Theo DPC, Google đã vi phạm Quy định bảo vệ dữ liệu chung của EU (GDPR) trong quá trình xử lý dữ liệu vị trí thông qua 3 tính năng gồm “Web & App Activity” (Hoạt động trên web và ứng dụng), “Location History” (Lịch sử vị trí) và “Location Accuracy” (Độ chính xác vị trí) trong khoảng thời gian từ ngày 25/5/2018 - thời điểm GDPR bắt đầu có hiệu lực - đến ngày 4/2/2020.
DPC mở cuộc điều tra vào tháng 2/2020 sau khi nhận được khiếu nại từ một số tổ chức bảo vệ quyền lợi người tiêu dùng châu Âu, trong đó có BEUC, tổ chức đại diện người tiêu dùng ở cấp độ châu Âu. Nội dung điều tra tập trung vào tính hợp pháp và mức độ minh bạch trong việc Google xử lý dữ liệu vị trí của người dùng.
Kết quả điều tra cho thấy Google không đáp ứng các yêu cầu của GDPR về tính hợp pháp và công bằng trong việc xử lý dữ liệu vị trí thông qua hai tính năng “Web & App Activity” và “Location History”. Đối với “Location Accuracy”, DPC xác định Google không chứng minh được rằng hoạt động xử lý dữ liệu đáp ứng các nguyên tắc về tính hợp pháp, công bằng và minh bạch.
Cơ quan quản lý Ireland cũng kết luận Google không thực hiện đầy đủ nghĩa vụ minh bạch đối với cả ba tính năng, đồng thời lưu giữ dữ liệu vị trí của người dùng trong thời gian lâu hơn mức cần thiết.
Phó Ủy viên DPC Graham Doyle cho rằng dữ liệu vị trí có thể tiết lộ những thông tin rất riêng tư về một cá nhân, kể cả khi được kết hợp gián tiếp với những dữ liệu khác mà Google nắm giữ. Theo ông, những thiếu sót của Google có thể khiến người dùng không nhận thức đầy đủ việc dữ liệu vị trí của họ được sử dụng để phục vụ quảng cáo hoặc suy đoán sở thích, qua đó làm giảm khả năng kiểm soát dữ liệu cá nhân. Việc lưu giữ dữ liệu vị trí lâu hơn mức cần thiết càng làm trầm trọng vấn đề này.
Ngoài khoản phạt, DPC yêu cầu Google đưa các hoạt động xử lý dữ liệu vào trạng thái tuân thủ GDPR trong vòng 6 tháng. Quyết định được đưa ra sau quá trình phối hợp với các cơ quan bảo vệ dữ liệu của các nước thành viên EU.
Khoản phạt 403 triệu euro là một trong những mức phạt lớn nhất mà DPC áp dụng kể từ khi cơ quan này trở thành cơ quan giám sát chính tại EU đối với nhiều tập đoàn công nghệ lớn của Mỹ theo cơ chế GDPR. Đây là mức phạt lớn thứ tư trong tổng số hơn 4 tỷ euro tiền phạt mà DPC đã áp dụng kể từ khi GDPR có hiệu lực. Google chưa đưa ra bình luận về khoản phạt này.
DPC cho biết hiện Google còn là đối tượng của 3 cuộc điều tra theo luật khác, đều đã ở giai đoạn tương đối nâng cao. Cơ quan này cho biết sẽ công bố toàn văn quyết định xử phạt trong thời gian tới.
Cuộc điều tra về dữ liệu vị trí được DPC chính thức khởi động ngày 4/2/2020, với tư cách cơ quan giám sát chính của Google tại EU. Khi đó, DPC cho biết các khiếu nại từ nhiều tổ chức người tiêu dùng châu Âu đặt vấn đề liệu Google có cơ sở pháp lý phù hợp để xử lý dữ liệu vị trí của người dùng hay không, đồng thời liệu công ty có đáp ứng các nghĩa vụ về minh bạch theo GDPR hay không.
