发生了什么

爱尔兰的 数据保护委员会 (DPC) 对谷歌处以 4.03 亿欧元（约合 4.63 亿美元）的罚款，原因是谷歌处理欧洲人位置数据的方式违反了 GDPR。该决定于 9 月 21 日星期一宣布，其第二部分与资金同样重要：谷歌有六个月的时间使其处理合规。

被罚款的实体是 Google Ireland Limited。由于 Google 的欧盟总部位于都柏林，DPC 充当整个欧盟的主要监管机构，并且 欧洲数据保护委员会 公布了最终决定。委员德斯·霍根 (Des Hogan)、戴尔·桑德兰 (Dale Sunderland) 和尼亚姆·斯威尼 (Niamh Sweeney) 签署了该协议。

谷歌的都柏林总部，爱尔兰的 DPC 成为其主要的欧盟监管机构。照片：Jmckinley，维基共享资源， 抄送-SA 3.0。

行为是旧的。该调查于 2020 年 2 月开始，审查了从 2018 年 5 月 25 日（GDPR 生效之日）到 2020 年 2 月 4 日的期间。决定中没有任何内容表明谷歌今天违反了这些规则。

即便如此，这也是 DPC 的第四大 GDPR 罚款。只有 Meta（12 亿欧元，2023 年）、TikTok（5.3 亿欧元）和 Instagram（4.05 亿欧元）支付的费用更高。谷歌以 200 万欧元之差错失第三名。

三种设置，四种发现

调查着眼于三个特征。 网络和应用程序活动 记录您在 Google 服务中所做的事情，包括位置。 位置记录 是一项选择性加入服务，可跟踪手机并推断 Google 地图时间线背后的地点和路线。 定位精度 是 Android 功能，可锐化位置，超出 GPS 单独管理的范围。

DPC 发现了四项单独的侵权行为：

• 合法性与公平性 - 网络和应用程序活动以及位置历史记录中的位置数据处理两者都没有。
• 问责制 - 对于位置准确性，谷歌无法证明其符合合法、公平和透明原则。
• 透明度 - 所有三个功能都没有达到用户必须告知的内容。
• 保留率 - 网络和应用程序活动以及位置历史记录中的位置数据的保存违反了规则。

EDP​​B 引用了 GDPR 第 5、6、12 和 13 条：核心原则、处理的法律依据，以及关于公司必须告诉人们什么以及如何清楚地告诉人们的两篇文章。 DPC 没有说明这 4.03 亿欧元如何分配给调查结果。

副局长格雷厄姆·多伊尔 (Graham Doyle) 围绕所揭示的地点构建了此案。 “位置数据既可以给个人带来好处，也可以带来伤害，”他说。 “它可以极大地提高在线服务的实用性，但它也可以泄露有关个人的大量信息，包括本质上私密的信息。”根据 爱尔兰时报他补充说，用户可能不知道他们的位置被用来“通过广告影响他们或推断他们的兴趣，并且可能失去对他们个人数据的控制”。

从投诉到罚款近八年

该案件始于 2018 年 11 月，当时来自挪威、荷兰、希腊、捷克共和国、斯洛文尼亚、波兰、瑞典和丹麦的八个消费者团体提出了投诉，并由 欧洲大学学院，欧洲消费者组织。他们的证据来自挪威消费者委员会对谷歌屏幕如何引导人们共享位置的研究。 2022 年，这些团体再次提出投诉，因为他们标记的欺骗性设计仍然存在。

BEUC 对罚款表示欢迎，同时也对等待提出了批评。总干事阿古斯丁·雷纳 (Agustín Reyna) 表示：“这一决定对消费者来说是个好消息，因为它追究了谷歌的责任，并证实了这家科技巨头获得用户同意使用用户位置数据的方式是非法的。” “多年来，谷歌一直在追踪数亿欧洲消费者，以尽可能多地了解他们。”

然后是更尖锐的一句话：“得出这个结论所需的时间与侵权的严重程度不成比例。延迟执行可能与根本不执行一样有害。”

仅就日期而言，这一点很难争论。 2018 年提交的投诉已对 2020 年初结束的行为在 2026 年进行了处罚。BEUC 称地理定位是“最具侵入性的商业监控形式之一”，因为它可以揭示宗教、健康、政治和性取向，而在这八年的大部分时间里，相关数据一直存在于谷歌的系统中。

谷歌所说的已经改变

谷歌的回应，来自一位不愿透露姓名的发言人，主要是根据案件发生的时间来做出的：“这个案件围绕着后来更新的历史政策。从 2019 年开始，我们显着改进了我们的做法，并推出了强大的工具，使管理位置数据变得简单。”

其中最大的变化发生在 2023 年 12 月 12 日，当时 谷歌地图宣布 时间线将从谷歌的服务器上转移到手机上。默认自动删除期限从 18 个月下降到 3 个月。云备份变得可选，并且端到端加密，因此 Google 本身无法读取它。现在，点击地图中的蓝色位置点可直接打开位置控件。

谷歌还表示，网络和应用程序活动不再保存设备的精确位置，并指出运行 3 至 36 个月的自动删除选项。

这些变化是真实的，它们直接解决了四个发现中的两个：保留和可以说的透明度。他们没有解决这个案子。六个月的合规令适用于谷歌现在处理数据的方式，这意味着监管机构将根据其调查结果来衡量当前的设置，而不是将 2023 年的公告作为最后的决定。

在您自己的帐户中检查什么

该裁决对用户没有任何要求，也不会退款。花 5 分钟了解三个控件仍然是一个很好的理由，所有这些控件截至 2026 年 9 月均已存在。

开始于 网络和应用程序活动 在您的 Google 帐户中。查看是否开启，如果开启，选择一个自动删除时间段；谷歌提供的最短期限是三个月。

时间轴 现在已存储在您的手机上。如果您打开加密备份，您的历史记录也会存储在 Google 的云中，这在您更换手机时很方便，但如果您从不查看时间轴，则毫无意义。最快的路线是 Google 地图上的蓝点。

定位精度 位于您 Android 手机的位置设置中，而不是您的 Google 帐户中。 DPC 表示，谷歌无法证明它是合法、公平和透明的，所以即使你从未接触过它，也值得一看。

对于构建任何收集位置信息的开发人员来说，调查结果可以理解为失败的清单：通过旨在推动的屏幕获得同意、无人定义的保留期限以及公司无法记录其数据使用的功能。其中任何一个都足以在这里找到一个发现。

接下来会发生什么

谷歌现在有六个月的时间来遵守。尽管《爱尔兰时报》报道称，谷歌可能会对裁决的某些内容提出质疑，但谷歌尚未表示将上诉，这会将诉讼移至爱尔兰法院。

这也不是 DPC 对 Google 的最后一句话。监管机构还在后期阶段对该公司进行了另外三项大规模调查，因此可能会做出更多决定，而且时间可能比这次的八年更短。