2026年9月21日，爱尔兰数据保护委员会（DPC）公布对谷歌的最终调查裁定：因在“网页与应用活动记录”“位置记录”及“位置精准度”三项功能中违反GDPR处理用户定位数据，对谷歌爱尔兰有限公司处以4.03亿欧元罚款，并责令其于6个月内完成整改。
此为DPC开出的第四大罚单。值得注意的是，排名第三的TikTok因违规向中国传输欧盟用户数据受罚，这与出海企业利益直接相关。但此次谷歌罚单的核心警示并非金额，而在于违规性质。
图源：Google / David Dickens
罚的不是“数据泄露”，是“用户不知道”
DPC裁决指出四项主要违规：
第一，在“网页与应用活动记录”和“位置记录”中，处理位置数据时未能满足合法性与公平性要求。
第二，在“位置精准度”功能中，无法证明遵守了合法、公平、透明原则，违反GDPR问责义务。
第三，针对上述三项功能，未履行信息告知的透明度义务。
第四，在“网页与应用活动记录”和“位置记录”中，位置数据留存不合规。
DPC副专员Graham Doyle指出，用户往往不知晓位置信息被用于推送定向广告或推断偏好，从而丧失数据控制权；而超必要期限留存进一步加剧了这一风险。
Google Maps位置数据功能示意
图源：Google
需注意，调查涵盖2018年5月25日至2020年2月4日。尽管谷歌称2019年起已改变做法，但裁决表明其在GDPR生效初期合规状态不合格。谷歌表示将提出异议，但6个月整改令的执行需视后续法律程序而定。
透明度义务：合规检查的第一道门槛
对中国出海企业而言，此案揭示了透明度义务这一合规盲区。GDPR第13、14条要求企业在收集数据时，清晰告知控制者身份、处理目的、法律依据、接收方、跨境情况、留存期限、用户权利等关键信息。
Google My Ad Center隐私管理示意
图源：Google
合规并非仅在隐私政策中罗列条款，而是要求用户在数据收集当下即可知晓数据用途、保存期限及共享对象。关键信息应在首层清晰呈现，避免隐藏在冗长条款中。
谷歌的问题在于功能名称与实际用途脱节：用户开启“位置记录”旨在导航，数据却被用于广告推断。这提示企业：功能命名需准确反映数据实际用途，确保用户理解一致性。
Google隐私检查入口示意
图源：Google
建议企业自查：核对隐私政策与实际数据流是否一致；检查功能命名准确性；确保关键告知信息在收集时即时可见。
数据留存期限：告知不等于执行
DPC认定的第四项违规涉及GDPR第5(1)(e)条存储限制原则，即个人数据保存不得超过实现目的所需期限。企业需实际设定并执行删除或匿名化时限。
这与透明度义务不同：前者要求告知期限标准，后者要求实际执行。谷歌违规在于实际留存超过必要期限，无论是否告知，超期事实均构成违规。
Google Maps时间线批量删除功能
图源：Google
出海企业需进行双重检查：一是是否向用户说明留存期限（透明度）；二是实际留存是否符合该期限且确属必要（存储限制）。“必要期限”需结合具体业务场景判定，如导航数据应在任务结束后删除，广告归因数据需依据归因窗口设定。所有策略需文档化保存以备审查。
Google活动数据自动删除期限设置
图源：Google Safety Center
问责义务：企业需自证合规
DPC认定谷歌在“位置精准度”上违反问责义务，因其无法证明遵守了相关原则。GDPR要求控制者主动展示合规状态，而非被动应对监管。
中国出海企业应系统性准备并更新合规文档，包括：数据处理活动记录（ROPA）、数据流图、留存策略、用户告知证据、同意记录、数据传输影响评估及数据保护影响评估等。这些文档需随产品迭代持续更新。
Google比利时数据中心已销毁的故障硬盘
图源：Google
从TikTok到谷歌，DPC执法主线清晰指向：透明度义务、数据留存合规、跨境传输合法性。即便拥有完善团队的技术巨头亦会在基础合规上犯错，资源有限的中国出海企业更应尽早启动这两领域的合规检查。
