جریمه ۴۰۳ میلیون یورویی گوگل برای داده موقعیت مکانی

این مقاله در حال بازبینی حقوقی است.

تعریف: جریمه گوگل برای داده موقعیت مکانی به تصمیم نهایی کمیسیون حفاظت داده ایرلند (DPC) در ۲۱ سپتامبر ۲۰۲۶ گفته می‌شود که شرکت Google Ireland را به دلیل نقض مقررات عمومی حفاظت از داده اتحادیه اروپا (GDPR) در پردازش داده موقعیت مکانی در سه قابلیت «Web & App Activity»، «Location History» و «Location Accuracy»، مجموعاً ۴۰۳ میلیون یورو جریمه و به اصلاح رویه‌ها ظرف شش ماه ملزم کرد.

این تصمیم پایان تحقیقی است که DPC در فوریه ۲۰۲۰ به ابتکار خود و پس از شکایت چند سازمان مصرف‌کننده اروپایی، از جمله BEUC، آغاز کرده بود. به گزارش Politico، این چهارمین جریمه بزرگ تاریخ DPC و نخستین جریمه بزرگ آن علیه گوگل است. برای کاربران فارسی‌زبان که روزانه از نقشه، تاکسی اینترنتی و اپلیکیشن‌های مکان‌محور استفاده می‌کنند، این پرونده نشان می‌دهد داده مکانی چرا یکی از حساس‌ترین انواع داده شخصی است.

بیان قابل نقل: داده موقعیت مکانی فقط مختصات جغرافیایی نیست؛ می‌تواند دین، سلامت، باور سیاسی و روابط خصوصی فرد را آشکار کند.

دامنه تحقیق: سه قابلیت، دو سال

طبق اطلاعیه DPC که هیئت حفاظت داده اروپا (EDPB) منتشر کرده، تحقیق به پردازش داده مکانی در این سه قابلیت محدود بود:

• Web & App Activity (فعالیت وب و برنامه)؛
• Location History (سابقه موقعیت مکانی)؛
• Location Accuracy (دقت موقعیت مکانی).

بازه زمانی تحقیق از ۲۵ مه ۲۰۱۸، یعنی تاریخ اجرای GDPR، تا ۴ فوریه ۲۰۲۰ است. بنابراین تصمیم درباره رویه‌های گذشته است و نه لزوماً وضعیت امروز محصولات گوگل؛ نکته‌ای که گوگل نیز در واکنش خود بر آن تأکید کرده است.

یافته‌ها: چهار نقض GDPR

تصمیم توسط سه کمیسیونر DPC، Des Hogan، Dale Sunderland و Niamh Sweeney، صادر شد و گوگل را در چهار محور ناقض GDPR دانست:

1. قانونی بودن و انصاف در پردازش داده مکانی در Web & App Activity و Location History؛
2. پاسخ‌گویی (accountability): ناتوانی در اثبات رعایت اصل قانونی بودن، انصاف و شفافیت در Location Accuracy؛
3. شفافیت در هر سه قابلیت؛
4. دوره نگهداری داده مکانی در Web & App Activity و Location History.

EDPB مبنای حقوقی تصمیم را مواد ۵ (اصول پردازش)، ۶ (قانونی بودن پردازش)، ۱۲ (اطلاع‌رسانی شفاف) و ۱۳ (اطلاعاتی که هنگام جمع‌آوری از خود فرد باید ارائه شود) GDPR اعلام کرده است. ضمانت اجرا: جریمه اداری مجموعاً ۴۰۳ میلیون یورو و دستور انطباق ظرف شش ماه.

بیان قابل نقل: در تصمیم DPC، نگهداری داده مکانی بیش از حد لازم، خودش یک نقض مستقل GDPR بود، نه صرفاً جزئیات فنی.

چرا DPC داده مکانی را جدی گرفت؟

Graham Doyle، معاون کمیسیونر DPC، گفت داده مکانی می‌تواند کارایی خدمات آنلاین را بالا ببرد، اما اطلاعات زیادی درباره فرد، از جمله اطلاعات ذاتاً خصوصی، آشکار می‌کند. به گفته او، به دلیل کوتاهی‌های گوگل، کاربران ممکن بود ندانند موقعیتشان برای مثال برای تأثیرگذاری با تبلیغات یا استنباط علایقشان استفاده می‌شود و کنترل داده خود را از دست بدهند؛ و نگهداری طولانی‌تر از حد لازم این از دست رفتن کنترل را تشدید کرده است.

به گزارش Guardian، ریشه شکایت‌ها پژوهش سال ۲۰۱۸ شورای مصرف‌کننده نروژ بود که هشدار می‌داد داده مکانی می‌تواند باورهای مذهبی (از طریق رفت‌وآمد به عبادتگاه)، گرایش سیاسی (حضور در تظاهرات)، وضعیت سلامت (مراجعه به بیمارستان) و گرایش جنسی را آشکار کند. سازمان‌های مصرف‌کننده ادعا کرده بودند گوگل با «الگوهای فریبنده» و ترفندهای طراحی، کاربران را به فعال کردن این قابلیت‌ها سوق داده است. توجه کنید که این ادعای شاکیان است؛ یافته‌های رسمی DPC در قالب چهار محور بالا اعلام شده است.

