TEHNOLOGIE
Amenda de 403 milioane de euro pentru Google — de ce ordinul de conformare în șase luni contează mai mult decât suma
Comisia irlandeză pentru protecția datelor a amendat Google cu 403 milioane de euro pe 21 septembrie 2026 și i-a dat șase luni să aducă în legalitate trei funcții de localizare.
Suma este a patra ca mărime dintre cele date vreodată de autoritatea irlandeză, dar nu ea este partea care obligă. Ordinul de conformare curge din ziua deciziei și expiră în martie 2027, indiferent ce se întâmplă cu amenda. Teza verificabilă a acestui articol: amenda este un cost, ordinul este o constrângere de produs, iar cele două se pot rezolva independent — Google poate plăti și contesta fără să schimbe nimic în aplicații, sau poate schimba fluxurile de consimțământ fără ca suma să scadă cu un euro.
Ce a decis autoritatea irlandeză, punct cu punct
Comunicatul publicat pe 21 septembrie 2026 de Comisia pentru Protecția Datelor (DPC) numește exact ce a fost investigat. Ancheta a privit prelucrarea datelor de locație în trei funcții — „Web & App Activity”, „Location History” și „Location Accuracy” — în intervalul 25 mai 2018 – 4 februarie 2020. Prima dată este ziua în care GDPR a devenit aplicabil; a doua este ziua în care DPC a deschis ancheta.
Constatările sunt patru, nu una. Prelucrarea nu a fost legală și corectă în „Web & App Activity” și „Location History”; la „Location Accuracy”, compania nu a putut demonstra respectarea principiului legalității, corectitudinii și transparenței; obligațiile de transparență au fost încălcate la toate trei funcțiile; iar datele de locație din primele două au fost păstrate mai mult decât era necesar.
Partea operativă are două componente. Prima este amenda de 403 milioane de euro, echivalată de The Record la 462 de milioane de dolari și de BleepingComputer la 463 de milioane. A doua este ordinul de a aduce prelucrarea în conformitate în termen de șase luni.
Ce nu conține comunicatul este la fel de relevant. DPC nu publică încadrarea juridică — articolele GDPR reținute — și anunță că va emite decizia integrală „în timp util”. Până atunci, formulările folosite („legalitate și corectitudine”, „transparență”, „responsabilitate”, păstrare excesivă) se suprapun peste principiile din articolul 5 GDPR, dar corespondența este o deducție a acestui articol, nu o afirmație a autorității.
Actorii: cine a decis, cine a reclamat, cine plătește
Decizia nu a fost luată de o instituție abstractă, ci de trei persoane numite în comunicat: dr. Des Hogan, Dale Sunderland și Niamh Sweeney, comisari ai DPC. Vocea publică a autorității a fost comisarul adjunct Graham Doyle, citat de toate sursele acestui articol.
Doyle a explicat prejudiciul în termeni de control, nu de cifre. Potrivit Euronews, el a spus că, din cauza eșecurilor Google, „persoanele puteau să nu știe că locația lor era folosită, de exemplu, pentru a le influența cu reclame sau pentru a le deduce interesele, și puteau pierde controlul asupra datelor lor personale”, iar păstrarea datelor mai mult decât era necesar „a agravat această pierdere a controlului”.
La celălalt capăt stau reclamanții. Ancheta a fost deschisă din oficiu, în urma plângerilor depuse de organizații europene de apărare a consumatorilor, între care BEUC — organizația-umbrelă europeană a consumatorilor. The Hacker News datează plângerile membrilor BEUC în noiembrie 2018, depuse la autoritățile naționale de protecție a datelor; Irish Times scrie că au venit din opt țări europene. Sursele nu precizează care organizație a depus prima plângere.
