这是一个罕见的景象：谷歌因严重违反欧盟通用数据保护条例 (GDPR) 而被西班牙罚款 1000 万欧元，该条例发现它传递的信息可用于识别要求删除其个人数据的公民根据欧盟法律，包括他们的电子邮件地址；给出的理由；以及所声称的 URL 给美国的第三方，而没有进行进一步处理的有效法律依据。
除了被罚款外，谷歌还被要求修改其程序，使其符合 GDPR，并删除其仍持有的与此次执法相关的任何个人数据。
罚款并不是谷歌的第一次 GDPR 罚款——几年前， 法国因最迅速地执行欧盟的旗舰数据保护框架而获得赞誉——但据我们所知，这只是这家广告技术巨头第二次受到制裁根据 GDPR 自该法规实施以来，四年前的这个月。 （尽管最近发现使用某些 Google 工具违反了 GDPR 数据导出规则。 根据欧盟的 ePrivacy 规则，Google 也受到了更严厉的罚款。）
西班牙数据保护机构 AEPD 今天宣布了处罚，称它正在制裁谷歌，称其为“两项非常严重的侵权行为”——涉及在没有法律依据的情况下将欧盟公民的数据传输给第三方；并且这样做会妨碍人们根据 GDPR 删除其个人数据的权利。
谷歌被认为非法向其传输数据的第三方是Lumen 项目，这是一个位于美国哈佛大学伯克曼克莱因互联网与社会中心的学术项目，旨在收集和研究删除在线信息的法律请求通过积累内容删除请求的数据库。
AEPD 发现，通过将要求删除其数据的欧洲公民的个人数据传递给 Lumen 项目，谷歌实质上是在挫败他们删除信息的合法权利（根据 GDPR 第 17 条）——也就是“被遗忘的权利” ‘; rtbf。 （委婉地说，谷歌长期以来一直反对欧盟的 rtbf——在搜索去索引的形式中，它早于 GDPR，通过2014 年欧洲法院的裁决。因此，欧盟个人提出某些法律要求的能力附加到他们的个人数据并不是什么新鲜事。）
AEPD 在其决定中表示，谷歌没有为请求删除其数据的用户提供选择是否将其信息传递给 Lumen 项目——这意味着它缺乏共享数据的有效法律依据。
监管机构还批评了谷歌为个人设计的基于表格的系统要求删除他们的数据——因为它令人困惑，并要求他们为他们的请求选择一个选项，它说这可能导致它在与数据保护不同的监管制度下得到处理。
“该机构的决定表明，该系统相当于’让谷歌有限责任公司决定何时何地不适用 GDPR，这意味着接受该实体可以规避个人数据保护规则的应用，更具体地说，接受删除个人数据的权利受责任实体设计的内容删除系统的制约，”AEPD 在新闻稿中指出。
谷歌发言人告诉我们，它正在评估监管机构的决定。
该公司声称它已经采取措施修改其流程，例如减少与 Lumen 共享的来自欧盟国家的删除请求的信息量。谷歌还建议其一般政策是不分享任何删除权/被遗忘权搜索删除请求或任何其他调用数据保护或隐私权的删除请求 – 但如果是这种情况，不清楚为什么 AEPD 发现其他情况.
谷歌发言人在一份声明中补充说：
“我们长期以来一直致力于提高内容删除请求管理的透明度。与许多其他互联网公司一样，我们与哈佛伯克曼克莱因互联网与社会中心的学术项目 Lumen 合作，帮助研究人员和公众更好地了解在线内容删除请求。
“我们正在审查该决定，并不断与包括 AEPD 在内的隐私监管机构接触，以重新评估我们的做法。我们一直在努力在隐私权和我们对在线审核内容的透明和负责任的需要之间取得平衡。鉴于这些程序，我们已经开始重新评估和重新设计我们与 Lumen 的数据共享实践。”
我们已经向 Lumen 项目提出了问题。
AEPD 还命令谷歌“敦促” Lumen Project 在没有有效法律依据的情况下停止使用和删除它传达给它的任何欧盟人民数据——尽管最终，西班牙监管机构在强制非欧盟实体方面的手段有限遵守欧盟法律。
这个案例很有趣，因为有一个单独的 GDPR 管辖权问题。
该法规的一站式服务 (OSS) 机制通过“主管”主管处理跨境投诉，通常在公司主要机构所在的欧盟市场——在谷歌的情况下（以及对许多其他科技巨头来说）是爱尔兰的数据保护委员会 (DPC) 继续因其 GDPR 执行的艰苦步伐而面临强烈批评，尤其是在适用于科技巨头的跨境案件中。事实上，DPC 目前正因对 Google 广告技术投诉不作为而被起诉。
该投诉可以追溯到将近四年的时间。 DPC 还有许多其他长期存在的谷歌调查——包括一项调查其位置跟踪实践的调查。但爱尔兰监管机构仍未就任何谷歌案件作出任何决定。因此，对 Google 执行 GDPR 的情况很少见。
如果西班牙资源匮乏的数据保护机构能够做出决定并强制执行（它实际上是最活跃的欧盟 DPA 之一），批评者肯定会问，为什么爱尔兰不能呢？
与此同时，法国较早的 GDPR 对谷歌的打击之所以成为可能，是因为这家广告技术巨头尚未重新配置其业务，以通过 OSS“论坛购物”、将公民账户转移到其位于爱尔兰的账户来降低其在该地区的“监管风险”。实体——从而将欧盟用户置于（艰苦的）爱尔兰 DPC 的管辖之下。
那么，西班牙是如何避开 Google-Lumen 案中的 DPC GDPR 执行瓶颈的呢？
基本上，该机构有能力，因为谷歌的美国业务正在执行有问题的处理，以及流明项目本身是美国的。据推测，监管机构还能够表明正在处理西班牙公民的数据——这意味着它可以代表他们介入。
AEPD 证实，它依靠 GDPR 中的一种机制就能力问题与爱尔兰 DPC 联络，并告诉我们：“一旦完成此程序，并在确定管辖权后，AEPD 同意启动此制裁程序。”
原文： https://techcrunch.com/2022/05/18/google-spain-lumen-gdpr-rtbf/