Radije slušate? Kliknite play za AI naraciju

Dana 21. rujna 2026. irsko Povjerenstvo za zaštitu podataka (Data Protection Commission, DPC) objavilo je kaznu od 403 milijuna eura za Google Ireland Limited. Istraga je obuhvatila način na koji je Google obrađivao podatke o lokaciji putem triju funkcija koje je većina korisnika Androida i Google računa dotaknula a da o tome nije razmišljala: Aktivnost na webu i u aplikacijama, Povijest lokacija i Točnost lokacije.

Lako je to pročitati kao priču o velikim tehnološkim tvrtkama koja nema veze s tvrtkom od deset ili pedeset ljudi. Ima. DPC nije izmislio novo pravilo. Primijenio je osnove GDPR-a: valjanu pravnu osnovu, iskrena objašnjenja, ograničenje roka čuvanja i sposobnost dokazivanja usklađenosti. Te osnove vrijede za svaku web-stranicu, aplikaciju i ured koji dodiruje podatke o lokaciji.

Što je DPC zapravo utvrdio

DPC je istragu pokrenuo u veljači 2020. na vlastitu inicijativu, kao vodeće nadzorno tijelo za Google u EU-u. Ispitivao je razdoblje od 25. svibnja 2018. do 4. veljače 2020. i za odluku mu je trebalo više od šest godina. Prema sažetku EDPB-a, utvrđene su četiri vrste povrede:

Uz kaznu, Google ima šest mjeseci da svoju obradu uskladi. Odluku su potpisali povjerenici Des Hogan, Dale Sunderland i Niamh Sweeney.

„Čuvanje podataka o lokaciji korisnika dulje nego što je potrebno pogoršalo je taj gubitak kontrole.“

Tako je štetu opisao zamjenik povjerenika DPC-a Graham Doyle. Njegova poanta: ljudi možda nisu znali da se njihova lokacija koristi kako bi ih se oglasima utjecalo ili kako bi se zaključivalo o njihovim interesima te su mogli izgubiti kontrolu nad svojim osobnim podacima.

403 M€
Kazna za Google Ireland, irski DPC, 21. ruj. 2026.
3
Ispitane funkcije lokacije
4
Vrste utvrđenih povreda GDPR-a
6 mj.
Rok za usklađivanje obrade

Tri funkcije jednostavnim riječima

Aktivnost na webu i u aplikacijama sprema aktivnost iz Googleovih usluga i aplikacija u Google račun, uključujući pretraživanje, pregledavanje i signale lokacije. Povijest lokacija je praćenje uz prethodni pristanak koje je hranilo Google Maps Timeline, zapis posjećenih mjesta i ruta. Točnost lokacije je Androidova funkcija koja koristi signale mimo GPS-a, poput obližnjih mreža, za preciznije određivanje uređaja i radila je neovisno o tome što je korisnik učinio s postavkama računa.

Obrazac je kod sve tri isti i regulatori ga stalno pronalaze. Podaci su prikupljani za jednu svrhu, a zatim korišteni za drugu (personalizacija oglasa i zaključivanje o interesima). Objašnjenja nisu bila dovoljno jasna da bi ljudi to razumjeli. A podaci su ostajali dulje nego što je ikakva konkretna potreba mogla opravdati.

„Povijesne politike“ nisu obrana

Googleov je odgovor da se slučaj tiče povijesnih politika koje su u međuvremenu ažurirane. Navode se opcije automatskog brisanja (od tri do 36 mjeseci), podaci Timelinea pohranjeni na uređaju i jednostavnije kontrole personalizacije oglasa. Prema izvješćima, Google bi mogao pobijati dijelove odluke iz pravnih razloga.

Oboje može biti istina, a pouka za tvrtke je u oba slučaja ista. Sporno ponašanje završilo je početkom 2020., a odluka je stigla krajem 2026. Praksa koju ste ispravili prije tri godine i dalje se može ispitivati, a kazna se računa prema onome što se dogodilo, ne samo prema onome što radite danas. Tiho popravljanje ne zatvara spis.

Vrijedi primijetiti i pritužbe iza slučaja. Osam potrošačkih organizacija iz Norveške, Nizozemske, Grčke, Češke, Slovenije, Poljske, Švedske i Danske podnijelo je pritužbe koordinirane preko europske potrošačke organizacije BEUC. Koordinirane pritužbe udruga danas su uobičajen početak postupka zaštite podataka, kao i 171 vozač iza odluke o Uberu.

