SCA连载GDPR罚款之：法国诉Google定向广告推送案件分析

2018年5月，两家欧洲非营利性隐私和数字权利组织相继向法国国家信息与自由委员会投诉称，谷歌在处理个人用户数据方面采用了“强制同意”政策，其收集的数据包含大量用户个人信息，这些信息还在用户不知情的情况下被用于商业广告用途。

法国数据保护监管机构（CNIL）调查发现，谷歌公司的行为违反了欧盟于2018年已生效的《GDPR通用数据保护条例》。

1、谷歌公司未提供用户数据的便捷访问渠道，（例如数据处理目的，数据存储时间或用于广告个性化的个人数据类别，过度分散于多个文件中），这造成用户无法管理其个人信息的使用。

2、谷歌还将用户“同意”选项设定为“全局默认设置”，不符合监管机构所规定的“特定同意”要求。谷歌要求用户必须完全同意隐私政策中的服务条款和数据处理条款，而非区分各种不同目的（如个性化广告或语音识别等）来同意各项条款。

3、此外CNIL还表示，谷歌公司目前用于征求安卓软件用户个人信息的弹出式窗口似乎暗含威胁意味：如果用户不接受这些条款，服务将无法提供。Google 预先勾选了广告个性化的显示框，而根据 GDPR 的规定，只有用户明确的肯定行动（例如勾选未预先勾选的显示框），同意才是明确的。

法国国家信息与自由委员会今年1月21日发布公告称，依据《GDPR通用数据保护条例》的相关规定，专门小组认为谷歌在处理个人用户数据时存在缺乏透明度、用户获知信息不便、广告订制缺乏有效的自愿原则等问题，法国将对其处以5000万欧元，约合3亿8千万人民币的罚款。

“今日俄罗斯”网称，尽管5000万欧元的罚款数字看起来有些夸张，但CNIL表示，罚款是由“所观察到的侵权行为的严重程度”以及谷歌在法国市场的地位决定的。

《GDPR执法案例精选白皮书》对Google案例的违法分析称：

1.违反透明性原则， 用户无法轻易访问Google提供的信息。谷歌在用户访问个人数据上缺乏透明度，一方面，用户无法了解谷歌“大规模的、侵入性的”数据处理达到了什么样的程度；另一方面，即使是谷歌已经提供的信息，对用户来说也是不易获得的，原因是这些信息过度分散于多个文件中，需要用户经过五六个步骤才能访问。

2.违反了为广告个性化处理提供法律依据的义务。

首先，用户的“同意”并未充分了解情况。比如 Google 对广告进行了稀释操作，打散在Google 搜索、You tube、Google 主页、Google 地图、Playstore、Google 图片中，个人信息在多个文件中被过度传播（预计 20 个）。

其次，用户的“同意”既不是具体的也不是明确的。创建帐户后，用户可以通过单击“更多选项”按钮修改与帐户关联的某些选项，在“创建帐户”按钮上方访问。