De Ierse Data Protection Commission (DPC) heeft Google een boete van €403 miljoen opgelegd vanwege meerdere overtredingen van de Algemene Verordening Gegevensbescherming (AVG) met betrekking tot de verwerking van locatiegegevens van gebruikers. De toezichthouder startte in februari 2020 een onderzoek na klachten van consumentenrechtenorganisaties en richtte zich op drie Google-functies die actief waren tussen 25 mei 2018 en 4 februari 2020, de periode waarin de AVG van kracht is.

De onderzochte functies betroffen de instellingen Web- en App-activiteit, Locatiegeschiedenis en Locatie-nauwkeurigheid. Web- en App-activiteit is een instelling voor Google-accountgebruikers die Google toestaat om activiteiten over verschillende diensten te verwerken, waaronder mogelijk browsegeschiedenis, zoekgeschiedenis en locatiegegevens. Locatiegeschiedenis is een opt-in dienst die gebruikers met compatibele mobiele apparaten volgt en bezochte locaties, activiteiten en routes kan afleiden, zichtbaar gemaakt via een privé Google Maps Tijdlijn, ook als de gebruiker geen actieve Google-dienst gebruikt. Locatie-nauwkeurigheid is een Android-functie die de positie van een apparaat nauwkeuriger bepaalt dan alleen GPS, ongeacht of de gebruiker een Google-account heeft.

De DPC concludeerde dat Google locatiegegevens via Web- en App-activiteit en Locatiegeschiedenis verwerkte zonder te voldoen aan de AVG-vereisten. Daarnaast kon Google niet aantonen dat de verwerking van persoonsgegevens via Locatie-nauwkeurigheid voldeed aan de AVG-principes. De Ierse toezichthouder stelt dat Google niet voldeed aan de transparantieverplichtingen voor alle drie de functies en dat locatiegegevens langer werden bewaard dan noodzakelijk. Volgens Deputy Commissioner Graham Doyle waren gebruikers zich mogelijk niet bewust dat hun locatiegegevens werden gebruikt om hen bijvoorbeeld met advertenties te beïnvloeden of hun interesses af te leiden, waardoor zij de controle over hun persoonsgegevens verloren. Het langer bewaren van locatiegegevens verergerde dit verlies aan controle.

De DPC heeft Google een bestuurlijke boete opgelegd van in totaal €403 miljoen en eist dat het bedrijf binnen zes maanden de verwerking van gebruikersgegevens in overeenstemming brengt met de AVG. De volledige beslissing van de toezichthouder is nog niet gepubliceerd, maar zal in de toekomst beschikbaar komen. Google liet in een verklaring weten dat het sindsdien zijn beleid en praktijken heeft aangepast en een mechanisme heeft geïmplementeerd om locatiegegevens eenvoudig te beheren. Volgens een woordvoerder van Google gaat het om historische beleidslijnen die inmiddels zijn bijgewerkt en zijn er sinds 2019 robuuste tools geïntroduceerd om het beheer van locatiegegevens te vereenvoudigen. Zo kunnen gebruikers nu een tijdlijn instellen voor automatische verwijdering van gegevens en wordt informatie van Google Maps Tijdlijn lokaal op het apparaat opgeslagen en automatisch verwijderd na drie maanden. Tevens stelt Google dat het geen precieze apparaatlocaties opslaat in Web- en App-activiteit, maar slechts een geschat algemeen gebied.