Denda DPC Google €403 Juta: Perbaikan Data Lokasi Enam Bulan

Pengaturan lokasi terlihat seperti teks promosi produk sampai ada pemberitahuan penegakan hukum. Komisi Perlindungan Data Irlandia telah mengubah tiga kontrol Google yang sudah dikenal menjadi masalah GDPR senilai €403 juta, menurut Reuters: Web & App Activity, Location History, dan Location Accuracy. Bagi para pembangun produk, pelajarannya bukan bahwa fitur lokasi mustahil dibuat. Pelajarannya adalah bahwa dasar hukum, penjelasan, retensi, dan jejak audit harus tetap kuat saat berhadapan dengan regulator yang membaca layar pengaturan secara harfiah.

Penyelidikan DPC dimulai pada 2020 setelah adanya keluhan dari organisasi hak konsumen Eropa, lapor Reuters. Praktik yang ditinjau mencakup jangka waktu yang lebih sempit daripada yang mungkin disiratkan oleh besarnya denda, yaitu dari 25 Mei 2018 hingga 4 Februari 2020, menurut BBC. Ini berguna bagi tim produk: alur lama, pengaturan default lama, dan pilihan retensi data lama masih bisa menjadi pekerjaan penegakan hukum saat ini.

Apa yang sebenarnya ditemukan DPC

Reuters Connect melaporkan bahwa DPC memeriksa pemrosesan informasi lokasi oleh Google melalui Web & App Activity, Location History, dan Location Accuracy. Regulator menemukan kegagalan dalam pemrosesan yang sah dan adil, transparansi, serta akuntabilitas. Reuters mengutip Wakil Komisaris DPC Graham Doyle yang mengatakan, “Akibat kegagalan Google, individu mungkin tidak menyadari bahwa lokasi mereka digunakan, misalnya, untuk memengaruhi mereka dengan iklan atau untuk menyimpulkan minat mereka, dan dapat kehilangan kendali atas data pribadi mereka.” Ia menambahkan, “Penyimpanan data lokasi pengguna lebih lama dari yang diperlukan memperburuk hilangnya kendali ini.”

Laporan BBC menjelaskan mengapa regulator memperlakukan kategori ini dengan serius: data lokasi dapat berupa data apa pun yang digunakan untuk menyimpulkan lokasi seseorang, dan DPC mengatakan data itu dapat mengungkap informasi yang pada dasarnya bersifat pribadi. The Record melaporkan bahwa Google diperintahkan untuk memperbaiki praktik pemrosesan datanya dalam waktu enam bulan. Jadwal praktis ini cukup singkat untuk berdampak pada kalender rekayasa, dan cukup panjang sehingga regulator akan mengharapkan lebih dari sekadar halaman bantuan yang ditulis ulang.

Kewajiban, tanpa mitos yang beredar

Pelaporan Reuters tidak mengatakan bahwa GDPR melarang personalisasi, periklanan, atau fitur lokasi. Pelaporan itu mengatakan bahwa DPC menemukan pemrosesan data lokasi oleh Google gagal memenuhi ekspektasi inti GDPR terkait legalitas, keadilan, transparansi, dan retensi. Perbedaan itu penting. Sebuah produk dapat meminta lokasi dan tetap gagal jika pengguna tidak dapat memahami apa yang dikumpulkan, bagaimana data itu digunakan, berapa lama data itu disimpan, dan bagaimana pilihan tersebut memengaruhi iklan atau penyimpulan minat.

Reuters Connect melaporkan bahwa pengguna mungkin tidak memahami bahwa informasi lokasi mereka digunakan dengan cara-cara tersebut. Dalam kewajiban yang sederhana, ini berarti layar persetujuan, pengaturan akun, dan pemberitahuan privasi tidak bisa diperlakukan sebagai artefak terpisah yang ditulis oleh tim berbeda. Jika Web & App Activity, Location History, dan Location Accuracy saling berinteraksi, penjelasannya harus tetap masuk akal dalam interaksi tersebut. Jika retensi lebih lama dari yang diperlukan, jawabannya bukan paragraf tambahan berisi bahasa kebijakan, melainkan jadwal penghapusan yang dapat dibuktikan benar-benar ada.

Pekerjaan perbaikan enam bulan

The Record melaporkan bahwa DPC memberi Google waktu enam bulan untuk menyelaraskan praktik pemrosesannya. Free Press Journal melaporkan bahwa Google mengatakan praktiknya sejak saat itu telah diperbarui dengan kontrol pengguna yang lebih baik, jenis kalimat yang biasanya membuat penasihat privasi berburu tangkapan layar, riwayat versi, dan peta data. Kontrol yang lebih baik dapat membantu, tetapi temuan regulator mengarah pada daftar periksa yang lebih luas: dasar hukum, pemahaman pengguna, penggunaan iklan di hilir, inferensi, retensi, dan bukti akuntabilitas.

Bagi para pembangun produk, audit yang berguna dimulai dari inventaris fitur, bukan kebijakan privasi. Permukaan mana yang mengumpulkan atau menyimpulkan lokasi. Pengaturan mana yang mengaktifkan pengumpulan. Tim mana yang menggunakan sinyal tersebut untuk personalisasi atau penargetan iklan. Aturan retensi mana yang berlaku setelah pengguna mematikan sebuah fitur. Jika jawaban-jawaban itu tersimpan di tiga spreadsheet dan ingatan satu insinyur yang akan segera pergi, selamat, Anda telah menemukan proyek kepatuhan.

Mengapa keputusan Irlandia berdampak ke mana-mana

Reuters menggambarkan DPC Irlandia sebagai regulator privasi data utama Uni Eropa bagi banyak perusahaan internet besar karena operasi UE mereka berbasis di Irlandia. Politico melaporkan bahwa penalti €403 juta ini adalah denda terbesar keempat dari regulator Irlandia dan penalti besar pertamanya terhadap Google. Itu membuat kasus ini relevan jauh melampaui menu pengaturan satu perusahaan.

DPC tidak sedang menulis teks produk, tetapi temuannya merupakan komentar yang sangat langsung tentang arsitektur produk. Hal berikutnya yang perlu diperhatikan bukan apakah setiap fitur lokasi akan menghilang. Itu tidak akan terjadi. Perhatikan sebaliknya bagaimana perusahaan mendokumentasikan jembatan antara kontrol pengguna dan pemrosesan yang sebenarnya, terutama ketika sinyal lokasi memberi makan iklan, rekomendasi, atau profil minat. Jika Anda membangun dengan data perilaku, anggap regulator akan mengajukan pertanyaan membosankan terlebih dahulu: apa yang dipahami pengguna, apa yang Anda simpan, mengapa Anda menyimpannya, dan siapa yang dapat membuktikan jawabannya.