Sanktionsavgifterna i dataskyddsförordningen ligger på två nivåer varav de högsta sanktionsavgifterna siktar på att skydda de registrerade (individers) rätt att få en vettig information om hur deras personuppgifter skyddas och att deras personuppgifter inte behandlas på sätt som den personuppgiftsansvarige (en organisation) har rätt till.
I det aktuella målet träffade sanktionen båda dessa saker i Dataskyddsförordningen, nämligen:
tillräckligt tydlig information har inte lämnats;
personuppgifterna har inte behandlats med ett uttryckligt frivilligt samtycke från de registrerade.
Tillräckligt tydlig information har inte lämnats
I det aktuella ärendet konstaterar CNIL (den franska datamyndigheten) att informationen från företaget (den personuppgiftsansvarige) inte är lättillgänglig för användarna. Den allmänna strukturen hos den information som företaget valt följer inte förordningen. För att en konsument ska få viktig information såsom datalagrings- perioderna och kategorierna av personuppgifter som används för annonsannonsering måste användaren klicka för att få tillgång till kompletterande information. Den relevanta informationen anses vara svårtillgänglig eftersom det ibland ibland innebär upp till 5 eller 6 åtgärder för att erhålla den. Detta gäller till exempel när en användare vill ha fullständig information om hans eller hennes data som samlats in för profilering eller för geo- spårning. Sammantaget anses det därför att det blir svårt för användarna att fullt ut förstå omfattningen av de processer som den personuppgiftsansvarige (Google) utför.
Personuppgifterna har inte behandlats med ett uttryckligt frivilligt samtycke från de registrerade
I det aktuella fallet har inte den personuppgiftsansvarige inhämtat ett frivilligt och informerat samtycke enligt CNIL. Informationen om bearbetningsoperationer för annonsannonsering gör det inte möjligt för användaren att skaffa sig tillräcklig information för att bli medveten om omfattningen av användningen av deras personuppgifter. I avsnittet Annonsering anser inte myndigheten att det tillräckligt transparent presenteras för användaren att flertalet tjänster, webbplatser och program är inblandade i bearbetningsoperationerna som utförs av den personuppgiftsansvarige (Google-sökning, You tube, Google-hem, Google Maps, Playstore, Google-bilder ... ) och det därmed blir svårt för den registrerade att förstå den mängd data som behandlas och kombineras rörande ens person. Detta innebär i sig att det samtycke som lämnas av den som använder tjänsten/tjänsterna varken är specifikt eller entydigt.
Sammanfattningsvis kan det konstateras att myndigheten har utgått från de grundläggande principerna i dataskyddsförordningen och tillämpat och redovisat hur de resonerat på ett ganska enkelt sätt. Att sanktionen blir så pass hög beror bland annat på Googles storlek och att antalet drabbade individer är många.
På fredag den 25 januari kommer en uppdaterad andra upplaga av GDPR- Förstå och tillämpa i praktiken ut i bokhandeln->