Google bị phạt 403 triệu euro vì xử lí sai dữ liệu vị trí

VHO - Ủy ban Bảo vệ Dữ liệu Ireland (DPC), cơ quan quản lí chính về bảo vệ dữ liệu của Liên minh châu Âu (EU), ngày 21.9 thông báo xử phạt Google 403 triệu euro (tương đương 463 triệu USD) sau cuộc điều tra kéo dài 6 năm về việc xử lí dữ liệu vị trí người dùng.

DPC mở cuộc điều tra vào tháng 2.2020, sau khi nhận được khiếu nại từ một số tổ chức bảo vệ quyền lợi người tiêu dùng châu Âu, trong đó có tổ chức đại diện người tiêu dùng ở cấp độ châu Âu (BEUC).

Nội dung điều tra tập trung vào tính hợp pháp và mức độ minh bạch trong việc Google xử lí dữ liệu vị trí của người dùng. Ireland là cơ quan quản lí chính đối với Google tại 27 quốc gia thành viên EU, do tập đoàn công nghệ Mỹ đặt trụ sở châu Âu tại Dublin.

Theo DPC, Google đã vi phạm Quy định bảo vệ dữ liệu chung của EU (GDPR) trong quá trình xử lí dữ liệu vị trí thông qua 3 tính năng gồm “Web & App Activity” (Hoạt động trên web và ứng dụng), “Location History” (Lịch sử vị trí) và “Location Accuracy” (Độ chính xác vị trí) trong khoảng thời gian từ ngày 25.5.2018 - thời điểm GDPR bắt đầu có hiệu lực - đến ngày 4.2.2020.

Trong đó, “Location History” theo dõi vị trí thiết bị để xác định địa điểm, hoạt động và hành trình thể hiện qua Timeline trên Google Maps; “Web & App Activity” lưu thông tin hoạt động gồm lịch sử tìm kiếm, duyệt web và dữ liệu vị trí; còn “Location Accuracy” là tính năng trên Android giúp xác định vị trí chính xác hơn bằng cách kết hợp GPS với các nguồn dữ liệu khác.

Kết quả điều tra cho thấy, Google không đáp ứng các yêu cầu của GDPR về tính hợp pháp và công bằng trong việc xử lí dữ liệu vị trí thông qua hai tính năng “Web & App Activity” và “Location History”.

Đối với “Location Accuracy”, DPC xác định Google không chứng minh được rằng hoạt động xử lí dữ liệu đáp ứng các nguyên tắc về tính hợp pháp, công bằng và minh bạch.

Cơ quan quản lí Ireland cũng kết luận Google không thực hiện đầy đủ nghĩa vụ minh bạch đối với cả ba tính năng, đồng thời lưu giữ dữ liệu vị trí của người dùng trong thời gian lâu hơn mức cần thiết.

Phó Ủy viên DPC Graham Doyle cho rằng dữ liệu vị trí có thể tiết lộ những thông tin rất riêng tư về một cá nhân, kể cả khi được kết hợp gián tiếp với những dữ liệu khác mà Google nắm giữ.

Theo ông, dữ liệu này có thể nâng cao tính hữu ích của dịch vụ trực tuyến nhưng cũng có thể tiết lộ lượng lớn thông tin riêng tư, khiến người dùng không nhận thức đầy đủ việc dữ liệu vị trí được sử dụng để phục vụ quảng cáo hoặc suy đoán sở thích, qua đó làm giảm khả năng kiểm soát dữ liệu cá nhân và việc lưu giữ lâu hơn mức cần thiết càng làm trầm trọng vấn đề.

Ngoài khoản phạt, DPC yêu cầu Google đưa các hoạt động xử lí dữ liệu vào trạng thái tuân thủ GDPR trong vòng 6 tháng sau quá trình phối hợp các cơ quan bảo vệ dữ liệu của các nước thành viên EU.

Khoản phạt 403 triệu euro là một trong những mức phạt lớn nhất mà DPC áp dụng từ khi trở thành cơ quan giám sát chính tại EU đối với nhiều tập đoàn công nghệ lớn của Mỹ theo cơ chế GDPR, đồng thời là mức phạt lớn thứ tư trong tổng số hơn 4 tỉ euro tiền phạt mà cơ quan này đã áp dụng, xếp sau TikTok và Meta.

Đại diện Google cho biết vụ việc liên quan đến những chính sách được áp dụng trong quá khứ và hiện đã được cập nhật, từ năm 2019 tập đoàn đã thay đổi đáng kể cách thức hoạt động và triển khai các công cụ mạnh mẽ giúp người dùng quản lí dữ liệu vị trí một cách đơn giản.

DPC cho biết hiện Google còn là đối tượng của 3 cuộc điều tra theo luật khác, đều đã ở giai đoạn tương đối nâng cao. Cơ quan này cho biết sẽ công bố toàn văn quyết định xử phạt trong thời gian tới.