Google LLC (policies.google.com) Tietosuojakäytäntö — 65/100 (Keskitasoinen tietosuojariski)
Viimeksi analysoitu
Google LLC · google.com
Raportin tiedot
Keskitasoinen tietosuojariskiGooglen yksityiskäytäntö on läpinäkyvä laajasta datan keräämisestä ja jakamisesta, mutta se herättää merkittäviä huolia EU-käyttäjille laajan palveluiden välisten datan käytön, kolmansien osapuolten jakamisen ja kansainvälisten siirtojen vuoksi.
Googlen yksityiskäytäntö kuvailee laajaa datan keräämistä koko ekosysteemissään (esim. Haku, YouTube, Android, Gmail), mukaan lukien henkilötiedot, toimintalokit, sijaintidata ja laite-identifioijat. Vaikka se tarjoaa yksityiskohtaisia käyttäjän ohjausmahdollisuuksia (esim. Oma toiminta, Mainosasetukset) ja selkeitä kuvauksia GDPR-oikeuksista (pääsy, poisto, siirrettävyys), se harjoittaa myös laajaa datan jakamista tytäryhtiöiden, kolmansien osapuolten kumppaneiden ja oikeudellisten/väärinkäytön estämisen tarkoituksiin. Kansainväliset datansiirrot tunnustetaan, ja niissä luotetaan kehyksiin kuten SCC:hen (Standard Contractual Clauses), mutta käytäntö ei tarjoa selkeitä takeita ainoastaan EU-alueen käsittelystä. Tekoäly/mallien koulutus on vihjattu (esim. Google Translate, Gemini), mutta siinä puuttuu selkeä kieltäytymisoptio. Käytäntö on kattava, mutta monimutkainen, ja siinä on puutteita datan keräämisen minimoinnissa ja siirtojen rajoittamisessa ETA-alueen ulkopuolelle.
Kategoria-arviointi
Käytännön jakautuminen keskeisille vaatimustenmukaisuusalueille. Hyvä = vahva, kohtalainen = ristiriitainen, heikko = huolestuttava.
Kerää valtavan määrän dataa (esim. hakusanat, sijainti, laite-ID:t, toiminta kolmansien osapuolten sivustoilla), paljon enemmän kuin mitä on ehdottomasti tarpeen ydinpalveluille, ja todisteet suhteellisuudesta ovat rajoitetut.
Käytäntö on erittäin yksityiskohtainen, selkeillä osioilla datatyypeistä, tarkoituksista, jakamisesta ja käyttäjien oikeuksista, vaikka sen pituus ja monimutkaisuus saattavat ylikuormittaa tavallisia käyttäjiä.
Jakaa dataa laajasti tytäryhtiöiden, palveluntarjoajien, mainostajien ja kumppaneiden (esim. mainokset, analytiikka, sisällön moderointi) kanssa, usein ilman selkeää käyttäjän suostumusta kullekin siirrolle.
Dataa käsitellään maailmanlaajuisesti, myös Yhdysvalloissa, ja siirroissa luotetaan SCC:hen ja muihin kehyksiin, mutta ei ole takeita ainoastaan EU-alueen varastoinnista tai käsittelystä kaikille datatyypeille.
Käyttää julkista/kumppanidataa (esim. Hausta, YouTubesta) tekoälyn koulutukseen (esim. Google Translate, Gemini), mutta siinä puuttuu selkeät kieltäytymismekanismit tai selkeä suostumus tähän tarkoitukseen.
Kuvailee selkeästi GDPR-oikeuksia (pääsy, poisto, siirrettävyys, vastustaminen) ja tarjoaa työkaluja (esim. Oma toiminta, Takeout) niiden käyttämiseen, vaikka jotkin oikeudet (esim. vastustaminen lailliseen etuun perustuvaan käsittelyyn) saattavat olla käytännössä rajoitetut.
