Wat de DPC heeft beslist
Op 21 september 2026 maakte de Ierse Data Protection Commission haar eindbesluit over Google Ireland Limited bekend. Het onderzoek was ambtshalve, geopend in februari 2020 na klachten van meerdere Europese consumentenorganisaties, waaronder BEUC. Boetes van in totaal 403 miljoen euro en een bevel de verwerking binnen zes maanden in overeenstemming te brengen. Het volledige besluit volgt later.
De reikwijdte is smal en verdient nauwkeurig lezen: drie functies — Web & App Activity, Location History en Location Accuracy — en een venster van 25 mei 2018, de datum waarop de AVG van toepassing werd, tot 4 februari 2020. Het is geen oordeel over hoe Google vandaag werkt: het is een oordeel over tweeëntwintig maanden van acht jaar geleden, zes jaar na de opening van het onderzoek.
- Rechtmatigheid en behoorlijkheid van de verwerking van locatiegegevens in Web & App Activity en Location History.
- Verantwoording: het niet kunnen aantonen van naleving van rechtmatigheid, behoorlijkheid en transparantie voor Location Accuracy.
- Transparantie, voor alle drie de functies.
- Bewaring van locatiegegevens in Web & App Activity en Location History.
Twee van die vier vaststellingen hebben niets met de schaal van Google te maken. Bewaartermijn en het vermogen om aan te tonen staan in het verwerkingsregister van elke klant, ook van die met vier werknemers. Plaatsvervangend commissaris Graham Doyle zegt het onomwonden: locatiegegevens langer bewaren dan nodig verergerde het verlies aan controle bij de betrokkenen. Het is geen vaststelling om het rijtje te vullen, het is de vermenigvuldiger van de rest.
De vaststelling om bij stil te staan
Het tweede punt zegt niet dat Location Accuracy onrechtmatig was. Het zegt dat Google niet kon aantonen dat zij rechtmatig, behoorlijk en transparant was. Dat is de verantwoordingsplicht: de last ligt bij de verwerkingsverantwoordelijke, en een onderzoek van zes jaar sloot mede daarop. Wie «grondslag: gerechtvaardigd belang» schrijft zonder de afweging bij te voegen, staat op dezelfde plek, alleen kleiner.
Voor de dagelijkse praktijk zijn er twee dingen te doen, en geen ervan vergt wachten op de volledige tekst. Ten eerste: de registerregels waarin de bewaartermijn «zolang als nodig» luidt herlezen en vervangen door een criterium en door bewijs dat er bij afloop echt iets gebeurt. Ten tweede: bij elke verwerking die op een beoordeling rust — gerechtvaardigd belang, afweging, noodzakelijkheid — nagaan of die beoordeling als document bestaat en niet als overtuiging.
Officiële bron:Data Protection Commission — Fines Google €403 million following Inquiry into Google's processing of location data (21/09/2026)Officiële bron:Data Protection Commission — DecisionsZoekt u een hulpmiddel voor uw dagelijkse werk als FG?
DPO Workspace is gebouwd door een gecertificeerde functionaris voor gegevensbescherming. 30 dagen gratis.
Gratis starten
