Google получила штраф 403 млн евро в Ирландии за сбор геоданных пользователей без их ведома

403 млн евро, около 463 млн долларов. Такой штраф Google получила 21 сентября от Комиссии по защите данных Ирландии (DPC) — главного надзорного органа по делам компании в Евросоюзе. Первые сообщения вышли в 12:22 по Москве. Регулятор решил, что в 2018–2020 годах Google обрабатывала геоданные пользователей с нарушениями европейского регламента GDPR, и дал шесть месяцев, чтобы привести обработку в порядок. По подсчётам Reuters, это четвёртый по размеру штраф в истории ирландского регулятора.

Что именно нашёл регулятор

Расследование DPC начала сама, в феврале 2020 года, после жалоб нескольких европейских организаций потребителей, среди них BEUC. Проверяли период с 25 мая 2018 года, когда заработал GDPR, по 4 февраля 2020 года.

Под проверку попали три настройки:

Суть претензии регулятор сформулировал просто. Люди могли не понимать, что их местоположение используют, например, чтобы показывать рекламу или делать выводы об их интересах. И теряли контроль над своими данными.

Отдельно досталось хранению. «Хранение геоданных пользователей дольше необходимого усугубляло эту потерю контроля», — сказал заместитель комиссара Грэм Дойл. Решение приняли комиссары Дес Хоган, Дейл Сандерленд и Ниам Суини.

Google ответила, что дело касается старых правил, которые давно изменены. С 2019 года компания добавила автоматическое удаление данных, управление рекламой и больше прозрачности. По данным ирландского вещателя RTÉ, решение Google собирается обжаловать.

Что это значит для компаний в России

GDPR напрямую российский бизнес не касается. Но логика ирландского решения почти дословно совпадает с тем, что требует 152-ФЗ. Нужно основание для обработки: согласие или другое законное основание. Человеку должно быть понятно, что и зачем о нём собирают. И хранить персональные данные можно не дольше, чем требует цель обработки. Эту норму закона компании нарушают чаще остальных, причём сами того не замечая.

Возьмём обычный отдел продаж. Записи звонков лежат в телефонии и в CRM годами. Никто не помнит, зачем их хранят, кто к ним имеет доступ и когда их можно удалить. А в записи — голос, имя, телефон, иногда адрес и подробности о семье клиента. Это те же персональные данные, только в звуке. Как записывать разговоры по правилам и что говорить клиенту в начале звонка, мы подробно разбирали в статье «Запись телефонных разговоров и 152-ФЗ: что нужно компании».

Урок из дела Google простой. Регулятор смотрит на три вещи. Знал ли человек. Было ли основание. И почему данные до сих пор лежат. «Мы уже всё поменяли» не спасает, если нарушение было в прошлом.

Что стоит проверить уже сейчас:

1. Где лежат записи и расшифровки звонков. Телефония, CRM, почта руководителя, флешка старого менеджера.
2. Кто их слушает. Доступ должен быть у тех, кому он нужен по работе, и каждый доступ стоит фиксировать.
3. Сколько их хранят. Срок привязан к цели: разбор качества, спор с клиентом, контроль договорённостей.
4. Что сказано клиенту. Предупреждение о записи в начале разговора и понятная политика на сайте.

С аналитикой звонков эти вопросы встают особенно остро: чтобы понять, где теряются сделки, кому-то приходится слушать разговоры. В Аналитике продаж КАРАДЕСК это устроено так. Работа начинается с аудита по NDA с доступом только на чтение к CRM и записям звонков. Персональные данные обрабатываются в России по 152-ФЗ, а роли, основания и сроки хранения фиксируются в паспорте подключения до работы с реальными данными. После аудита копии удаляются по договору с подтверждением, каждый доступ фиксируется в журнале.

Про другую сторону той же темы — что бывает, когда данные клиентов уходят туда, куда не должны, — читайте в новости об утечке данных пользователей ChatGPT.