גוגל נקנסה ב-403 מיליון יורו על הפרת GDPR

כשהמידע האישי נמצא בכל מקום – האם הארגון באמת יודע מה הוא עושה איתו?

איסוף מידע הוא רק ההתחלה. השאלה החשובה היא האם ניתן להסביר מדוע הוא נאסף, כיצד הוא מעובד וכמה זמן הוא נשמר.

האירוע סביב Google עוסק במידע שרבים מאיתנו מייצרים כמעט באופן יומיומי: נתוני מיקום.
מדובר במידע שיכול לספק תמונה משמעותית על אדם – המקומות שבהם ביקר, המסלולים שבהם עבר, הפעילויות שלו ולעיתים גם מאפיינים אישיים שניתן להסיק מהמידע.
החקירה של ה־DPC בחנה את אופן עיבוד נתוני המיקום של Google במסגרת שלושה שירותים: Web & App Activity, Location History ו־Location Accuracy.
החקירה התייחסה לתקופה שבין כניסת ה־GDPR לתוקף, ב־25 במאי 2018, ועד 4 בפברואר 2020.
הממצאים אינם מתייחסים רק לשאלה האם המידע נאסף, אלא גם לאופן שבו נעשה בו שימוש, למידת השקיפות כלפי המשתמשים ולמשך הזמן שבו נשמר. זהו הבדל מהותי עבור ארגונים: עמידה בדרישות פרטיות אינה מסתיימת ברגע שבו נאסף המידע.

€403 מיליון על שלושה שירותים – ומה עומד מאחורי הקנס?

ארבעה כשלים רגולטוריים הפכו את ניהול נתוני המיקום לסוגיה רחבה הרבה יותר מאיסוף מידע.

ה־DPC קבע כי Google הפרה את ה־ GDPR בארבעה היבטים מרכזיים.
ראשית, הרשות מצאה כי עיבוד נתוני המיקום במסגרת Web & App Activity ו־Location History לא עמד בדרישות החוקיות וההוגנות.
שנית, נקבע כי Google לא הצליחה להוכיח עמידה מספקת בעקרון האחריותיות בכל הנוגע ל־Location Accuracy.
בנוסף, נמצאו כשלים בדרישות השקיפות ביחס לשלושת השירותים, וכן נמצא כי נתוני מיקום ב־Web & App Activity וב־Location History נשמרו מעבר לנדרש.
לדברי סגן נציב הגנת המידע של אירלנד, Graham Doyle, נתוני מיקום עשויים לחשוף מידע פרטי משמעותי על אדם. במקרה זה, הרשות קבעה כי אנשים עשויים שלא להיות מודעים לכך שנתוני המיקום שלהם משמשים, בין היתר, להתאמת פרסומות ולהסקת מידע על תחומי העניין שלהם, ובכך עשויים להשפיע על התוכן והמסרים המוצגים להם.
המשמעות עבור ארגונים רחבה: שקיפות אינה רק מסמך פרטיות באתר. היא צריכה לשקף בפועל את האופן שבו הארגון אוסף, מעבד, משתף ושומר מידע אישי.
פרטיות שלא נבחנת לאורך זמן עלולה להפוך לסיכון. מדיניות שהייתה מקובלת בעבר אינה בהכרח מגינה על הארגון היום ומשך שמירת המידע הופך לחלק בלתי נפרד מניהול הסיכון.
אחד הממצאים המרכזיים בפרשה נוגע למשך הזמן שבו נשמר מידע על מיקום, ה־DPC קבע כי Google שמרה חלק מנתוני המיקום מעבר לנדרש.

זהו עיקרון חשוב לכל ארגון: לא מספיק לדעת איזה מידע נשמר, צריך לדעת גם מדוע הוא עדיין נשמר.
בארגונים רבים מצטברים לאורך השנים מאגרי מידע הכוללים פרטי לקוחות, עובדים, ספקים ומשתמשים. לעיתים המידע ממשיך להישמר מכיוון שאין תהליך מסודר למחיקתו, מכיוון שהמערכת אינה מאפשרת זאת בקלות או פשוט משום שאיש אינו יודע מי אחראי על ההחלטה.
במקביל, Google מסרה כי מדובר במדיניות היסטורית שעודכנה, וכי החל מ־2019 החברה שינתה באופן משמעותי את נוהלי העבודה שלה והשיקה כלים שנועדו להקל על ניהול נתוני המיקום.
עבור ארגונים, המסר חשוב במיוחד: ציות לפרטיות אינו בדיקה חד־פעמית. מערכות משתנות, מטרות השימוש משתנות, טכנולוגיות מתעדכנות ודרישות רגולטוריות מתפתחות. לכן גם מדיניות שנכתבה לפני מספר שנים צריכה לעבור בחינה מחודשת.

