Google a RODO: definicja i znaczenie w praktyce prawnej

W dzisiejszym cyfrowym świecie obecność przedsiębiorstw w sieci jest nierozerwalnie związana z korzystaniem z narzędzi dostarczanych przez globalnych gigantów technologicznych. Wśród nich wiodącą rolę odgrywa Google LLC oraz jego europejski podmiot zależny Google Ireland Limited. Narzędzia takie jak Google Analytics, Google Ads, Google Workspace czy wyszukiwarka Google stanowią fundament nowoczesnego marketingu, analityki oraz komunikacji biznesowej. Jednak z perspektywy europejskiego prawa ochrony danych osobowych, korzystanie z tych rozwiązań wiąże się z koniecznością spełnienia rygorystycznych wymogów określonych w Ogólnym Rozporządzeniu o Ochronie Danych (RODO). Zrozumienie relacji na linii Google a RODO jest kluczowe dla każdego administratora danych, który chce legalnie i bezpiecznie prowadzić działalność w internecie.

Definicja i role stron w procesie przetwarzania danych

Aby prawidłowo ocenić obowiązki prawne ciążące na przedsiębiorcy korzystającym z usług Google, należy w pierwszej kolejności zdefiniować role, jakie poszczególne podmioty odgrywają w świetle przepisów RODO. Zgodnie z rozporządzeniem, kluczowe znaczenie ma rozróżnienie pomiędzy Administratorem Danych Osobowych (ADO) a podmiotem przetwarzającym (procesorem). W większości przypadków, gdy polski przedsiębiorca wdraża na swojej stronie internetowej narzędzia takie jak Google Analytics, staje się on administratorem danych osobowych użytkowników odwiedzających jego witrynę. Google natomiast występuje jako podmiot przetwarzający, który przetwarza te dane w imieniu i na zlecenie przedsiębiorcy. Sytuacja ta wymaga zawarcia umowy powierzenia przetwarzania danych (tzw. Data Processing Amendment - DPA).

Warto jednak pamiętać, że w niektórych obszarach Google może działać jako samodzielny administrator lub współadministrator danych. Dzieje się tak na przykład w przypadku usług reklamowych Google Ads, gdzie Google decyduje o celach i sposobach przetwarzania danych w celu optymalizacji kampanii reklamowych i profilowania użytkowników. Taka dwoistość ról nakłada na przedsiębiorców obowiązek dokładnego przeanalizowania warunków świadczenia usług i dostosowania swojej polityki prywatności do profesjonalnego charakteru współpracy z gigantem z Mountain View.

Na czym polega główny problem prawny?

Głównym punktem zapalnym w relacji Google a RODO przez lata była kwestia transferu danych osobowych poza Europejski Obszar Gospodarczy (EOG) do Stanów Zjednoczonych. Zgodnie z rozdziałem V RODO, przekazywanie danych do państw trzecich jest legalne tylko wtedy, gdy państwo to zapewnia odpowiedni stopień ochrony. Po unieważnieniu przez Trybunał Sprawiedliwości Unii Europejskiej (TSUE) decyzji dotyczących tarczy prywatności (tzw. wyrok Schrems II), korzystanie z amerykańskich usług stało się wysoce ryzykowne. Organy nadzorcze w wielu krajach europejskich, w tym w Austrii, Francji czy we Włoszech, wydawały decyzje uznające korzystanie z tradycyjnej wersji Google Analytics za niezgodne z prawem.

Sytuację zmieniło przyjęcie przez Komisję Europejską w lipcu 2023 roku nowej decyzji stwierdzającej odpowiedni stopień ochrony danych w USA (EU-US Data Privacy Framework). Google LLC szybko certyfikowało się w tym programie, co formalnie otworzyło drogę do legalnego transferu danych. Niemniej jednak, administratorzy wciąż mają obowiązek weryfikacji, czy transfer odbywa się zgodnie z zasadami minimalizacji danych oraz czy wdrożono odpowiednie środki techniczne, takie jak anonimizacja adresów IP czy szyfrowanie danych.

Kogo dotyczą obowiązki związane z RODO i Google?

Wymogi związane z dostosowaniem narzędzi Google do RODO dotyczą niemal każdego podmiotu prowadzącego działalność online. W szczególności obowiązki te obciążają:

• Właścicieli sklepów internetowych: korzystających z zaawansowanej analityki, remarketingu oraz śledzenia konwersji;
• Wydawców portali i blogów: zarabiających na systemach reklamowych takich jak Google AdSense;
• Przedsiębiorców korzystających z Google Workspace: przechowujących dane klientów i pracowników na dyskach w chmurze oraz w poczcie Gmail;
• Agencje marketingowe: zarządzające kampaniami reklamowymi w imieniu swoich klientów i konfigurujące narzędzia analityczne.