Entitatea sancționată este Google Ireland Limited, sediul european al companiei — element care nu ține de simbolistică, ci de competență.
| Cine | Rolul, conform surselor | Ce spun sursele despre legătură |
|---|---|---|
| Dr. Des Hogan | Comisar DPC | Semnatar al deciziei, potrivit comunicatului DPC |
| Dale Sunderland | Comisar DPC | Semnatar al deciziei, potrivit comunicatului DPC |
| Niamh Sweeney | Comisar DPC | Semnatar al deciziei, potrivit comunicatului DPC |
| Graham Doyle | Comisar adjunct DPC | Singura declarație publică a autorității citată de surse |
| BEUC și organizații membre | Reclamanți | Plângeri din noiembrie 2018, din opt țări |
| Google Ireland Limited | Entitate sancționată | Sediul european; DPC îi este autoritate principală |
Mecanismul: de la o plângere din 2018 la un ordin cu termen în 2027
Lanțul are patru verigi, fiecare cu o dată verificabilă. Prima: în noiembrie 2018, organizații de consumatori din mai multe state depun plângeri la autoritățile lor naționale. A doua: în februarie 2020, DPC deschide o anchetă din oficiu — „own-volition Inquiry”, în formularea comunicatului —, declanșată în urma acelor plângeri. Distincția contează: procedura nu soluționează plângerile, ci investighează operatorul.
A treia verigă explică de ce un regulator irlandez decide pentru un continent. Articolul 56 GDPR instituie mecanismul ghișeului unic: pentru o prelucrare transfrontalieră, autoritatea din statul unde operatorul își are sediul principal conduce procedura, iar celelalte autorități participă prin cooperarea prevăzută la articolul 60. Sediul european al Google fiind la Dublin, competența revine DPC.
Că mecanismul a fost folosit o spune chiar comunicatul, care mulțumește „autorităților de supraveghere omoloage” pentru cooperare în acest caz.
Consecința practică pentru cititorul din România este directă. Autoritatea națională de supraveghere nu poate amenda Google pentru aceste fapte pe cont propriu; decizia irlandeză este cea care produce efecte și aici, iar ordinul de conformare privește aceleași setări de pe telefoanele Android vândute în România.
A patra verigă este decizia din 2026: amendă plus ordin cu termen. Efectul pe care îl țintește autoritatea nu este bugetar, ci arhitectural — modul în care este cerut acordul pentru locație.
Contra-ipoteza trebuie cântărită aici, nu la final. Dacă practica sancționată s-a încheiat la 4 februarie 2020, atunci ordinul din 2026 cere conformarea unui produs schimbat de mai multe ori între timp, iar efectul măsurabil poate fi zero. Argumentul are un susținător neașteptat: Google însuși.
Amenda sau ordinul: care parte a deciziei mușcă
Pentru o companie de dimensiunea Google, 403 milioane de euro reprezintă o cheltuială previzibilă, nu o amenințare existențială. Ordinul de conformare are altă natură: nu se plătește, se execută, și are termen — martie 2027.
Diferența se vede în ce anume ar trebui rescris. „Location Accuracy” este o funcție a sistemului Android, disponibilă, potrivit comunicatului DPC, oricărui utilizator Android — inclusiv celor care nu au cont Google. „Web & App Activity” guvernează, în schimb, ce se reține la nivelul contului. Un consimțământ obținut informat și fără îndemnuri care împing spre acceptare restrânge volumul de date disponibil pentru direcționarea reclamelor.
Aici se mută costul: din contul de profit și pierdere în arhitectura produsului. Un cost de acest tip nu se stinge cu o plată unică.
Precedentul cel mai apropiat vine de la aceeași autoritate. În mai 2025, DPC a amendat TikTok cu 530 de milioane de euro pentru transferuri de date către China și a folosit exact același instrument — amendă plus ordin de conformare în șase luni, cu suspendarea transferurilor dacă termenul nu e respectat, potrivit comunicatului de atunci. Structura deciziei din 2026 nu este o inovație, ci o rutină a autorității.
Contra-ipoteza: compania spune că a schimbat deja practicile
Cea mai serioasă obiecție la teza „decizia schimbă ceva” vine din declarația Google. Compania a transmis, potrivit BleepingComputer și Irish Times, că dosarul „se concentrează pe politici istorice care au fost actualizate de atunci” și că „din 2019 încoace ne-am dezvoltat semnificativ practicile și am lansat instrumente solide care fac simplă gestionarea datelor de locație”.