מה קורה כשהפרטיות הופכת לנושא של הנהלה?

ניהול מידע אישי כבר אינו עניין של מחלקת IT או משפטית בלבד, הוא חלק מניהול הסיכונים של הארגון.

הקנס של Google מסתכם ב־403 מיליון אירו, אך מעבר לסכום עצמו הוא ממחיש את המשמעות של כשל מצטבר בניהול מידע אישי. ה־DPC הורה ל־Google להביא את העיבוד הרלוונטי לעמידה בדרישות בתוך שישה חודשים.
האירוע מדגיש גם את עקרון ה־Accountability: לא מספיק שהארגון יפעל בהתאם לדרישות הגנת הפרטיות. עליו גם לדעת להציג תהליכים, מדיניות ובקרות שמראים כיצד הוא מנהל ומגן על המידע האישי בפועל.
עבור הנהלות, המשמעות היא שפרטיות צריכה לקבל מקום בתוך תהליכי ניהול הסיכונים: מי אחראי על המידע? אילו מערכות מעבדות אותו? מה מטרת העיבוד? למי יש גישה? כמה זמן נשמר המידע? האם המשתמשים יודעים כיצד נעשה בו שימוש? והאם הארגון מסוגל להציג תיעוד שמוכיח שהבקרות אכן פועלות?
ככל שהארגון מחזיק יותר מידע אישי ומחבר אותו ליותר מערכות, כך גדלה החשיבות של תמונה ארגונית מלאה וברורה של מחזור החיים של המידע.

תובנות מומחי IPV Security

כדי לצמצם חשיפה רגולטורית ולשפר את השליטה במידע אישי, מומלץ לארגונים לבחון את הנושאים הבאים:

1. מיפוי המידע האישי והמערכות המעבדות אותו – הגדירו איזה מידע אישי נאסף, היכן הוא נשמר, אילו מערכות מעבדות אותו ולאילו גורמים יש גישה אליו.
2. בחינת מטרות השימוש והבסיס החוקי – ודאו שלכל עיבוד מידע קיימת מטרה מוגדרת ובסיס חוקי מתאים, ושקיימת הלימה בין המטרה שהוגדרה לבין השימוש בפועל.
3. ניהול תקופות שמירה ומחיקה – הגדירו תקופות שמירה בהתאם לצורך העסקי והרגולטורי, ובדקו שהמידע אכן נמחק או מצטמצם כאשר אין עוד צורך לשמור אותו.
4. שקיפות ושליטה של נושאי המידע – בחנו האם העובדים, הלקוחות והמשתמשים מקבלים מידע ברור על אופן השימוש במידע שלהם והאם קיימים תהליכים המאפשרים לממש את זכויותיהם.
5. תיעוד ו־Accountability – אל תסתפקו בכך שהתהליך "אמור להיות תקין". ודאו שניתן להציג תיעוד, מדיניות, החלטות ובקרות שמוכיחים כיצד הארגון מנהל את דרישות הפרטיות בפועל.
6. בחינה מחודשת של תהליכים לאחר שינוי טכנולוגי או עסקי – הכנסת מערכת חדשה, שימוש ב־AI, מעבר לענן, שינוי ספק או חיבור בין מאגרי מידע עשויים לשנות את רמת הסיכון ולדרוש בחינה מחודשת של היבטי הפרטיות.

סיכום

פרשת Google ממחישה כי האתגר בפרטיות אינו רק איסוף המידע אלא השליטה בכל מחזור החיים שלו.
ה־DPC קבע כי השימוש של Google בנתוני מיקום בתקופה שנבחנה לא עמד בדרישות ה־GDPR במספר היבטים, והטיל קנס של 403 מיליון אירו לצד הוראה להביא את העיבוד לעמידה בדרישות בתוך שישה חודשים.
עבור ארגונים, זהו תמרור ברור: מידע אישי הוא נכס עסקי, אך גם אחריות משמעותית. מי שיודע איזה מידע יש לו, מדוע הוא מחזיק בו, מי יכול לגשת אליו, כמה זמן הוא נשמר וכיצד ניתן להוכיח שהכול מתנהל בהתאם לדרישות – נמצא בעמדה טובה יותר להתמודד עם הסיכונים הרגולטוריים והעסקיים של עולם המידע המודרני.

למידע נוסף: https://thehackernews.com/2026/09/google-fined-403-million-over-gdpr.html

Google Hit with €403m GDPR Fine Over Location Data Practices – Infosecurity Magazine