Google gặp rắc rối do vi phạm quy định về dữ liệu định vị

Ủy ban Bảo vệ dữ liệu Ireland (DPC) ngày 21/9 đã phạt tập đoàn công nghệ Mỹ Google 403 triệu euro (tương đương khoảng 463 triệu USD) vì vi phạm Quy định chung về bảo vệ dữ liệu (GDPR) của Liên minh châu Âu (EU) trong việc xử lý dữ liệu định vị của người dùng. Ngoài khoản phạt, Google phải điều chỉnh hoạt động xử lý dữ liệu cho phù hợp với quy định trong vòng sáu tháng.

Theo DPC, Google đã vi phạm GDPR ở nhiều khía cạnh, bao gồm tính hợp pháp và công bằng trong xử lý dữ liệu, tính minh bạch, trách nhiệm giải trình và thời hạn lưu trữ dữ liệu. Ba tính năng bị điều tra là "hoạt động trên web và ứng dụng", "lịch sử vị trí" và "độ chính xác vị trí". Các tính năng này liên quan đến công cụ tìm kiếm, ứng dụng bản đồ Google Maps và điện thoại chạy hệ điều hành Android. Cuộc điều tra xem xét giai đoạn từ ngày 25/5/2018, thời điểm GDPR có hiệu lực, đến ngày 4/2/2020.

Phó Ủy viên DPC Graham Doyle cho biết "dữ liệu định vị có thể mang lại cả lợi ích lẫn tác hại cho mỗi cá nhân. Nó có thể giúp dịch vụ trực tuyến hữu ích hơn nhiều, nhưng cũng có thể tiết lộ một lượng lớn thông tin về một người, kể cả những thông tin vốn mang tính riêng tư". Theo ông, do những thiếu sót của Google, người dùng có thể không hề biết vị trí của mình đang bị sử dụng, chẳng hạn để tác động đến họ qua quảng cáo hoặc để suy đoán sở thích, và có thể mất quyền kiểm soát dữ liệu cá nhân. Ông Doyle nhấn mạnh "việc lưu giữ dữ liệu vị trí lâu hơn mức cần thiết càng làm trầm trọng thêm tình trạng mất kiểm soát này".

Đây là mức phạt lớn thứ tư mà DPC áp dụng kể từ khi GDPR có hiệu lực năm 2018. Từ đó đến nay, tổng số tiền phạt của cơ quan này đã vượt 4 tỷ euro. DPC là cơ quan quản lý chính của EU đối với phần lớn các tập đoàn công nghệ lớn của Mỹ, do các tập đoàn này đặt trụ sở châu Âu tại Ireland. Mức phạt kỷ lục của DPC vẫn là 1,2 tỷ euro áp cho Meta năm 2023, liên quan đến việc chuyển dữ liệu người dùng châu Âu sang Mỹ.

Vụ việc bắt nguồn từ một nghiên cứu năm 2018 của Hội đồng Người tiêu dùng Na Uy (Forbrukerradet). Nghiên cứu chỉ ra rằng dữ liệu định vị có thể làm lộ những thông tin nhạy cảm như niềm tin tôn giáo, quan điểm chính trị, tình trạng sức khỏe và xu hướng tính dục. Dựa trên nghiên cứu này, Tổ chức Người tiêu dùng châu Âu (BEUC) cùng các tổ chức thành viên đã nộp đơn khiếu nại từ tháng 11/2018. Các tổ chức này cáo buộc Google dùng "nhiều thủ thuật" để khiến người dùng bật chức năng lịch sử vị trí và hoạt động trên web. DPC chính thức mở điều tra vào tháng 2/2020.

Các tổ chức khởi xướng vụ kiện hoan nghênh quyết định, gọi đây là cột mốc quan trọng trong việc bảo vệ quyền trực tuyến. Tổng Giám đốc BEUC Agustin Reyna nhận định quyết định là tin tốt cho người tiêu dùng. Tuy nhiên, ông cho rằng thời gian cần để đi đến kết luận "không tương xứng với mức độ nghiêm trọng của hành vi vi phạm", và cảnh báo rằng thực thi muộn có thể gây hại không kém việc không thực thi.

Về phần mình, phía Google cho rằng vụ việc liên quan đến "các chính sách cũ đã được cập nhật". Người phát ngôn của tập đoàn cho biết từ năm 2019, Google đã thay đổi đáng kể cách làm và ra mắt các công cụ giúp quản lý dữ liệu định vị đơn giản hơn. Các công cụ này bao gồm chức năng tự động xóa dữ liệu sau 3 tháng, 18 tháng hoặc 36 tháng. Năm 2023, Google cũng chuyển dữ liệu lịch sử vị trí về lưu trực tiếp trên thiết bị của người dùng. Tập đoàn có quyền kháng cáo quyết định.

Theo DPC, Google hiện còn là đối tượng của ba cuộc điều tra khác, tất cả đều ở giai đoạn cuối. Điều này cho thấy áp lực pháp lý đối với "gã khổng lồ" công nghệ tại châu Âu sẽ chưa dừng lại.