Irská DPC udělila Googlu pokutu 403 milionů eur za zpracování lokačních dat

Irský Úřad pro ochranu údajů (DPC), který jako vedoucí dozorový orgán posuzuje zpracování osobních údajů evropských uživatelů Googlu, oznámil 21. září 2026 pokutu ve výši 403 milionů eur. Rozhodnutí se týká tří propojených funkcí – nastavení účtu Web & App Activity, služby Location History sledující polohu na mobilních zařízeních a funkce Location Accuracy v Androidu, která zpřesňuje určení polohy pomocí dalších signálů v okolí zařízení.

Vyšetřování identifikovalo hned několik samostatných porušení GDPR. U zpracování lokačních dat v rámci Web & App Activity a Location History DPC zpochybnila zákonnost a férovost zpracování jako takového – tedy zda Google měl pro rozsah sběru a využití dat odpovídající právní základ a zda uživatele o povaze zpracování srozumitelně informoval. U všech tří posuzovaných funkcí úřad dále zjistil nedostatky v transparentnosti, tedy že poskytnuté informace uživatelům neuvžívaly reálně pochopit, jaká data se sbírají a k čemu se používahí. U funkce Location Accuracy DPC navíc konstatovala porušení zásady odpovědnosti (accountability), podle níž musí bôt správce schopen prokázat soulad svého zpracování s nařízením, a to nejen tvrzením, ale doložitelnou dokumentací a vnitřními kontrolami. Poslední zjištěné pochybení se týkalo uchovávání lokačních dat po dobu delší, než bylo nezbytné pro účel, pro který byla sbírána.

Google musí podle rozhodnutí uvést své zpracování lokačních dat do souladu s GDPR do šesti měsíců. Pokuta přitom není splatná okamžitě – podle irského práva ji musí ke skutečné vymahatelnosti potvrdit soud, a Google má zároveň právo podat proti rozhdnutí odvoláí k Vysokému soudu ve lhůtě 28 dní od formálního doručení. Mluvčí společnosti rozhdnutí komentoval tím, že se týká „historických zásad, které byly od té doby aktualizovany", a že Google své postupy v oblasti lokačních dat od roku 2019 podstatně změnil.

Šest a půl roku mezi zahájením vyšetřování a vydáním rozhodnutí vyvolalo kritiku i mimo samotný obsah kauzy. Evropská spotřebitelská organizace BEUC upozornila, že takto pozdní vymáhání může mít v praxi podobný efekt jako vymáhání žádné – uživatelé, jejichž data byla dotčeným zpracováním zasažena, čekali na výsledek roky, zatímco produkty a jejich nastavení se mezitím opakovaně měnily. Pro DPC jde podle dostupných informací o čtvrtou nejvyšší pokutu v historii úřadu, což řadí toto rozhodnutí mezi několik málo případů, kdy irský dozorový úřad – dlouhodobě kritizovaný za pomalé tempo vyšetřování velkých technologických firem – uložil sankci v řádu stovek milionů eur.

Pro firmy, které jako správci nebo zpracovatelé pracují s polohovými nebo jinými behaviorálními daty, rozhodnutí potvrzuje, že dozorové úřady posuzují nejen to, zda existuje formální právní základ zpracování, ale i to, zda je uživatelům skutečně srozumitelný rozsah sbíraných dat a doba jejich uchovávání. Zvlášť u nastavení, která se v průběhu let mění, ale u starších uživatelských účtů zůstávají aktivní podle původních podmínek, roste důraz na to, aby transparentnost a omezení uchovávání odpovídaly aktuálnímu stavu zpracování, ne jen textu z doby, kdy uživatel funkci poprvé aktivoval.