Google Didenda €403 Juta atas Pelanggaran Privasi Data Lokasi Pengguna

Google dikenai denda administratif sebesar €403 juta atau sekitar US$463 juta oleh Data Protection Commission (DPC) Irlandia setelah regulator tersebut menemukan sejumlah pelanggaran terhadap General Data Protection Regulation (GDPR) dalam pemrosesan data lokasi pengguna.

Keputusan tersebut merupakan hasil investigasi yang dimulai pada Februari 2020 setelah DPC menerima sejumlah keluhan dari organisasi perlindungan konsumen di Eropa. Investigasi berfokus pada cara Google memproses data lokasi melalui tiga fitur, yaitu Web & App Activity, Location History, dan Location Accuracy, selama periode 25 Mei 2018 hingga 4 Februari 2020.

Selain menjatuhkan denda, DPC memerintahkan Google untuk membawa aktivitas pemrosesan data yang menjadi objek penyelidikan agar sesuai dengan GDPR dalam waktu enam bulan. DPC menyatakan keputusan lengkapnya akan diterbitkan kemudian.

Tiga Fitur Google Menjadi Fokus Investigasi

Investigasi DPC mencakup tiga fitur yang berkaitan dengan pemrosesan informasi lokasi pengguna.

Web & App Activity merupakan pengaturan pada akun Google yang memungkinkan Google memproses aktivitas pengguna di berbagai layanan. Data yang dapat diproses mencakup riwayat pencarian, aktivitas pada situs dan aplikasi, serta informasi lokasi.

Sementara itu, Location History merupakan layanan yang dapat mencatat lokasi perangkat yang kompatibel setelah pengguna mengaktifkannya. Data tersebut dapat digunakan untuk memperkirakan tempat yang dikunjungi, aktivitas, serta perjalanan pengguna dan ditampilkan melalui fitur Timeline di Google Maps.

Berbeda dengan dua fitur tersebut, Location Accuracy merupakan fitur pada Android yang membantu perangkat menentukan posisi dengan tingkat akurasi lebih tinggi dibandingkan hanya mengandalkan GPS. Fitur ini tersedia bagi pengguna Android terlepas dari apakah mereka memiliki akun Google atau tidak.

DPC Temukan Sejumlah Pelanggaran GDPR

Menurut DPC, Google melakukan pelanggaran GDPR dalam beberapa aspek pemrosesan data lokasi melalui Web & App Activity dan Location History.

Regulator menemukan masalah terkait lawfulness dan fairness dalam pemrosesan data lokasi pada kedua fitur tersebut. DPC juga menyatakan Google gagal memenuhi kewajiban untuk menunjukkan kepatuhan terhadap prinsip lawfulness, fairness, dan transparency ketika memproses data pribadi melalui Location Accuracy.

Selain itu, kewajiban transparansi dinilai tidak terpenuhi pada ketiga fitur yang diperiksa.

DPC juga menemukan bahwa data lokasi yang dikumpulkan melalui Web & App Activity dan Location History disimpan lebih lama daripada yang diperlukan.

Regulator Soroti Transparansi Penggunaan Data Lokasi

Data Protection Commission menilai transparansi menjadi salah satu persoalan utama dalam kasus tersebut.

Menurut Deputy Commissioner Graham Doyle, pengguna dapat tidak menyadari bahwa data lokasi mereka digunakan untuk tujuan tertentu, termasuk membantu memengaruhi iklan yang ditampilkan kepada mereka atau membuat kesimpulan mengenai minat pengguna.

DPC juga menilai penyimpanan data lokasi dalam jangka waktu yang lebih lama memperbesar hilangnya kendali pengguna terhadap data pribadi mereka.

Data lokasi memiliki karakteristik khusus karena dapat memberikan gambaran mengenai tempat yang dikunjungi seseorang, aktivitas, serta pola perjalanan. DPC menekankan bahwa informasi semacam ini dapat mengungkap sejumlah informasi pribadi yang bersifat sensitif.

Investigasi Dimulai Sejak 2020

Kasus ini bermula pada Februari 2020, ketika DPC membuka investigasi atas inisiatif sendiri setelah menerima keluhan dari sejumlah organisasi konsumen Eropa, termasuk BEUC.

Sebagai otoritas pengawas utama Google di Uni Eropa, DPC kemudian melakukan penyelidikan untuk menentukan apakah Google memiliki dasar hukum yang sesuai dalam memproses data lokasi pengguna serta apakah perusahaan telah memenuhi kewajiban transparansi sebagai pengendali data.

Investigasi tersebut kemudian menghasilkan keputusan final yang diumumkan pada 21 September 2026.

Google Menyebut Praktiknya Sudah Diubah

Google menyatakan bahwa kasus tersebut berkaitan dengan kebijakan dan praktik historis yang menurut perusahaan telah diperbarui.

Perusahaan mengatakan bahwa sejak 2019 telah melakukan perubahan signifikan terhadap praktik pengelolaan data lokasi dan menyediakan berbagai alat untuk membantu pengguna mengelola informasi lokasi mereka.

Google juga telah menambahkan pengaturan yang memungkinkan pengguna menentukan jangka waktu penyimpanan otomatis data pada akun mereka.

Untuk Google Maps Timeline, perusahaan menyatakan informasi tersebut kini disimpan pada perangkat dan secara otomatis menghapus data yang berusia lebih dari tiga bulan.

Google juga mengatakan bahwa mereka tidak menyimpan lokasi perangkat secara presisi di dalam Web & App Activity, melainkan menggunakan perkiraan area umum. Pernyataan tersebut berkaitan dengan praktik Google saat ini, sementara investigasi DPC berfokus pada periode 2018 hingga awal 2020.

Denda Tidak Langsung Menjadi Pembayaran Final

Denda €403 juta yang diumumkan DPC merupakan sanksi administratif berdasarkan keputusan regulator. Dalam sistem Irlandia, denda DPC harus dikonfirmasi pengadilan sebelum dapat ditagihkan dan dibayarkan.

Data Protection Commission menjelaskan bahwa apabila keputusan tidak diajukan banding, DPC perlu mengajukan permohonan ke Circuit Court untuk mengonfirmasi denda. Jika keputusan diajukan banding, pembayaran denda ditangguhkan sampai proses banding selesai.

Dengan demikian, pengumuman keputusan DPC dan proses pembayaran denda merupakan tahapan yang berbeda secara hukum.

Google Diberi Waktu Enam Bulan untuk Mematuhi GDPR

Selain denda finansial, DPC memberikan waktu enam bulan kepada Google untuk memastikan aktivitas pemrosesan data yang menjadi objek keputusan telah sesuai dengan persyaratan GDPR.

Keputusan tersebut memperlihatkan bahwa kewajiban perusahaan teknologi dalam mengelola data lokasi tidak hanya berkaitan dengan keamanan teknis, tetapi juga dasar hukum pemrosesan, transparansi kepada pengguna, akuntabilitas, dan kebijakan penyimpanan data.

Bagi pengguna, perkembangan ini juga menunjukkan pentingnya memeriksa pengaturan privasi akun dan memahami jenis data lokasi yang disimpan oleh layanan digital yang digunakan.

Sumber: Data Protection Commission (DPC) Irlandia