„Mi nismo Google“ je pogrešan zaključak

Visina kazne odražava Googleovu veličinu. Obveze iza nje ne ovise o veličini. Svugdje gdje vaša tvrtka prikuplja, zaključuje ili pohranjuje gdje se ljudi nalaze, odgovarate na ista pitanja koja je postavio DPC. Tipična mjesta na kojima to rade mala i srednja poduzeća:

Korištenje pružatelja platforme ne prebacuje odgovornost. Ako odlučite uključiti funkciju praćenja za svoje klijente ili osoblje, vi ste voditelj obrade i vi ste dužni to objasniti i opravdati koliko dugo se podaci čuvaju.

🧭
GDPRGard alat
Niste sigurni što vaše praćenje zakonski zahtijeva?

Odgovorite na nekoliko pitanja u našem GDPR stablu odlučivanja i vidite koje se obveze primjenjuju na konkretnu uporabu osobnih podataka, uključujući lokaciju.

Otvori stablo odlučivanja →

Gdje se to uklapa u sliku provedbe

Kazna od 403 milijuna eura četvrta je najveća koju je DPC izrekao velikoj tehnološkoj tvrtki, malo ispod 405 milijuna eura za Instagram, a iza TikToka (530 milijuna) i Mete (1,2 milijarde). DPC je također rekao da su tri daljnje velike istrage o Googleu u poodmakloj fazi, pa ovo vjerojatno nije posljednja odluka te vrste.

Stiže i u prometnom mjesecu za provedbu. EDPB je usvojio svoju prvu usklađenu metodu izračuna kazni, koju objašnjavamo u novoj EDPB-ovoj metodologiji kažnjavanja, a odluka nizozemskog tijela od 825 milijuna eura protiv Ubera stara je tek mjesec dana. Smjer je dosljedan: regulatori pišu veće odluke, koordiniraju se preko granica i pomno gledaju transparentnost i čuvanje, a ne samo povrede podataka.

Praktični popis za ovaj tjedan

  1. Pronađite svoje podatke o lokaciji. Popišite svaku aplikaciju, SDK, obrazac, uređaj i dobavljača koji prikuplja preciznu ili zaključenu lokaciju, uključujući onu prema IP adresi. Većina tvrtki pronađe dva-tri zaboravljena izvora.
  2. Odaberite pravnu osnovu i zapišite je. Privola mora biti posebna i dobrovoljna. Kod praćenja zaposlenika rijetko funkcionira pa umjesto toga dokumentirajte nužnost.
  3. Prikupljajte minimum. Koristite grad ili poštanski broj umjesto GPS-a gdje je to dovoljno i isključite praćenje u pozadini koje nijednoj funkciji ne treba.
  4. Odredite rok čuvanja i provodite ga. Tragove lokacije treba brisati ili anonimizirati prema rasporedu, a ne čuvati beskonačno „za svaki slučaj“. Automatizirajte brisanje.
  5. Objasnite jasnim jezikom. Recite što prikupljate, zašto i za što se još koristi, u trenutku kad korisnik vidi zahtjev za dopuštenje, ne samo u politici privatnosti.
  6. Čuvajte dokaze. Bilježite svoje odluke, evidenciju privola i provedena brisanja. Pouzdanost je bila jedan od četiri nalaza protiv Googlea i znači sposobnost dokazivanja usklađenosti.

Provjerite i pogreške u bannerima kolačića i tragačima koje regulatori stalno nalaze, jer mnogi signali lokacije dolaze do oglašivača istim skriptama.

Zaključak

Googleova kazna govori o običnim dužnostima primijenjenima na izvanredan opseg: pravna osnova, jasna objašnjenja, ograničeno čuvanje i dokazi. Odluka je trajala šest godina, ponašanje je iz 2018. do 2020., a rok za usklađivanje sada teče još šest mjeseci. Tvrtke koje lokaciju tretiraju kao „još jedno polje“ često otkriju da je to jedan od najosjetljivijih podataka koje imaju.

Rezervirajte besplatnu konzultaciju s GDPRGardom → i pomoći ćemo vam utvrditi gdje vaša tvrtka prikuplja podatke o lokaciji i što treba promijeniti.

Izvori

Podijeli ovaj članak

Pročitajte i:

⚠️ Ovaj članak služi isključivo u informativne svrhe i ne predstavlja pravni savjet. Za složene situacije usklađenosti obratite se kvalificiranom stručnjaku za zaštitu podataka. Zahtjevi GDPR-a i EU Akta o umjetnoj inteligenciji podliježu smjernicama koje se razvijaju — svoje aktualne obveze provjerite sa svojim pravnim savjetnikom.