Każdy z tych podmiotów musi pamiętać, że odpowiedzialność przed organem nadzorczym za ewentualne naruszenia spoczywa bezpośrednio na nim, a nie na dostawcy technologii.

Podstawa prawna i kluczowe instytucje

Podstawą prawną regulującą te kwestie jest przede wszystkim Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). Kluczowe znaczenie mają tu następujące artykuły:

1. Artykuł 6 RODO: określający przesłanki legalności przetwarzania danych (najczęściej zgoda użytkownika lub prawnie uzasadniony interes administratora);
2. Artykuł 13 RODO: nakładający obowiązek informacyjny wobec osób, których dane dotyczą;
3. Artykuł 17 RODO: regulujący prawo do usunięcia danych (prawo do bycia zapomnianym);
4. Artykuł 28 RODO: określający wymogi dotyczące umowy powierzenia przetwarzania danych;
5. Artykuł 44-49 RODO: regulujące zasady transferu danych do państw trzecich.

W kontekście polskiego porządku prawnego kluczowym organem jest Prezes Urzędu Ochrony Danych Osobowych (PUODO), który kontroluje przestrzeganie przepisów i może nakładać kary administracyjne za ich naruszenie.

Procedura obsługi wniosku o usunięcie danych z wyszukiwarki (Prawo do bycia zapomnianym)

Jednym z najbardziej spektakularnych aspektów relacji Google a RODO jest realizacja prawa do bycia zapomnianym. Osoby fizyczne mają prawo żądać, aby Google usunęło z wyników wyszukiwania linki do stron zawierających ich dane osobowe, jeśli informacje te są nieaktualne, nieprawdziwe lub naruszają ich prywatność. Poniżej przedstawiamy procedurę krok po kroku, jak wygląda ten proces w praktyce prawnej:

Krok 1: Złożenie wniosku przez osobę zainteresowaną

Osoba chcąca usunąć swoje dane musi złożyć formalny wniosek do Google. Służy do tego specjalny formularz online udostępniony przez giganta technologicznego. We wniosku należy precyzyjnie wskazać adresy URL, które mają zostać usunięte, oraz uzasadnić, dlaczego obecność tych informacji w wynikach wyszukiwania narusza prawa wnioskodawcy.

Krok 2: Analiza wniosku przez Google

Google jako administrator wyszukiwarki dokonuje szczegółowej analizy prawnej. Musi wyważyć dwa sprzeczne dobra: prawo jednostki do prywatności oraz interes publiczny polegający na prawie do dostępu do informacji. Google ocenia m.in. czy wnioskodawca jest osobą publiczną, czy informacje dotyczą przestępstwa lub działalności zawodowej oraz czy są one nadal aktualne.

Krok 3: Decyzja i realizacja żądania

Jeśli Google uzna wniosek za zasadny, linki zostaną usunięte z wyników wyszukiwania generowanych dla zapytań zawierających imię i nazwisko wnioskodawcy. Warto podkreślić, że dane nie znikają z samej strony źródłowej, a jedynie z wyników wyszukiwania Google.

Krok 4: Ewentualne odwołanie do organu nadzorczego

Jeśli Google odmówi usunięcia linków, wnioskodawca ma prawo złożyć skargę do właściwego organu nadzorczego (w Polsce do PUODO). Organ ten przeprowadza własne postępowanie i może nakazać Google usunięcie wskazanych wyników wyszukiwania. Termin na rozpatrzenie skargi przez organ zależy od stopnia skomplikowania sprawy, jednak Google na odpowiedź na pierwotny wniosek ma standardowo termin jednego miesiąca.

Zgoda na pliki cookies i Consent Mode v2

W praktyce prowadzenia stron internetowych kluczowym elementem zgodności z RODO jest prawidłowe zarządzanie plikami cookies (ciasteczkami) używanymi przez narzędzia Google. Zgodnie z dyrektywą ePrivacy oraz RODO, instalowanie plików cookies na urządzeniu użytkownika wymaga jego uprzedniej, dobrowolnej, konkretnej i świadomej zgody. Oznacza to, że tzw. cookie bannery nie mogą zawierać domyślnie zaznaczonych zgód, a użytkownik musi mieć realną możliwość odrzucenia śledzenia bez ponoszenia negatywnych konsekwencji.

W odpowiedzi na zaostrzenie egzekwowania tych przepisów, Google wprowadziło technologię Consent Mode v2 (tryb uzyskiwania zgody). Jest to mechanizm, który dostosowuje zachowanie tagów Google (np. Google Analytics, Google Ads) do stanu zgody udzielonej przez użytkownika. Jeśli użytkownik nie wyrazi zgody na pliki cookies reklamowe lub analityczne, tagi te nie zapisują ciasteczek, lecz przesyłają do Google bezidentyfikacyjne sygnały (pingi), co pozwala na modelowanie danych przy jednoczesnym zachowaniu pełnej zgodności z RODO. Wdrożenie Consent Mode v2 stało się od marca 2024 roku obowiązkiem dla wszystkich podmiotów chcących korzystać z zaawansowanych funkcji reklamowych Google w EOG.

