Irländsk myndighet böter Google för 403 miljoner euro

Den irländska dataskyddsmyndigheten, DPC, har beslutat att böta Alphabet:s dotterbolag Google med 403 000 000 euro. Beslutet fattades efter en utredning av hur företaget hanterar användarnas platsdata. Myndigheten meddelade detta i ett uttalande på måndagen.

Utredningen inleddes i februari 2020 efter att myndigheten mottagit ett stort antal klagomål från konsumentorganisationer i Europeiska unionen. Dessa organisationer ifrågasatte både den rättsliga grunden för behandlingen och den transparens som Google tillämpade i processen. DPC:s uppdrag var att fastställa om företaget hade en giltig laglig grund för att behandla platsdata och om det uppfyllde sina skyldigheter som dataansvarig när det gäller att informera användarna.

Bakgrunden till konflikten kan spåras tillbaka till en undersökning som publicerades av Associated Press år 2018. Den undersökningen visade att Google kunde fortsätta samla in platsinformation via andra metoder, såsom webbanvändningsdata, även när användare hade stängt av inställningen för platshistorik i sina konton. Denna information användes sedan för att visa reklam.

I november 2022 nådde Google en överenskommelse med fyrtio amerikanska delstater. Enligt avtalet betalade företaget 392 000 000 dollar och förbinder sig att korrigera felaktiga beskrivningar av hur platsinställningarna faktiskt fungerar.

DPC har makt att böta Google eftersom bolagets europeiska huvudkontor ligger i Irland. Enligt den gemensamma dataskyddsförordningen, GDPR, fungerar den irländska myndigheten som den ledande tillsynsmyndigheten för bolag som hanterar data över gränser inom unionen. DPC har länge haft denna roll för flera stora amerikanska teknikföretag.

Böterna baseras på artikel 83 i GDPR, som delar in överträdelser i två nivåer. Allmänna överträdelser kan leda till böter på upp till 10 000 000 euro eller två procent av företagets globala årsomsättning. Allvarliga överträdelser, som inkluderar behandling utan laglig grund eller bristande hantering av användaransökningar, kan medföra böter på upp till 20 000 000 euro eller fyra procent av omsättningen. I praktiken kopplas bötesbeloppet ofta till omfattningen och varaktigheten av datahanteringen.

Bötesbeslutet innebär inte att pengarna betalas omedelbart. Enligt irländsk lag måste böterna bekräftas av en domstol innan de ska betalas. Om företaget inte överklagar måste DPC ansöka om bekräftelse vid en distriktsdomstol. Om företaget överklagar får böterna inte tas ut under pågående rättsliga processer. Enligt DPC:s egna siffror har myndigheten totalt delat ut böter för mer än 4 000 000 000 euro, men bara cirka 20 000 000 euro har faktiskt inbetalats hittills.