Keskeiset havainnot
Huomionarvoiset ehdot, ongelmat tai hyvät käytännöt (kriittiset ensin)
Liiallinen datan kerääminen ja palveluiden välinen integrointi
Käytännössä todetaan, että Google kerää dataa 'sovelluksista, selaimista ja laitteista' (esim. IP-osoitteet, kaatumisraportit, yksilölliset tunnisteet) ja linkittää sen eri palveluiden (esim. Haku, YouTube, Gmail) välillä henkilökohtaistamista ja mainoksia varten. Osioissa 'Tietoja, joita keräämme, kun käytät palvelujamme' ja 'käytämme keräämäämme tietoa palveluidemme välillä' vahvistetaan tämä laaja ulottuvuus, mikä on ristiriidassa GDPR:n datan minimoinnin periaatteen (5 artiklan 1 kohta c) kanssa.
Epäselvät tekoäly/mallien koulutuksen kieltäytymisoptiot
Osiossa 'julkisesti saatavilla olevat lähteet' Google myöntää käyttävänsä julkista dataa 'Googlen tekoälymallien kouluttamiseen' (esim. Google Translate, Gemini). Kuitenkaan ei ole selkeää kieltäytymisoptiota käyttäjille, joiden data sisältyy koulutusdatasetteihin, eikä selkeyttä siitä, käytetäänkö käyttäjän luomaa sisältöä (esim. sähköpostit, valokuvat). Tämä herättää huolia GDPR:n 22 artiklan (automaattinen päätöksenteko) ja suostumuksen puutteen suhteen toissijaiseen käsittelyyn.
Kansainväliset siirrot ilman EU:n takeita
Osiossa 'Datan siirrot' todetaan, että dataa voidaan käsitellä palvelimilla maailmanlaajuisesti, myös ETA-alueen ulkopuolella, ja siirroissa luotetaan 'oikeudellisiin kehyksiin' (esim. SCC). Kuitenkaan siinä ei taata ainoastaan EU-alueen käsittelyä tai sitovia yritysäyksiköiden sääntöjä (BCR) kaikille datatyypeille, mikä jättää siirrot Yhdysvaltoihin (epäadekvaatti jurisdiktio) korkeariskiseksi käytännöksi Schrems II:n ja GDPR:n luvun V alaisuudessa.
Kolmansien osapuolten jakaminen mainoksia ja analytiikkaa varten
Käytännössä todetaan selvästi, että Google jakaa henkilökohtaista dataa 'julkaisijoiden, mainostajien, kehittäjien tai oikeuksien haltijoiden' kanssa ja sallii kumppaneiden kerätä dataa evästeiden kautta mainoksia/mittausta varten (esim. 'tietyt kumppanit' kuten YouTuben mittausyritykset). Osioissa 'Ulkoinen käsittely' ja 'Tietyille kumppaneille' vahvistetaan tämä, mikä ei ehkä ole yhdenmukainen GDPR:n tarkoituksen rajoittamisen tai käyttäjän suostumusvaatimusten kanssa seurannan osalta.
Säilyttämisajat puuttuvat yksityiskohtaisuudeltaan
Vaikka osiossa 'Tietojesi säilyttäminen' kuvataan yleisiä säilyttämiskäytäntöjä (esim. käyttäjän poistettavissa oleva data, automaattinen anonymisointi), siinä ei anneta tarkkoja aikarajoja kaikille datatyypeille. Esimerkiksi 'joitakin tietoja säilytämme pidempään' 'laillisten liiketoiminta- tai oikeudellisten tarkoitusten vuoksi' on epämääräinen, mikä saattaa loukata GDPR:n säilyttämisen rajoittamisen periaatetta (5 artiklan 1 kohta e).
Yhteenveto käyttäjälle
Google kerää ja käsittelee valtavan määrän tietojasi eri palveluidensa kautta, usein linkittämällä ne tilisi tai laitteesi, ja jakaa niitä laajasti kumppaneiden ja mainosten kanssa. Vaikka sinulla on vahvat työkalut datan hallintaan, vientiin tai poistoon, datan keräämisen ja palveluiden välisten yhteyksien laajuus tarkoittaa, että tietojasi käytetään todennäköisesti tavoilla, joita et ehkä odota – varsinkin jos käytät useita Google-tuotteita. EU-käyttäjille data voidaan siirtää ETA-alueen ulkopuolelle, ja tekoälyn koulutuksessa käytetään julkisia/kumppanidataa ilman selkeitä kieltäytymisoptioita.
