Google får böter på 403 miljoner euro efter att den irländska dataskyddsmyndigheten granskat hur bolaget har samlat in och hanterat användarnas platsdata. För Google är summan hanterbar, men beslutet visar hur kostnaderna för gamla datapraktiker fortsätter att växa samtidigt som flera europeiska granskningar fortfarande pågår.

Irlands Data Protection Commission, DPC, meddelade den 21 september att Google ska betala totalt 403 miljoner euro i administrativa böter.

Granskningen handlar om hur Google behandlade platsuppgifter under perioden från den 25 maj 2018, när EU:s dataskyddsförordning GDPR började tillämpas, fram till den 4 februari 2020.

DPC inledde sin formella utredning redan 2020 efter klagomål från europeiska konsumentorganisationer.

Myndigheten har bland annat granskat funktionerna Web & App Activity, Location History och Location Accuracy och kommit fram till att Google hade brister i hur behandlingen av platsdata förklarades och motiverades för användarna.

Platsdata kunde användas för annonser och intressen

En central fråga är hur mycket användaren själv förstod om vad platsuppgifterna användes till.

Enligt DPC kunde uppgifterna bland annat påverka vilka annonser en person såg och användas för att dra slutsatser om användarens intressen.

Platsdata kan vara särskilt känsliga eftersom en längre historik kan avslöja betydligt mer än var en person råkar befinna sig vid ett enskilt tillfälle. Uppgifterna kan exempelvis ge information om bostad, arbetsplats, vanor och vilka platser någon regelbundet besöker.

DPC pekar också på hur länge informationen sparades och anser att Google behöll vissa platsuppgifter längre än vad som var nödvändigt.

Google måste nu säkerställa att behandlingen följer reglerna inom sex månader.

Det gör beslutet till mer än bara en stor böteslapp. Bolaget kan också tvingas fortsätta förändra hur platsdata hanteras och hur användarna informeras.

Google säger att systemen redan har förändrats

Google framhåller att den irländska granskningen gäller hur tjänsterna fungerade flera år tillbaka i tiden och att bolaget sedan dess har gjort omfattande förändringar.

Redan 2019 började Google erbjuda automatisk radering av Location History och Web & App Activity. Året därpå gjordes automatisk radering efter 18 månader till standard för vissa nya användare och funktioner.

Bolaget har även byggt ut möjligheterna att styra och radera platsinformation.

Det förändrar däremot inte DPC:s bedömning av den tidigare behandlingen.

Fallet visar därmed ett av problemen för de stora teknikbolagen i Europa: även datapraktiker som har ändrats eller övergivits kan leda till mycket stora sanktioner flera år senare.

403 miljoner euro är litet jämfört med Googles vinst

403 miljoner euro är en av de större dataskyddsböterna som den irländska myndigheten har beslutat om.

För Googleägaren Alphabet är summan samtidigt liten i förhållande till koncernens ekonomi.

Alphabet omsatte omkring 403 miljarder dollar under 2025 och gjorde en nettovinst på drygt 132 miljarder dollar.

Med Reuters omräkning av den nya boten till omkring 463 miljoner dollar motsvarar den ungefär 0,1 procent av årsomsättningen och omkring 0,35 procent av nettovinsten.

En enskild bot på den här nivån utgör därför inget ekonomiskt hot mot Google.

Den större risken ligger i att kostnaderna staplas på varandra.

Förutom själva böterna tillkommer juridiska processer, arbete med regelefterlevnad och förändringar av produkter och tekniska system.

Google påverkas dessutom inte bara av GDPR. EU har under de senaste åren byggt upp flera parallella regelverk för världens största teknikföretag. Vi har tidigare skrivit om hur Google förändrar sina sökresultat i EU till följd av Digital Markets Act.

Flera granskningar av Google pågår

Risken för ytterligare ingripanden är inte bara teoretisk.

DPC har uppgett att ytterligare tre större granskningar som berör Google befinner sig i avancerade skeden.

En av dem gäller Googles system för digital annonsering och realtidsbudgivning. Där granskas bland annat vilken rättslig grund bolaget har för behandlingen av personuppgifter, hur användarna informeras och hur länge informationen sparas.

En annan gäller artificiell intelligens.

DPC öppnade 2024 en granskning av Googles AI-modell PaLM 2 och frågan om bolaget borde ha genomfört en särskild konsekvensbedömning innan personuppgifter från människor inom EU och EES användes i samband med modellens utveckling.

Det innebär inte att Google automatiskt kommer att få fler böter. Men bolaget har flera öppna regulatoriska frågor kvar samtidigt som europeiska myndigheter fortsätter att pröva hur äldre och nya tekniska system förhåller sig till GDPR.

Google bötfälldes även i Frankrike

Den irländska boten kommer dessutom relativt kort efter en annan stor europeisk sanktion.

I september 2025 beslutade den franska dataskyddsmyndigheten CNIL om böter på sammanlagt 325 miljoner euro mot Google.

Det franska fallet handlade bland annat om annonser som visades bland mejlen i Gmail och hur användare styrdes mot cookies för personaliserad reklam när Google-konton skapades.

De franska och irländska sanktionerna uppgår tillsammans till 728 miljoner euro.

Fallen gäller olika frågor och ska inte ses som en enda gemensam GDPR-process. De visar däremot hur samma teknikbolag kan möta stora kostnader från flera europeiska myndigheter samtidigt.

GDPR kan ge betydligt högre böter

Den maximala nivån enligt GDPR kan vara betydligt högre än den Google nu möter i Irland.

Vid de allvarligaste överträdelserna kan böter uppgå till 20 miljoner euro eller fyra procent av ett företags globala årsomsättning, beroende på vilket belopp som är högst.

Mer information om hur böterna fungerar finns hos European Data Protection Board.

För ett företag med Alphabets omsättning innebär det att den teoretiska maximala sanktionen kan bli mångdubbelt större än 403 miljoner euro.

De irländska besluten visar samtidigt att stora böter inte alltid innebär att pengarna omedelbart betalas.

Många beslut överklagas och rättsprocesserna kan pågå under lång tid.

Integritetskostnaden växer för teknikjättarna

Den nya Googleboten illustrerar därför ett större skifte i Europa.

När GDPR infördes låg mycket av diskussionen på hur stora böter myndigheterna i praktiken skulle våga använda mot världens största teknikbolag. Åtta år senare handlar frågan snarare om hur många parallella processer bolagen kan behöva hantera.

För Google är 403 miljoner euro i sig en begränsad kostnad.

Men när böter, rättsprocesser, nya produktkrav och flera olika EU-regler läggs ovanpå varandra blir integritets- och regelverksfrågorna en permanent kostnad för att bedriva verksamhet i Europa.

Och eftersom flera granskningar fortfarande pågår behöver dagens böter inte vara den sista stora europeiska integritetsnotan för Google.