Articol 1

GDPR: Google, sancționat cu 50 de milioane de euro pentru greșeli de

începător. Impactul deciziei în piață
Luni, 4 februarie 2019, 9:51

Google a fost sancționat, pe 21 ianuarie 2019, cu 50 de milioane euro pentru încălcarea de

lungă durată a unor prevederi fundamentale prevăzute de GDPR cu privire la obligațiile de
informare, dar si de justificare a unui temei legal, cu care entitățile trebuie să se
conformeze atunci când procedează la prelucrarea datelor cu caracter personal ale
persoanelor vizate.

Sancționarea Google în acest fel este un răspuns firesc având în vedere varietatea de date pe care le
prelucrează și impactul inerent asupra vieții private a utilizatorilor care rezultă din combinarea
seturilor de date și identificarea unor caracteristici intrinseci comportamentului, identității și
preferințelor utilizatorilor. Vom prezenta în cele ce urmează principalele aspecte de interes care rezultă
în urma analizării deciziei autorității din Franța (CNIL).

Google nu pare să se poată prevala de aplicabilitatea conceptului de one stop shop prevăzut
de GDPR
…

Google nu respectă principiul transparenței prevăzut de GDPR

În urma analizării informațiilor existente pe site-urile Google, precum și a celor furnizate de către
operator la momentul configurării telefonului cu sistem de operare Android prin utilizarea datelor de
identificare si sistemelor Google, CNIL consideră că informația furnizată este dispersată în mod
excesiv, fragmentată, incompletă și neclară. Spre exemplu, pentru a înțelege modul în care sunt
personalizate reclamele furnizate de Google de către Google, este nevoie de 5 acțiuni sau mai multe -
accesarea politicii generale de confidențialitate, a funcției "mai multe informații", precum și citirea
altor documente ce conțin reguli de confidențialitate și a secțiunilor referitoare la servicii personalizate.
Astfel, persoana vizată trebuie permanent să pună la îndoială caracterul complet al informației
furnizate, verificând în numeroase locuri pentru a putea înțelege modul în care îi sunt prelucrate datele
cu caracter personal.

Mai mult decât atât, critica adusă Google subliniază faptul că din arhitectura sistemului de furnizare a
informațiilor, utilizatorul este mai înclinat să acceseze aceste date ulterior activării contului pe
dispozitivele Android, și implicit colectării suplimentare de date, și nu de la momentul sau anterior
colectării acestor date. Astfel, așteptările persoanelor vizate cu privire la implicațiile și consecințele
aferente prelucrării datelor cu caracter personal de către Google sunt scăzute. În plus, Google nu
prevede nici perioade de retenție sau reguli de determinare a acestora pentru datele pe care le
prelucrează.

Conform CNIL, necesitatea furnizării acestor informații în conformitate cu prevederile GDPR este foarte
importantă, în special datorită cantității de date cu caracter personal colectate (i.e., milioane de
utilizatori), a caracterului intruziv al acestora (i.e., inclusiv date de natură comportamentală) și
varietății de surse utilizate (i.e., de la date stocate în telefon, la cuvinte căutate pe Google,
videoclipuri vizualizate pe Youtube sau acțiuni realizate pe paginile de internet ale entităților terțe care
utilizează plug-in-uri/cookie-uri Google).

Google nu respectă condițiile de validitate ale consimțământului prevăzute de GDPR

În acest sens, CNIL nu consideră că acordul oferit de utilizatorii Google cu privire la personalizarea
reclamelor furnizate de acesta este informat, exprimat printr-o acțiune afirmativă, specific și distinct
față de celelalte prevederi ale termenilor si condițiilor Google.

Având în vedere că acordul pentru personalizarea reclamelor este inclus in termenii și condițiile
Google, observațiile anterioare referitoare la informare sunt aplicabile și în acest caz. În plus, acesta
este oferit en bloc și în mod nespecific, pentru toate scopurile de prelucrare a datelor prevăzute în
respectivii termeni și condiții, fiind astfel exprimat prin aceeași acțiune prin care utilizatorii își exprima
acordul cu privire la activarea contului Google. Pe lângă toate acestea, decizia CNIL menționează și
faptul că deși utilizatorii au posibilitatea de a modifica acordul cu privire la prezentarea de reclame
personalizate, pot face aceasta ulterior, după activarea contului, acest acord fiind considerat a fi
acordat în mod automat la activare.

Astfel, deși toate acestea par erori de bază ale Google în raport cu prelucrarea datelor cu caracter
personal, acesta a perseverat în replicarea lor de la momentul la care a dezvoltat aplicația aferenta
contului Google. Ele reprezintă, bineînțeles mici puncte de analiză pe lângă problemele mai importante
ale Google cu privire la profilarea utilizatorilor, furnizarea informațiilor statistice cu privire la
activitatea acestor utilizatori către terțe părți, colectarea nelimitată a datelor prin cookies sau social
plug ins.

Impactul deciziei

De fapt, impactul acestei decizii este mult mai mare decât cel raportat strict la persoanele fizice care
utilizează serviciile Google (deloc de neglijat nici acesta, în contextul popularizării imense și utilizării
pe scară largă a serviciilor). Practic, efectele deciziei vizează și entitățile terțe care se utilizează
produsele Google – de tip Google Analytics, Google Ads, social plug-inurile aferente Google sau
Youtube. De ce? În special pentru că acestea de multe ori se bazează pe informarea realizată de
Google cu privire la produsele lor, și, uneori chiar și pe temeiul identificat de acesta în cazurile în care
acționează ca și operator.

Care ar fi pașii următori?

Fiecare business ar trebui sa analizeze atent produsele Google utilizate, în special datele colectate prin
intermediul acestora (e.g., de la date cu caracter personal obișnuite, la date obținute prin cookies) și
să procedeze la informarea persoanelor vizate cu privire la aceste prelucrări pe cont propriu. Entitățile
trebuie să încerce să negocieze cu Google termenii contractuali, deoarece având în vedere ultimele
evenimente este posibil ca acesta să fie mai receptiv în acest sens. De asemenea, nu este exclus
focusul imediat următor al altor autorități din UE cu privire la aspectele semnalate în cadrul deciziei
CNIL, cu atât mai mult cu cat autoritățile competente din Suedia și Cehia au anunțat imediat ulterior
publicării deciziei că investighează diferite plângeri împotriva Google vizând informarea utilizatorilor și
modalitatea de obținere a consimțământului.