愛爾蘭資料保護委員會（DPC）於二零二六年九月二十一日宣布，對 Google Ireland Limited 就其位置數據處理處以合計四億零三百萬歐元行政罰款，並命令六個月內合規。調查覆蓋「Web 與 App 活動」「位置記錄」「定位精度」三項功能，期間為二零一八年五月二十五日至二零二零年二月四日。來源真實性已驗證（核對 DPC 官方新聞稿、路透社 Padraic Halpin 當日稿，以及愛爾蘭廣播電臺轉述 Google 回應；發現線索來自路透社官方帳號帖文）。本文整理裁決要點、技術機制，以及對香港企業位置數據與雲端／流動應用合規的含義。

路透／愛爾蘭資料保護委員會：Google 位置數據罰四億零三百萬歐元——三項設定涉違 GDPR，六個月內須合規

作為多數大型美國互聯網公司在歐盟的主要監管機構，愛爾蘭 DPC 本次裁決再次把「位置軌跡能否被用戶理解與控制」推到台前：位置不只是地圖上的一個點，而是可與瀏覽、搜尋及其他訊號結合、推斷出行模式與興趣的高敏感個人資料。罰款金額約合四億六千三百萬美元（路透按當日匯率），並被路透列為 DPC 自 GDPR 生效以來對大型科技所開罰單中的第四大；該機構累計罰款已逾四十億歐元。

一、核心事件：三項位置相關功能被認定違規

技術細節

綜合 DPC 官方新聞稿與路透報道：

時間與程序：DPC 於二零二零年二月展開自願調查，起因包括泛歐消費者組織 BEUC 等歐洲消費者權益團體就 Google 位置數據處理提出投訴。最終決定由資料保護專員 Des Hogan、Dale Sunderland、Niamh Sweeney 作出，並於二零二六年九月二十一日公布。
調查範圍：聚焦 Google 在三項具體功能中的位置數據處理——「Web & App Activity（Web 與 App 活動）」「Location History（位置記錄）」「Location Accuracy（定位精度）」——期間為 GDPR 適用日起至二零二零年二月四日（即二零一八年五月二十五日至二零二零年二月四日）。
認定違規類型（依 DPC 摘要）：Web 與 App 活動、位置記錄之處理合法性與公平性；定位精度相關個人數據處理未能證明符合合法性、公平性與透明度原則的問責義務；三項功能的透明度義務；以及 Web 與 App 活動與位置記錄的位置數據保存。
救濟：行政罰款合計四億零三百萬歐元；並命令 Google 於六個月內把相關處理帶回合規狀態。DPC 表示全文決定稍後公布。
副專員 Graham Doyle 要點：位置數據可單獨或結合其他資訊推斷個人所在；能提升服務效用，亦可能揭露本質上私密的資訊。因合規失敗，用戶可能不知道位置被用於影響廣告或推斷興趣，從而失去對個人數據的控制；「保存時間超出必要」加劇失控。
三項功能機制（DPC 背景說明）：
- Web 與 App 活動：僅限已登入 Google 帳戶用戶；啟用後可處理瀏覽、搜尋與位置等活動資訊。
- 位置記錄：用戶須選擇加入；在攜帶相容流動裝置時追蹤位置，推斷到訪地點、活動與路徑，並以 Timeline／地圖呈現；即使未主動使用 Google 服務，只要裝置已登入亦可保存行程。
- 定位精度：Android 系統功能，結合 GPS 以外輸入以提高定位準確度；不論是否持有 Google 帳戶均可使用。
Google 回應（經愛爾蘭廣播電臺 RTE 轉述）：指案件涉及已更新的歷史政策；發言人稱自二零一九年起已顯著演進做法，並推出自動刪除、廣告管理與更高透明度等工具。報道並指 Google 擬就需跨本案釐清的法律爭議提出上訴。