Vaatimustenmukaisuusasento
Google osoittaa vahvoja noudattamispyrkimyksiä GDPR:n (Yleinen tietosuoja-asetus) suhteen, mukaan lukien yksityiskohtaiset ilmoitukset, käyttäjien oikeudet ja datan säilyttämiskäytännöt. Kuitenkin sen luottamus lailliseen etuun monissa käsittelytarkoituksissa, laaja kolmansien osapuolten jakaminen ja kansainväliset siirrot (huolimatta kehyksistä kuten SCC:stä) luovat noudattamisriskejä EU-lainsäädännön alaisuudessa, erityisesti herkälle datalle tai suurimittaiseen profilointiin. Käytäntö täyttää läpinäkyvyysvaatimukset, mutta ei ehkä täysin tyydytä datan minimoinnin tai tarkoituksen rajoittamisen periaatteita.
EU-siirrot
Korkea riski. Google ilmoittaa selvästi, että dataa voidaan käsitellä palvelimilla maailmanlaajuisesti, myös ETA-alueen ulkopuolella, ja se luottaa oikeudellisiin kehyksiin (esim. SCC) siirroille. Vaikka se soveltaa samoja suojatoimia globaalisti, selkeiden takeiden puute ainoastaan EU-alueen käsittelystä tai sitovista yritysäyksiköiden säännöistä (BCR) kaikille datatyypeille herättää huolia Schrems II:n ja GDPR:n luvun V (Kansainväliset siirrot) alaisuudessa. Julkisesti saatavilla olevaa dataa ja kumppanien lähteestä peräisin olevaa dataa käytetään tekoälyn koulutukseen, mikä voi sisältää siirtoja Yhdysvaltoihin tai muihin oikeudellisesti heikompiin jurisdiktioihin.
Havaitut signaalit
Tekstistä tunnistetut erityiset tiedot ja käytännöt
Todisteiden otteet
Suorat lainaukset käytännöstä näiden havaintojen tueksi
We collect information about the apps, browsers, and devices you use to access Google services, which helps us provide features like automatic product updates and dimming your screen if your battery runs low.
We may also collect information about you from publicly accessible sources. For example, if your name appears in your local newspaper, Google’s Search engine may index that article and display it to other people if they search for your name. We may also collect information about you from trusted partners, such as directory services who provide us with business information to be displayed on Google’s services, marketing partners who provide us with information about potential customers of our business services, and security partners who provide us with information to protect against abuse. We also receive information from partners to provide advertising and research services on their behalf.
We maintain servers around the world and your information may be processed on servers located outside of the country where you live. Data protection laws vary among countries, with some providing more protection than others. Regardless of where your information is processed, we apply the same protections described in this policy.
We use the information we collect across our services and across your devices for the purposes described above. For example, depending on your available settings, if you watch videos of guitar players on YouTube, you might see an ad for guitar lessons on a site that uses our ad products.
We may also collect information about you from publicly accessible sources to help train Google’s AI models and build products and features like Google Translate, Gemini Apps, and Cloud AI capabilities.
Puuttuu tai epäselvä
- Ei selkeää kieltäytymisoptiota tekoäly/mallien koulutukseen käyttäjän luoman sisällön avulla
- Ei takeita ainoastaan EU-alueen datan käsittelystä tai varastoinnista
- Puute tarkoista säilyttämisajoista kaikille datatyypeille
- Ei selkeää mekanismia vastustaa lailliseen etuun perustuvaa käsittelyä profilointia/mainoksia varten
- Ei sitovia yritysäyksiköiden sääntöjä (BCR) mainittu kaikille datansiirroille
- Ei selkeää suostumusta vaadittu palveluiden välisten datayhteyksien osalta (asetusten ulkopuolella)
- Ei yksityiskohtia siitä, miten herkkä henkilötieto (esim. terveys, biometria) eristetään tekoälyn koulutuksesta
Kysyttävät kysymykset
- Tarjoaako Google mekanismin kieltäytyä tekoäly/mallien koulutuksesta käyttämällä minun dataani, mukaan lukien julkisesti saatavilla oleva tai kumppanien lähteestä peräisin oleva data?