واکنش‌ها

• گوگل: سخنگوی گوگل گفته پرونده به «سیاست‌های گذشته» مربوط است که از آن زمان به‌روز شده‌اند و از ۲۰۱۹ به بعد رویه‌ها را به‌طور چشمگیری تغییر داده و ابزارهای ساده‌ای برای مدیریت داده مکانی عرضه کرده است. در منابع بررسی‌شده، اطلاعی درباره اعتراض یا عدم اعتراض گوگل به تصمیم گزارش نشده است.
• BEUC: مدیرکل این سازمان تصمیم را خبر خوبی برای مصرف‌کنندگان دانست، اما گفت زمان طولانی رسیدگی با شدت تخلف تناسب ندارد و «اجرای دیرهنگام می‌تواند به اندازه عدم اجرا زیان‌بار باشد».
• شورای مصرف‌کننده نروژ: گفت مردم باید بفهمند به چه چیزی رضایت می‌دهند، بدون آنکه فریب بخورند یا به انتخاب‌هایی هدایت شوند که در غیر این صورت انجام نمی‌دادند.

به گزارش Guardian، DPC پیش‌تر Meta را ۱.۲ میلیارد یورو، TikTok را ۵۳۰ میلیون یورو و Instagram را ۴۰۵ میلیون یورو جریمه کرده بود. Politico نیز گزارش داده سه تحقیق بزرگ دیگر DPC درباره گوگل در جریان است: پردازش داده توسط مدل هوش مصنوعی PaLM2، سامانه تبلیغات شخصی‌سازی‌شده و فرایند ایجاد حساب کاربری.

درس‌هایی برای کسب‌وکارهای فناوری

این بخش تحلیل نویسنده است و نه بخشی از تصمیم DPC:

1. رضایت را طراحی‌شده و قابل اثبات بخواهید: مسئله فقط داشتن مبنای قانونی نیست؛ باید بتوانید آن را اثبات کنید (اصل پاسخ‌گویی).
2. قابلیت‌های مکانی را جدا و روشن توضیح دهید: کاربر باید بداند هر تنظیم دقیقاً چه داده‌ای جمع می‌کند و برای چه.
3. دوره نگهداری تعیین کنید: داده مکانی را فقط تا وقتی نگه دارید که برای هدف اعلام‌شده لازم است.
4. از الگوهای فریبنده دوری کنید: دکمه‌های رنگی «پذیرش» در برابر گزینه‌های پنهان «رد»، ریسک حقوقی و اعتباری دارد.
5. برای تبلیغات و استنباط علایق، شفافیت جداگانه داشته باشید.

برای نمونه دیگری از ارزیابی حقوقی داده مکانی، رأی دادگاه آمریکا درباره دوربین‌های پلاک‌خوان را در دوربین پلاک‌خوان و حریم خصوصی بخوانید.

وضعیت حقوق ایران

ایران هنوز قانون جامع حفاظت از داده شخصی شبیه GDPR ندارد. آخرین گزارشی که در این بررسی یافت شد (اردیبهشت ۱۴۰۳) از تصویب کلیات «لایحه حمایت و حفاظت از داده‌های شخصی» در کمیسیون حقوقی دولت و ارسال آن به مجلس خبر می‌داد؛ وضعیت فعلی این لایحه در این بررسی تأیید نشد. با این حال، چند قاعده موجود قابل توجه است:

• ماده ۵۸ قانون تجارت الکترونیکی: ذخیره، پردازش یا توزیع داده‌پیام‌های شخصی مبین ریشه قومی یا نژادی، دیدگاه‌های عقیدتی و مذهبی، خصوصیات اخلاقی و داده‌های راجع به وضعیت جسمانی، روانی یا جنسی اشخاص بدون رضایت صریح آن‌ها غیرقانونی است. به نظر نویسنده، اگر داده مکانی به استنباط چنین اطلاعاتی، مثلاً مراجعه منظم به بیمارستان یا عبادتگاه، به کار رود، ممکن است در حوزه این ماده قرار گیرد؛ این تفسیر هنوز در رویه قضایی تثبیت نشده است.
• ماده ۵۹ همان قانون: حتی با رضایت، پردازش داده شخصی باید اهداف مشخص و روشن داشته باشد، به اندازه ضرورت و فقط برای همان اهداف باشد، داده صحیح و روزآمد باشد، فرد به پرونده خود دسترسی داشته باشد و بتواند داده نادرست را اصلاح یا محو کامل پرونده را درخواست کند. این شروط شباهت زیادی به اصول «محدودیت هدف»، «حداقل‌سازی» و «حق حذف» در GDPR دارند.
• ماده ۷۱ همان قانون: نقض شرایط مواد ۵۸ و ۵۹ در بستر مبادلات الکترونیکی را جرم و مستوجب یک تا سه سال حبس می‌داند.
• اصل ۲۵ قانون اساسی: هرگونه تجسس را جز به حکم قانون ممنوع می‌کند.

