Hva DPC har avgjort
21. september 2026 kunngjorde den irske Data Protection Commission sin endelige avgjørelse om Google Ireland Limited. Undersøkelsen var iverksatt av eget tiltak i februar 2020, etter klager fra flere europeiske forbrukerorganisasjoner, blant dem BEUC. Gebyrer på til sammen 403 millioner euro og pålegg om å bringe behandlingen i samsvar innen seks måneder. Den fullstendige avgjørelsen kommer senere.
Omfanget er snevert og fortjener nøye lesning: tre funksjoner — Web & App Activity, Location History og Location Accuracy — og et vindu fra 25. mai 2018, da personvernforordningen fikk anvendelse, til 4. februar 2020. Det er ingen dom over hvordan Google arbeider i dag: det er en dom over tjueto måneder for åtte år siden, avsagt seks år etter at undersøkelsen ble åpnet.
- Lovlighet og rimelighet i behandlingen av lokasjonsdata i Web & App Activity og Location History.
- Ansvarlighet: ikke å kunne dokumentere etterlevelse av lovlighet, rimelighet og åpenhet for Location Accuracy.
- Åpenhet, for alle tre funksjonene.
- Lagring av lokasjonsdata i Web & App Activity og Location History.
To av disse fire funnene har ingenting med Googles størrelse å gjøre. Lagringstid og evnen til å dokumentere står i protokollen til hvilken som helst klient, også den med fire ansatte. Nestleder Graham Doyle sier det rett ut: å lagre lokasjonsdata lenger enn nødvendig forverret folks tap av kontroll. Det er ikke et funn lagt til for antallets skyld, det er multiplikatoren for de andre.
Funnet det er verdt å stanse ved
Det andre punktet sier ikke at Location Accuracy var ulovlig. Det sier at Google ikke kunne dokumentere at den var lovlig, rimelig og åpen. Det er ansvarlighetsprinsippet: byrden ligger hos den behandlingsansvarlige, og en seks år lang undersøkelse endte også der. Den som skriver «behandlingsgrunnlag: berettiget interesse» uten å legge ved vurderingen, står på samme sted, bare i mindre målestokk.
For det daglige arbeidet er det to ting å gjøre, og ingen av dem krever at man venter på fullteksten. Først: les gjennom protokollinjene der lagringstiden lyder «så lenge det er nødvendig», og erstatt dem med et kriterium og med bevis for at det faktisk skjer noe ved utløpet. Deretter: for hver behandling som hviler på en vurdering — berettiget interesse, avveining, nødvendighet — kontroller at vurderingen finnes som dokument og ikke som overbevisning.
Offisiell kilde:Data Protection Commission — Fines Google €403 million following Inquiry into Google's processing of location data (21/09/2026)Offisiell kilde:Data Protection Commission — DecisionsSer du etter et verktøy for arbeidet ditt som personvernombud?
DPO Workspace er bygget av et sertifisert personvernombud. 30 dager gratis.
Kom i gang gratis