- Voiiko Google taata, että minun dataani käsitellään ja varastoidaan ainoastaan EU/ETA-alueella, ja jos ei, mitkä erityiset suojatoimet (esim. BCR, salaus) ovat käytössä siirroille Yhdysvaltoihin?
- Mitkä ovat tarkat säilyttämisajat kullekin datatyypille, jonka Google kerää, ja miten Google varmistaa GDPR:n säilyttämisen rajoittamisen periaatteen noudattamisen?
- Miten Google saa selkeän suostumuksen palveluiden välisten datayhteyksien osalta (esim. Gmail-datan käyttö Haun tulosten henkilökohtaistamiseen) GDPR:n tarkoituksen rajoittamisen ja suostumusvaatimusten mukaisesti?
- Mitkä erityiset toimenpiteet Google toteuttaa varmistaakseen, että kolmansien osapuolten kumppanit (esim. mainostajat, mittausyritykset) eivät tunnista uudelleen tai väärinkäytä henkilökohtaamatonta dataa, jota heidän kanssaan jaetaan?
- Käsitteleekö Google kaikkea EU-käyttäjiltä kerättyä dataa 'henkilötietona' GDPR:n mukaisesti, vaikka sitä ei linkitetä Google-tiliin (esim. yksilölliset tunnisteet, jotka liittyvät laitteeseen)?
- Miten Google sovittaa lailliseen etuun perustuvan profilointin ja mainosten käytön GDPR:n vaatimuksen tasapainotestistä ja käyttäjien oikeuksista vastustaa?
Jaa tämä analyysi
Kuka tahansa, jolla on tämä linkki, voi nähdä yllä olevan tuloksen.
DentroChatin rakentama
100 % eurooppalainen tekoälychat kaikille
Keskustele tekoälyn kanssa, käsittele tiedostoja, luo kuvia ja hae verkosta. Tiedot pysyvät Euroopassa.
Muut analysoidut tietosuojakäytännöt
Näytä kaikkiwhatsapp.com
65/100
Keskitasoinen tietosuojariskiWhatsApp kerää viestien sisällöstä vain vähän päästä päähän -salauksen vuoksi, mutta jakaa laajasti metatietoja ja käyttäjätietoja Metan ja kolmansien osapuolten kanssa, mukaan lukien mainontaan ja globaaleihin siirtoihin, mikä herättää EU:n yksityisyyden suojaan liittyviä huolenaiheita.
Näytä raportti →scaleway.com
65/100
Keskitasoinen tietosuojariskiScaleways markkinointisivu korostaa EU:n datan suvereniteettia ja läpinäkyvyyttä, mutta siinä puuttuu kriittisiä yksityiskohtia tietosuojakäytännöstä, mikä jättää aukkoja noudattamisen selkeyteen.
Näytä raportti →european-alternatives.eu
65/100
Keskitasoinen tietosuojariskiEuropean Alternatives kerää vähäistä henkilötietoja, mutta ei ole selkeä varastointipaikoista, säilyttämisajoista tai tietojen jakamisesta kolmansille osapuolille, mikä herättää kohtalaisia yksityisyyden suojaan liittyviä huolenaiheita.
Näytä raportti →bestalternatives.eu
65/100
Keskitasoinen tietosuojariskiBest European Alternatives minimoi aidosti tietoja ja välttää evästeitä, mutta käyttää yhdysvaltalaisia tietojenkäsittelijöitä ilman siirron suojatoimien käsittelyä ja jättää pois keskeisiä GDPR-oikeuksia ja juridisia yksityiskohtia.
Näytä raportti →