بیان قابل نقل: قانون تجارت الکترونیکی ایران، سال‌ها پیش از جریمه گوگل، اصولی مانند محدودیت هدف و حق حذف را پیش‌بینی کرده بود؛ مشکل اصلی اجرا و نهاد ناظر است.

کاربران ایرانی برای حقوق مصرف‌کننده در خدمات دیجیتال می‌توانند به دانشنامه حقوق مصرف‌کننده آرتیلا مراجعه کنند.

پرسش‌های متداول

کمیسیون حفاظت داده ایرلند گوگل را برای چه جریمه کرد؟

برای نقض GDPR در پردازش داده موقعیت مکانی در سه قابلیت Web & App Activity، Location History و Location Accuracy در بازه ۲۵ مه ۲۰۱۸ تا ۴ فوریه ۲۰۲۰: نقض قانونی بودن و انصاف، پاسخ‌گویی، شفافیت و دوره نگهداری.

مبلغ جریمه و مهلت اصلاح چقدر است؟

DPC مجموعاً ۴۰۳ میلیون یورو جریمه اداری تعیین کرد و به گوگل دستور داد ظرف شش ماه پردازش خود را با GDPR منطبق کند.

آیا این تصمیم درباره رویه‌های فعلی گوگل است؟

خیر. دامنه تحقیق رویه‌های ۲۰۱۸ تا ۲۰۲۰ بود. گوگل می‌گوید از ۲۰۱۹ رویه‌هایش را تغییر داده است. دستور انطباق شش‌ماهه اما ناظر به آینده است.

چرا داده موقعیت مکانی حساس است؟

چون با تحلیل رفت‌وآمد می‌توان اطلاعاتی مانند باور مذهبی، گرایش سیاسی، وضعیت سلامت و روابط خصوصی را استنباط کرد؛ موضوعی که پژوهش ۲۰۱۸ شورای مصرف‌کننده نروژ و اظهارات DPC بر آن تأکید دارند.

در ایران از داده مکانی کاربران چه حمایتی وجود دارد؟

قانون جامع حفاظت داده هنوز وجود ندارد، اما مواد ۵۸، ۵۹ و ۷۱ قانون تجارت الکترونیکی شروطی مانند رضایت صریح برای داده حساس، محدودیت هدف و حق حذف را در بستر مبادلات الکترونیکی پیش‌بینی کرده‌اند و اصل ۲۵ قانون اساسی تجسس را ممنوع می‌کند.

جمع‌بندی

جریمه ۴۰۳ میلیون یورویی گوگل نشان می‌دهد ناظران اروپایی داده مکانی را با سخت‌گیری بالا ارزیابی می‌کنند و فقط به وجود رضایت قانع نیستند: رضایت باید منصفانه، شفاف و قابل اثبات باشد و داده بیش از حد لازم نگه داشته نشود. انتقاد BEUC از طول شش‌ساله رسیدگی نیز یادآور اهمیت اجرای به‌موقع است. برای ایران، قانون تجارت الکترونیکی پایه‌ای از همین اصول دارد، اما بدون قانون جامع و نهاد ناظر مستقل، حمایت از داده مکانی کاربران همچنان ناقص است. برای مشاوره درباره انطباق سیاست حریم خصوصی کسب‌وکار خود با کارشناسان آرتیلا در تماس باشید. این مقاله اطلاع‌رسانی است و جایگزین مشاوره حقوقی نیست.

منابع

• European Data Protection Board, The Irish Data Protection Commission fines Google EUR 403 000 000 following Inquiry into Google's processing of location data (21 Sep 2026): https://www.edpb.europa.eu/news/the-irish-data-protection-commission-fines-google-403-000-000-eur-following-inquiry_en
• Irish Legal News, Data Protection Commission fines Google €403 million over processing of location data (21 Sep 2026): https://www.irishlegal.com/articles/data-protection-commission-fines-google-eur403-million-over-processing-of-location-data
• The Guardian, Google fined more than €400m by Irish regulator over its use of location data (21 Sep 2026): https://www.theguardian.com/technology/2026/sep/21/google-is-fined-more-than-400m-by-irish-regulator-over-its-use-of-location-data
• POLITICO Europe, Google hit with €403M privacy fine over handling of user location data (21 Sep 2026): https://www.politico.eu/article/google-hit-with-e403-million-privacy-fine-over-handling-of-user-location-data/
• وزارت ارتباطات و فناوری اطلاعات (اداره کل فارس)، متن قانون تجارت الکترونیکی: https://fars.ict.gov.ir/ICTContent/media/image/2017/10/52758_orig.pdf
• لالکس، اصل ۲۵ قانون اساسی جمهوری اسلامی ایران: https://lawlex.ir/laws/asasi/25
• پارسیان همراه، لایحه حفاظت از داده‌های شخصی در کمیسیون حقوقی دولت تصویب شد (۱۷ اردیبهشت ۱۴۰۳): https://parsianhamrah.ir/the-personal-information-protection-bill-was-approved/