Ирландия оштрафовала Google на 403 млн евро за игры с геоданными

Ирландский регулятор DPC оштрафовал Google на 403 млн евро за нарушения GDPR при обработке данных о местоположении пользователей Android и сервисов компании. Расследование велось больше 6 лет и охватило работу сразу трёх систем, в частности Web & App Activity, Location History и Location Accuracy. Google дала 6 месяцев на то, чтобы привести все процессы в порядок.

Жалобы поступили ещё в феврале 2020 года от нескольких европейских организаций по защите прав потребителей, среди которых была European Consumer Organisation. DPC разбирала период с 25 мая 2018 года по 4 февраля 2020 года, ведь в этот день в ЕС вступил в силу GDPR. Три системы работали совершенно по-разному, и регулятору пришлось разбираться в каждой отдельно:

• Web & App Activity собирала данные о поисковых запросах, посещённых сайтах и местоположении в зависимости от настроек аккаунта;
• Location History фиксировала перемещения совместимых устройств и строила Timeline с маршрутами и посещёнными местами;
• Location Accuracy уточняла координаты Android-устройства за счёт Wi-Fi, датчиков и сотовых вышек, а не только GPS, и работала даже без аккаунта Google.

Регулятор пришёл к выводу, что Google нарушила сразу несколько принципов GDPR. Web & App Activity и Location History не соответствовали требованиям законности и справедливости обработки данных о местоположении. Location Accuracy, по мнению DPC, не подтвердила соответствие ни законности, ни справедливости, ни прозрачности.

Пользователь мог годами листать настройки телефона и не подозревать, какой объём информации о его перемещениях копится в дата-центрах Google. DPC прямо указала, что людям не объясняли, какие данные собираются, зачем они нужны и как влияют на дальнейшую работу сервисов.

Отмечается, что геоданные способны рассказать о человеке куда больше, чем просто точка на карте, ведь они выдают привычки, маршруты и даже круг общения.

DPC отдельно обратила внимание на возможное использование геоданных для рекламы и профилирования интересов пользователей. Компания, по выводам расследования, хранила часть данных о местоположении дольше необходимого срока, а чем дольше живёт подробная база маршрутов человека, тем больше выводов из неё можно вытащить.

Из связки геометок и другой активности аккаунта вполне реально собрать подробный цифровой портрет человека:

• где он живёт и работает;
• какие места посещает регулярно, от спортзала до кафе;
• по каким маршрутам передвигается в течение дня;
• с кем пересекается часто, если сопоставить локации нескольких аккаунтов.

Штраф в 403 млн евро стал четвёртым по размеру за годы работы ирландского DPC в статусе ведущего регулятора для крупных техкомпаний, зарегистрированных в Ирландии. Суммарно ведомство уже назначило больше 4 млрд евро штрафов по GDPR. У DPC на руках ещё 3 отдельных расследования в отношении Google, и все они уже на продвинутом этапе. Что там под капотом, регулятор пока не раскрывает.

Заместитель комиссара ирландского DPC Грэм Дойл отметил, что геоданные заметно повышают удобство цифровых сервисов, но одновременно раскрывают немало деталей о частной жизни человека. Он также отметил, что недостаточная прозрачность могла привести к потере контроля над собственными данными, а долгие сроки хранения только усиливали эту проблему.

В 2025 году ирландские журналисты купили у брокера данных набор геометок и восстановили маршруты сотен людей почти в реальном времени, просто сопоставив точки с картой города. Для российских пользователей Android эта тема касается напрямую, ведь те же самые переключатели Web & App Activity и Location History стоят в настройках аккаунта Google вне зависимости от страны, а рынок брокеров геоданных существует далеко не только в Европе.

Проверить, что конкретно Google знает о перемещениях, можно за пару минут в настройках аккаунта:

• в разделе Location History можно посмотреть и удалить сохранённый Timeline;
• в настройках Web & App Activity доступно отключение сбора поисковых запросов и геометок;
• Location Accuracy можно выключить отдельно от основной геолокации в системных настройках Android;
• автоматическое удаление данных настраивается на срок от 3 до 36 месяцев.

Уточняется, что ручная чистка этих трёх настроек занимает буквально пару минут, а разница в объёме собранных данных после этого заметна почти сразу.

Компания Google заявила, что с 2019 года заметно поменяла методы работы с геоданными и добавила пользователям больше инструментов для управления настройками. Решение DPC касается прежних методов работы компании за 2018-2020 годы, и нынешние механизмы Google могут отличаться от тех, что проверял регулятор. Полный текст решения ирландский регулятор пока не опубликовал, поэтому конкретные требования к изменениям могут проясниться позже.

Коротко о статусе дела на 21 сентября 2026 года:

• штраф в 403 млн евро нужно оплатить, апелляция пока не заявлена;
• у Google есть 6 месяцев на исправление процессов;
• DPC ведёт ещё 3 расследования в отношении компании;
• полный текст решения регулятор опубликует позже.

Эксперты CISOCLUB считают штраф скорее символическим для компании такого масштаба, но обращают внимание на системный сигнал регуляторов Евросоюза технологическим гигантам. По их мнению, три отдельных механизма сбора геоданных внутри одного аккаунта Google на деле создают ровно тот случай, когда пользователю физически сложно разобраться, что и где происходит с его данными.

Специалисты добавляют, что похожая путаница в настройках встречается практически у любого крупного сервиса, а не только у Google. Отдельно отмечается риск для обычных пользователей Android в России, у которых чаще всего нет юридических рычагов давления на ирландского регулятора, зато есть тот же самый набор переключателей в смартфоне. Поэтому ручная проверка настроек геолокации остаётся, пожалуй, единственным реальным способом контроля за собственными перемещениями хоть в Европе, хоть за её пределами.

Ранее сообщалось, что в мире за 2025 год и первое полугодие 2026 года было зафиксировано 339 штрафов, связанных с утечками персональных данных, из них 35 пришлись на Россию. Только за первые шесть месяцев 2026 года зарегистрировали 115 таких штрафов по всему миру, включая 13 в России, следует из отчёта экспертно-аналитического центра (ЭАЦ) ГК InfoWatch «Штрафы организациям за утечки персональных данных. Мир — Россия, 2025–2026 годы». При этом общая сумма российских штрафов за утечки персональных данных за первое полугодие 2026 года превысила показатель за весь 2025 год.