Dacă afirmația rezistă la verificare, ordinul de conformare este în mare parte deja executat, iar decizia rămâne un cost istoric. Dacă nu rezistă, următoarele șase luni produc schimbări vizibile în interfețe. Sursele disponibile nu permit tranșarea: ele documentează decizia și reacția, nu starea actuală a produsului.
O notă de precizie asupra surselor: The Record scrie că un purtător de cuvânt Google nu a răspuns solicitării sale de comentariu, în timp ce alte două publicații citează declarația de mai sus. Divergența ține de momentul solicitării, nu de existența poziției companiei.
Există și o a treia lectură, instituțională. Autoritatea irlandeză a fost criticată ani la rând pentru ritmul cu care aplică GDPR companiilor cu sediu în Irlanda, iar o amendă de această mărime, după șase ani, poate funcționa și ca răspuns la acea critică. Sursele nu documentează o astfel de motivație; rămâne o interpretare plauzibilă, nu un fapt stabilit.
Unde se așază 403 de milioane
Clasamentul este public și verificabil. Potrivit Irish Times, amenda este a patra ca mărime dintre cele date de DPC de la intrarea în aplicare a GDPR, după Meta — 1,2 miliarde de euro în 2023 —, TikTok — 530 de milioane în 2025 — și Instagram — 405 milioane în 2022.
Două lucruri se citesc din această poziție. Primul: este prima amendă a DPC împotriva Google, potrivit The Record. Al doilea: distanța până la locul al treilea este de 2 milioane de euro, adică jumătate de procent — o diferență care se poate inversa în apel.
Euronews amintește că, în iulie 2026, Comisia Europeană a amendat Google cu 890 de milioane de euro. Este o procedură distinctă, cu alt temei și alt decident: comunicatul Comisiei o încadrează pe Regulamentul privind piețele digitale, nu pe GDPR. Cele două amenzi nu se adună și nu se compară.
Irish Times mai notează că DPC are alte trei anchete de amploare asupra Google în stadiu avansat. Dacă se finalizează în următorii doi ani, decizia din septembrie 2026 devine prima dintr-o serie, nu un caz izolat.
Scenarii
Scenariul dominant — contestație parțială și conformare în paralel. Declanșator: Irish Times scrie că se înțelege că Google ar putea ataca elemente ale deciziei. Constrângere: contestarea amenzii nu suspendă automat ordinul de conformare. Consecință: suma se renegociază în instanță ani de zile, în timp ce modificările de produs se fac oricum. Indicator: înregistrarea unei acțiuni la High Court din Dublin în lunile următoare.
Scenariu plauzibil — conformare fără dispută. Declanșator: poziția publică a companiei, potrivit căreia practicile s-au schimbat deja din 2019. Constrângere: acceptarea deciziei fixează un precedent util celorlalte trei anchete DPC aflate în lucru. Consecință: plata amenzii și un anunț de conformare, cu cost reputațional mic. Indicator: absența unei acțiuni în instanță până la expirarea termenului de atac.
Scenariu de coadă — decizia devine etalon european. Declanșator: publicarea deciziei integrale, cu încadrarea juridică, urmată de invocarea ei de alte autorități. Constrângere: ghișeul unic păstrează competența la DPC pentru operatorii cu sediu în Irlanda. Consecință: presiune de conformare asupra întregului sector de publicitate bazată pe locație. Indicator: citarea deciziei în decizii ale altor autorități naționale de protecție a datelor.
