Штраф Google на €403 млн за данные о местоположении: что он означает для геотаргетинга и учёта посещений магазинов

Если ваши кампании используют таргетинг по радиусу, конверсии «посещения магазинов» или аудитории, построенные на местах, которые посещают люди, последнее решение регулятора о данных Google о местоположении стоит прочитать. 21 сентября 2026 года Комиссия по защите данных Ирландии (DPC) установила, что в период с мая 2018 по февраль 2020 года Google обрабатывала данные о местоположении в трёх функциях с нарушением требований GDPR о законности, добросовестности, прозрачности, подотчётности и сроках хранения. Регулятор оштрафовал компанию на €403 млн и обязал её обеспечить соответствие требованиям в течение шести месяцев. Как будет выглядеть это соответствие, за пределами Google пока не знает никто, поэтому проверьте, насколько ваш план от него зависит.

Что установила DPC

DPC начала расследование по собственной инициативе в феврале 2020 года после жалоб ряда европейских организаций по защите прав потребителей, в том числе BEUC. Оно охватывало три функции: «История приложений и веб-поиска» (Web & App Activity), «История местоположений» (Location History) и «Точное определение местоположения» (Location Accuracy) за период с 25 мая 2018 года, когда GDPR начал применяться, по 4 февраля 2020 года.

Согласно заявлению DPC, Google нарушила GDPR в части:

• «законности и добросовестности обработки данных о местоположении в функциях „История приложений и веб-поиска“ и „История местоположений“»;
• «своих обязательств по подотчётности согласно GDPR, поскольку не смогла продемонстрировать соблюдение принципа законности, добросовестности и прозрачности при обработке персональных данных в функции „Точное определение местоположения“»;
• «своих обязательств по прозрачности в отношении всех трёх упомянутых выше функций»;
• «хранения данных о местоположении в функциях „История приложений и веб-поиска“ и „История местоположений“».

В резюме Европейского совета по защите данных (EDPB) в качестве правовых оснований указаны статьи 5 (принципы), 6 (законность), 12 (прозрачная информация) и 13 (информация при сборе данных); в заявлении DPC статьи не названы. Ни одна из страниц не раскрывает структуру штрафа, а полный текст решения DPC опубликует позднее.

Связь с рекламой регулятор обозначил сам. Заместитель комиссара Грэм Дойл заявил, что из-за нарушений Google «люди могли не знать, что их местоположение использовалось, например, чтобы влиять на них с помощью рекламы или делать выводы об их интересах», а хранение данных «дольше необходимого усугубило эту потерю контроля».

Два вывода важны не только для Google. По словам DPC, «История местоположений» включается пользователем добровольно, и всё же обработка в ней нарушила принципы законности и добросовестности, а вывод о прозрачности касается и её. Добровольное включение вопрос не закрыло. Кроме того, хранение данных признано отдельным нарушением.

Что Google должна изменить и что она заявила

Предписание звучит так: «привести обработку в соответствие с требованиями в течение 6 месяцев». На опубликованных страницах не сказано, когда начинается этот срок; если считать от 21 сентября, он истечёт примерно в конце марта 2027 года. Не сказано там и того, что требует соответствие и затрагивает ли оно рекламные продукты Google.

В заявлении, которое приводят The Irish Times и RTÉ, Google указала, что дело касается «прежних политик», которые с тех пор обновлены. Представитель компании сказал: «Начиная с 2019 года мы существенно изменили свою практику и запустили надёжные инструменты, которые упрощают управление данными о местоположении». По данным The Irish Times, пользователи теперь могут настроить автоматическое удаление данных через срок от трёх до 36 месяцев, данные о местоположении для «Хронологии» в Google Картах хранятся на устройствах пользователей, а настройки персонализации рекламы упрощены. Что касается обжалования, оба издания ссылаются на неназванные источники: The Irish Times написала, что, «насколько известно, Google может обжаловать отдельные элементы решения», а RTÉ сообщила, что Google, насколько известно, намерена обжаловать решение по правовым вопросам, требующим разъяснения за рамками этого дела. Официального заявления Google о намерении обжаловать решение мы не нашли.

К чему готовиться рекламодателям

Объявлений Google об изменениях продуктов в ответ на решение мы не нашли. Дальнейшее не прогноз, а набор сценариев для планирования, поскольку сама DPC называет рекламу и выводы об интересах в числе способов использования изученных ею данных.

В любом сценарии наиболее уязвим тот рекламодатель, чьи бюджетные решения зависят от сигнала платформы, который он не может ни увидеть, ни проверить. Задача в том, чтобы снизить эту зависимость и измерять эффективность за пределами клика.

Как снизить зависимость от сигналов местоположения платформ

1. Составьте список всех кампаний, в которых посещения магазинов, локальные действия или аудитории по местам служат целью для назначения ставок. Именно они изменятся первыми, если сигнал ослабнет.
2. Создайте собственный показатель офлайн-продаж: номера бронирований, промокоды, регистрации в программе лояльности на кассе или записи CRM, сопоставленные с лидами. Ваши собственные цифры останутся в силе, даже если учтённые платформой посещения магазинов изменятся.
3. Проверяйте географию напрямую, а не выводите её косвенно. Гео-лифт-тест меняет расходы по регионам и опирается на ваши собственные продажи, поэтому история местоположений пользователя ему не нужна.
4. Используйте контекстное и заявленное местоположение: город, который клиент вводит в поиске, почтовый индекс доставки, который он вам сообщает, регион, который обслуживает страница магазина.
5. Вкладывайтесь в собственные данные (first-party data), собранные с понятным уведомлением и на законном основании, чтобы созданные вами аудитории опирались на документы, которые можно показать регулятору.

Чему решение учит всех, кто собирает данные о местоположении

Выводы касаются именно Google, но принципы распространяются на всех, кто обрабатывает данные о местоположении в рамках GDPR, включая кипрские компании с приложением для доставки, бронирования, путешествий или программы лояльности. Их надзорным органом, как правило, будет национальный орган по защите данных, применяющий тот же регламент.

Хранение данных стало в этом деле отдельным выводом. Правило «хранить всё бессрочно» легко реализовать и трудно обосновать. Третий вопрос тоже важен: вывод по функции «Точное определение местоположения» касался неспособности продемонстрировать соответствие, а это в такой же мере проблема документации, как и проектирования.

Для читателей из Великобритании: UK GDPR опирается на те же ключевые принципы, как указано в руководстве ICO, поэтому проверка применима и там. Решение DPC обязательно только для Google, но оно показывает, как регулятор ЕС трактует законное основание, уведомление и хранение применительно к данным о местоположении.

На этой неделе прогоните пять вопросов через своё приложение или сайт и составьте список кампаний, зависящих от сигналов местоположения платформ. Если оба списка короткие, ближайшие шесть месяцев работы Google над соответствием требованиям стоит отслеживать, а не бояться.