Google heeft in Frankrijk een boete van 50 miljoen euro gekregen. Het is de eerste keer dat gebruik wordt gemaakt van de mogelijkheden die de GDPR biedt, om duidelijke overtredingen van de Europese privacywetgeving te bestraffen. In haar motivering wijst de Franse privacywaakhond CNIL er onder meer op dat de techgigant niet open genoeg is over de gegevens die van gebruikers worden bijgehouden en waar die gegevens allemaal voor gebruikt kunnen worden. Ook kregen gebruikers volgens de CNIL te weinig informatie over waarmee zij akkoord gingen – in de klacht tegen Google omschreven als “forced consent”. De zaak was aangespannen door La Quadrature du Net en door noyb.eu.
De CNIL motiveert de boete onder meer als volgt:
“Essentiële informatie, zoals het doel van de dataverwerking, de bewaartermijn van data en de soorten persoonlijke data die voor gepersonaliseerde advertenties worden gebruikt, zijn buitensporig over verschillende documenten verspreid, met knoppen en links die voor aanvullende informatie moeten worden geklikt. De relevante informatie is alleen na verschillende stappen toegankelijk, waarbij soms vijf tot zes acties nodig zijn.”
En verder:
“Google stelt dat het toestemming van gebruikers verkrijgt voor het verwerken van data voor gepersonaliseerde advertenties. Deze toestemming is echter voor twee redenen niet geldig. De eerste reden is dat gebruikers niet voldoende door Google worden geïnformeerd. De informatie over de dataverwerkingen is over verschillende documenten verspreid en zorgt ervoor dat de gebruiker niet in staat is om de omvang van de dataverwerkingen te beseffen. Verder is de verzamelde toestemming niet “specifiek” noch “ondubbelzinnig”.”
De reactie van Max Schrems, oprichter van noyb.eu:
“We are very pleased that for the first time a European data protection authority is using the possibilities of GDPR to punish clear violations of the law. Following the introduction of GDPR, we have found that large corporations such as Google simply ‘interpret the law differently’ and have often only superficially adapted their products. It is important that the authorities make it clear that simply claiming to be compliant is not enough. We are also pleased that our work to protect fundamental rights is bearing fruit. I would also like to thank our supporters who make our work possible.”
Ook La Quadrature du Net is tevreden, maar heeft toch wel wat bedenkingen bij de veroordeling – onder meer omdat de boete niet echt substantieel is in vergelijking met de omzet van Google.
“While we welcome this first sanction based on our collective complaints, especially because this decision cuts short Google’s attempted escape to Ireland, we mainly expect from the CNIL to issue as soon as possible its next decisions. These will have to address the issue of “freely given consent” and provide for a sanction that is proportionate to the situation, well beyond 50 million euros.”
Meer lezen
- La Quadrature du Net: First sanction against Google following our collective complaints
- noyb.eu press release: CNIL fines Google € 50 Mio based on noyb complaint (pdf)