Predicții verificabile
| Predicție | Orizont | Probabilitate | Cum se verifică | Sursa de verificare |
|---|---|---|---|---|
| Google atacă în instanță cel puțin un element al deciziei DPC | până la 31.03.2027 | 55–70% | Apare o cauză înregistrată cu Google Ireland Limited împotriva DPC | Courts Service of Ireland, registrul High Court |
| DPC publică decizia integrală, cu încadrarea juridică | până la 30.06.2027 | scenariu dominant | Documentul apare în secțiunea de decizii a autorității | dataprotection.ie, secțiunea „Decisions” |
| Google anunță public modificări ale consimțământului pentru locație în SEE | până la 21.03.2027 | 40–55% | Anunț pe blogul oficial sau în notele de versiune Android | blog.google și paginile de suport Google |
| Cel puțin una dintre celelalte trei anchete DPC asupra Google se încheie cu decizie | până la 31.12.2027 | 35–50% | Decizie anunțată sau raportată în raportul anual | Raportul anual DPC 2027 |
| Amenda rămâne a patra ca mărime în clasamentul DPC | la 31.12.2027 | scenariu plauzibil | Nicio amendă DPC peste 403 milioane de euro în interval | Raportul anual DPC 2027, comunicatele autorității |
Metodă, definiții și cifre
Autoritatea. Data Protection Commission (DPC) este autoritatea de supraveghere a Irlandei în sensul GDPR. Termenul „autoritate principală de supraveghere” desemnează, conform articolului 56, autoritatea competentă pentru prelucrările transfrontaliere ale unui operator, stabilită după locul sediului principal al acestuia în Uniune.
Cele trei funcții, în definiția DPC. „Web & App Activity” este o setare de cont, disponibilă doar titularilor de cont Google; activată, prelucrează activitatea pe serviciile Google, inclusiv istoricul de navigare, istoricul căutărilor și datele de locație. „Location History” este un serviciu la care utilizatorul trebuie să adere explicit și care deduce locuri vizitate, activități și trasee, afișate pe o hartă privată prin funcția „Timeline”.
„Location Accuracy” este o funcție a sistemului de operare Android care permite dispozitivului să își determine locația mai precis decât folosind numai GPS-ul propriu. Spre deosebire de celelalte două, este disponibilă oricărui utilizator Android, indiferent dacă are sau nu cont Google. Denumirile sunt păstrate în original: traducerile comerciale românești au variat în timp și ar rupe corespondența cu documentul oficial.
Perioada. Intervalul 25 mai 2018 – 4 februarie 2020 este perimetrul anchetei, nu durata practicii. Sursele nu stabilesc când a început efectiv comportamentul analizat și nici dacă a continuat după închiderea perimetrului.
Conversia valutară. Echivalentele în dolari — 462, respectiv 463 de milioane — provin din două publicații diferite, la cursuri din zile diferite. Diferența de un milion ține de curs, nu de sumă: amenda este exprimată în euro în decizie.
Clasamentul. Ordinea amenzilor DPC este cea raportată de Irish Times la data deciziei și se referă exclusiv la amenzi date de autoritatea irlandeză. Amenzile impuse de Comisia Europeană — între care cea de 890 de milioane de euro din iulie 2026 — au alt temei juridic și alt decident, deci nu intră în același clasament.
Probabilitățile. Benzile din tabelul de predicții sunt estimări editoriale exprimate în intervale de cel puțin zece puncte procentuale, fără calibrare pe un istoric de rezultate; ele indică ordinul de mărime al încrederii, nu o frecvență măsurată.
Limite ale analizei
Analiza se sprijină pe comunicatul DPC și pe cinci relatări de presă publicate în 24 de ore de la decizie. Decizia integrală nu era publicată la momentul scrierii, deci încadrarea juridică — articolele GDPR reținute și modul de calcul al cuantumului — nu poate fi verificată independent.
Ce nu poate stabili acest articol: dacă practicile Google descrise în perioada 2018–2020 mai sunt în vigoare astăzi. Afirmația companiei că le-a schimbat din 2019 nu a fost verificată de surse independente, iar o verificare ar cere un audit al fluxurilor curente de consimțământ, nu o lectură de comunicate.
Diagnosticul ar fi invalidat de două evoluții: publicarea deciziei integrale cu o încadrare care arată constatări mai înguste decât sugerează comunicatul, sau o suspendare judiciară a ordinului de conformare, care ar anula argumentul central despre caracterul executoriu al termenului de șase luni.
Reevaluarea firească are loc la expirarea termenului, în martie 2027, sau mai devreme dacă DPC publică decizia integrală ori dacă Google înregistrează o acțiune în instanță.
