, Location Accuracy là một tính năng của Android kết hợp các tín hiệu để xác định vị trí của thiết bị chính xác hơn GPS đơn lẻ và có thể hoạt động bất kể chủ sở hữu có Tài khoản Google hay không. Các bản ghi vị trí địa lý đòi hỏi các biện pháp kiểm soát quyền riêng tư mạnh mẽ, đặc biệt khi chúng có thể tiết lộ các mẫu di chuyển, thói quen và các địa điểm riêng tư.
Phát hiện của DPC và các nguyên tắc GDPR
Phó Ủy viên DPC Graham Doyle cảnh báo rằng những người dùng bị ảnh hưởng có thể đã không hiểu rằng thông tin vị trí có thể ảnh hưởng đến quảng cáo hoặc cho phép Google suy luận về sở thích của họ, trong khi việc lưu giữ quá mức càng làm giảm quyền kiểm soát của họ. Theo các nguyên tắc của GDPR, các tổ chức phải xử lý dữ liệu cá nhân một cách hợp pháp, công bằng và minh bạch, chỉ thu thập những gì cần thiết và không lưu giữ thông tin nhận dạng cá nhân lâu hơn mức cần thiết.
Các tổ chức sử dụng các sản phẩm có bật định vị phải ghi lại sự tuân thủ của họ. Điều này có nghĩa là họ cần vượt ra ngoài việc chỉ hiển thị sự đồng ý. Họ nên có những lý do rõ ràng để sử dụng dữ liệu vị trí, cung cấp thông báo dễ hiểu, duy trì luồng dữ liệu có thể theo dõi và thực thi lịch trình xóa dữ liệu. Các nhóm bảo mật quyền riêng tư nên kiểm tra xem giao diện sản phẩm có phản ánh chính xác việc thu thập dữ liệu nền, sử dụng quảng cáo, kiểm soát tài khoản và hành vi lưu giữ hay không.
Phản hồi từ Google và các bước tiếp theo
Google cho biết vụ việc liên quan đến các chính sách lịch sử mà họ đã cập nhật. Công ty chỉ ra những thay đổi về quyền riêng tư được giới thiệu từ năm 2019, bao gồm thời gian xóa tự động, kiểm soát tắt quảng cáo được cá nhân hóa và lưu trữ trên thiết bị cho dữ liệu Lịch sử Vị trí. Google trước đây đã nói rằng Timeline tắt theo mặc định và sao lưu đám mây được mã hóa là tùy chọn.
DPC cho biết các cơ quan giám sát châu Âu khác đã hỗ trợ vụ việc và họ sẽ công bố quyết định đầy đủ sau. Cho đến khi tài liệu đó xuất hiện, việc phân bổ chi tiết khoản tiền phạt 403 triệu Euro và các biện pháp khắc phục chính xác vẫn chưa có sẵn. Tuy nhiên, lệnh tuân thủ sáu tháng đặt Google vào một thời hạn chặt chẽ và báo hiệu rằng việc theo dõi vị trí không rõ ràng, trách nhiệm giải trình yếu và lưu giữ quá mức có thể dẫn đến rủi ro pháp lý đáng kể.
Vụ việc này nhấn mạnh tầm quan trọng của an toàn dữ liệu và việc tuân thủ GDPR trong việc xử lý thông tin nhạy cảm của người dùng.
