因违反通用数据保护条例 谷歌被罚款 5000 万欧元

1月22日消息，谷歌已因违反“通用数据保护条例”（GDPR）而被法国数据保护监管机构处以5000万欧元（约合5680万美元）罚款，这对马克斯·施雷姆斯(Max Schrems)旗下隐私集团NOYB来说是一场胜利。

法国国家互联网信息中心（以下简称“CNIL”）今日裁定，谷歌向用户提供了不充分的信息，在多个页面上分散提供信息，而且并未在广告个性化的问题上获得有效许可。

CNIL对NOYB和法国数字版权组织La Quadrature du Net提出的投诉作出了反应，称其已对通过Android设备开设谷歌账户的流程进行了调查。这个监管机构作出的结论是，谷歌在两个方面违反了“通用数据保护条例”：一是未满足透明度和信息相关要求，二是没有为其处理流程获得法律依据。

根据这项条例，违规公司可被处以最高2000万欧元或相当于年度营业额4%的罚款，而CNIL已经行使了这种新的权力，向谷歌开出了5000万欧元的罚单。

CNIL发表声明称，谷歌在信息披露的问题上缺乏透明度，并指出用户无法了解谷歌“大规模的、侵入性的”数据处理达到了什么样的程度。声明还称，即便是谷歌已经提供的信息，“对用户来说也是不易获得的”，原因是这些信息“过度分散于多个文件中”，需要用户经过五六个步骤才能访问。

“举例来说，就谷歌出于个性化目的或为了提供地理追踪服务而收集的数据而言，当用户想要获得有关这些数据的完整信息时，就会发生这种情况。”声明写道。

除此以外，CNIL还表示，用户“无法完全了解”谷歌对用户数据进行处理的程度。鉴于谷歌提供的服务多达20项，加之这些服务所涉及的用户数据十分庞大，因此CNIL将谷歌的数据处理描述为“大规模的、侵入性的”。CNIL还补充道：“谷歌对数据处理目的作出的描述过于笼统和模糊，而就谷歌为不同目的而处理的数据类别而言，情况也是如此。 ”

与此同时，用户也无法了解谷歌到底是将用户许可作为法律依据来根据“通用数据保护条例”处理数据，还是根据公司自身利益来处理数据。

根据CNIL作出的评估，谷歌为广告个性化而收集的用户许可是无效的，因为这种许可不是具体而明确的，而且用户也并未获得充分的通知。

CNIL表示：“有关广告个性化数据处理的信息被分散到了多个文件中，这就使得用户无法了解其程度如何。”

该机构承认，在用户创建帐户之后，可以对其进行一些修改，但同时指出“这并不意味着‘通用数据保护条例’受到了尊重”。相反的，CNIL指出，不仅用户修改数据的选项被隐藏在了“更多选项”（more options）按钮之下，而且广告个性化的选择是一个预先打勾的方框（这就违反了“通用数据保护条例”的规定，因为只有在用户明确作出肯定之后，许可才能被视为明确无误的）。

CNIL还指出，用户许可不够具体，因为谷歌要求用户必须完全同意隐私政策中的服务条款和数据处理条款，而非区分各种不同目的（如广告个性化或语音识别等）来同意各项条款。

这是一家公司因数据保护违规行为而被处以的最大一笔罚款，同时也是CNIL采取的第一次处罚行动。该机构称，这笔罚款“就其违规行为的严重程度来看是合理的”。CNIL指出：“此外，这些违规行为是持续违反‘通用数据保护条例’的行为，因为直到今天，我们还能看到这种行为。这不是一次性的、时间有限的违规行为。“

在“通用数据保护条例”正式生效之后，到目前为止已经处以的罚款金额都要小得多：德国当局此前对一个聊天应用处以2万欧元（约合2.3万美元）罚款，奥地利当局针对CCTV被非法使用一事处以4800欧元（约合5460万美元）罚款，葡萄牙当局则已对一家亿元处以40万欧元（约合45万美元）罚款，原因是其允许员工非法获取数据。

NOYB董事长施雷姆斯对此表示欢迎。“像谷歌这样的大公司惯于‘以不同的方式解读法律’，而且往往只会在表面上修改自己的产品。”他说道。“当局应该明确表示，光是自称做到了合规是不够的，这一点很重要。”

谷歌尚未就此置评。