Najczęstsze błędy popełniane przez administratorów danych

Analiza postępowań przed organami nadzorczymi pozwala na zidentyfikowanie najczęstszych uchybień po stronie przedsiębiorców korzystających z usług Google:

• Brak aktywnego pozyskiwania zgody: ładowanie skryptów Google Analytics lub Google Ads zanim użytkownik kliknie przycisk "Akceptuję" na bannerze cookie;
• Brak rzetelnego obowiązku informacyjnego: polityka prywatności nie zawiera informacji o tym, jakie dane są przekazywane do Google, w jakim celu i na jakiej podstawie prawnej;
• Niezawarcie umowy powierzenia przetwarzania danych (DPA): brak akceptacji warunków przetwarzania danych w panelu administracyjnym konta Google;
• Utrudnianie wycofania zgody: konstrukcja bannera utrudniająca odrzucenie plików cookies (np. brak przycisku "Odrzuć wszystko" na pierwszym poziomie bannera);
• Brak analizy ryzyka (DPIA): zaniechanie przeprowadzenia oceny skutków dla ochrony danych przy wdrażaniu skomplikowanych systemów śledzących.

Praktyczny przykład wdrożenia narzędzi Google zgodnie z RODO

Wyobraźmy sobie firmę handlową "Alfa Sp. z o.o.", która prowadzi sklep internetowy i chce wdowżyć Google Analytics 4 (GA4) oraz Google Ads w sposób w pełni zgodny z prawem. Prawidłowa procedura wdrożeniowa powinna wyglądać następująco:

Po pierwsze, spółka konfiguruje na swojej stronie profesjonalne narzędzie do zarządzania zgodami (Consent Management Platform - CMP), które blokuje wszystkie skrypty Google do momentu wyrażenia zgody przez klienta. Na bannerze umieszczone zostają trzy równorzędne przyciski: "Akceptuję wszystkie", "Odrzucam wszystkie" oraz "Ustawienia zaawansowane".

Po drugie, w panelu Google Analytics 4 spółka włącza funkcję anonimizacji adresów IP (w GA4 jest to ustawienie domyślne) oraz skraca okres przechowywania danych użytkowników i zdarzeń do minimalnego niezbędnego okresu (np. 2 miesięcy). Dodatkowo, w ustawieniach konta Google akceptuje aneks dotyczący przetwarzania danych (DPA).

Po trzecie, spółka aktualizuje swoją politykę prywatności, wskazując w niej precyzyjnie, że korzysta z narzędzi Google Ireland Limited, opisując cele przetwarzania (analityka, marketing), podstawę prawną (zgoda z art. 6 ust. 1 lit. a RODO) oraz informując o przysługujących użytkownikom prawach, w tym prawie do cofnięcia zgody w dowolnym momencie. Dzięki tym działaniom "Alfa Sp. z o.o." minimalizuje ryzyko nałożenia kary przez PUODO do zera.

Skutki prawne i finansowe naruszeń

Ignorowanie zasad dotyczących zgodności narzędzi Google z RODO może nieść za sobą poważne konsekwencje. Organ nadzorczy, jakim w Polsce jest Prezes Urzędu Ochrony Danych Osobowych, dysponuje szerokim wachlarzem uprawnień naprawczych i sankcyjnych. Zgodnie z art. 83 RODO, kary finansowe mogą wynosić do 20 000 000 EUR lub do 4% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego.

Poza karami finansowymi, niezwykle dotkliwe dla biznesu mogą być decyzje nakazujące zaprzestanie przetwarzania danych lub usunięcie dotychczas zgromadzonych baz danych. Oznacza to utratę cennych informacji analitycznych i marketingowych zbieranych przez lata. Nie bez znaczenia pozostaje również uszczerbek na wizerunku firmy, która zostanie publicznie uznana za podmiot nierespektujący prywatności swoich klientów.

Podsumowanie i rekomendacje prawne

Zgodność z przepisami o ochronie danych osobowych przy korzystaniu z usług Google nie jest stanem danym raz na zawsze, lecz procesem wymagającym ciągłego monitorowania. Zmiany technologiczne wprowadzane przez Google, takie jak wycofanie zewnętrznych plików cookies czy rozwój sztucznej inteligencji, idą w parze z ewolucją orzecznictwa europejskich sądów i decyzji organów nadzorczych. Przedsiębiorcy muszą odejść od podejścia czysto technicznego na rzecz podejścia "privacy by design" (ochrona danych w fazie projektowania). Regularne audyty stron internetowych, aktualizacja polityk prywatności oraz rzetelne zarządzanie zgodami użytkowników to jedyna droga do bezpiecznego i efektywnego wykorzystania potencjału, jaki oferuje ekosystem Google w zgodzie z europejskim prawem.