本文不臆測未公布的全文決定細則、未確認的上訴理由，或香港個人資料私隱專員公署是否就同類功能展開對等調查。

二、技術原理深度解析

位置作為推斷型敏感訊號：單一經緯度點的風險有限；與搜尋、App 使用、Wi-Fi／基站／感應器融合後，可重建「家—公司—醫療—宗教場所」等模式。這正是 GDPR 要求合法性、公平性與透明度的原因：用戶若無法理解「開關實際開啟了什麼」，同意與選擇形同虛設。
帳戶設定 vs 系統層能力：Web 與 App 活動、位置記錄綁定帳戶與選擇加入；定位精度則屬於 Android 裝置定位堆疊。企業與產品團隊若只審計「雲端帳戶開關」，卻忽略作業系統層定位強化，會留下合規盲區。
保存期限（storage limitation）：DPC 明確把「保存過久」列為加重失控的因素。技術上，位置軌跡若無限期累積，後續用途（廣告興趣、產品改進、安全）容易超出用戶初始理解；自動刪除與最短必要保存，是把合規寫進系統預設的常見做法。
透明度與問責：裁決同時打透明度與「能否證明合規」的問責義務。對工程團隊而言，這不只是私隱政策文字，而是設置路徑、預設值、記錄處理目的與法律依據的可審計設計。
跨境監管結構：Google 歐盟業務多以愛爾蘭為主要設立地，使 DPC 成為多數大型平台的 Lead Supervisory Authority。罰款與合規令往往具有歐盟範圍效應，並成為其他司法管轄區的參考基準。

對開發者而言，關鍵不是「關掉一個地圖開關就算完事」，而是把位置收集、用途、保存與用戶可理解的控制面，寫進產品需求與資安審查清單。

三、日常應用場景

1. 開發者與技術團隊

若 App 或後端使用精確定位、背景定位、融合定位或把位置寫入分析／廣告管道，應預設：目的限定、最短保存、可關閉與可刪除、以及「對用戶可解釋」的設定文案。日誌與數據湖勿把高精度軌跡與身份鍵長期聯結；需要熱力圖時優先聚合與延遲。

2. 企業與隱私敏感行業

金融、保險、物流、零售與醫療若在員工裝置或客戶 App 收集位置，合約與私隱通知須對齊實際技術行為（含 OS 層精度強化與第三方 SDK）。把「地圖功能」與「廣告興趣推斷」分開授權，避免一鍵綁死多種二次用途。

3. 一般用戶

可定期檢查 Google 帳戶中的 Web 與 App 活動、位置記錄，以及 Android 定位精度相關設定；啟用自動刪除，並審視是否真的需要完整 Timeline。罰款並不自動刪除歷史數據，用戶仍需主動管理帳戶控制項。

4. 香港與亞洲市場視角

香港企業若把用戶或員工位置送往境外雲端、廣告平台或分析供應商，除本地《個人資料（私隱）條例》外，還可能觸及客戶所在地的 GDPR／亞洲同類規則。跨境電商、車隊、外勤與 O2O App 尤其常見「為便利而開高精度、為增長而長保存」。較穩妥做法是：本地可審核的數據邊界、明確的跨境傳輸基礎，以及可關閉的定位模組。對需要把敏感軌跡與業務系統留在可控雲端與網絡邊界的團隊，雲端遷移與網絡安全設計（含存取控制、日誌與備援）往往比事後補同意書更有效。

四、專業評價與潛在考量

優勢（事件帶來的清晰訊號）

以官方決定與可核對金額，把位置數據的合法性、透明度與保存期限說清楚。
拆開帳戶設定與 Android 定位精度兩層，提醒產品與資安審查不要只看雲端開關。
Google 指屬歷史政策、並稱已改進工具，方便業界對照「現況產品」與「裁決調查窗」的時間差。

需要留意的地方

DPC 全文決定尚未隨新聞稿同步公開；後續條款細節與上訴結果可能影響解讀。
調查窗止於二零二零年二月；勿把罰款直接等同於今日產品介面的全部行為。
路透與 RTE 對 Google 即時回應的細節略有時間差，宜以公司正式聲明與 DPC 全文為最終依據。
罰款高低不替代企業自身的數據清單與 DPIA／私隱影響評估習慣。

結語

愛爾蘭 DPC 對 Google 位置數據開出四億零三百萬歐元罰單，核心不是「地圖可不可以好用」，而是用戶能否真正知道、控制並限制位置軌跡的用途與壽命。對香港團隊，務實路徑是把定位目的、保存與跨境傳輸寫進架構審查，而不是等監管決定後再補開關。若企業需要在香港加固雲端邊界、存取控制與備援，可參考 YSK Limited 的雲端遷移與網絡安全（https://ysk.hk/services/cloud-security；官網刊 99.99% SLA），把敏感業務數據與軌跡處理留在可審計的環境。

參考來源

愛爾蘭資料保護委員會官方新聞（2026-09-21）：https://www.dataprotection.ie/en/news-media/latest-news/data-protection-commission-fines-google-eu403-million-following-inquiry-googles-processing-location
路透社（Padraic Halpin，2026-09-21）：https://www.reuters.com/business/media-telecom/irish-regulator-fines-google-403-million-over-location-data-processing-2026-09-21/
愛爾蘭廣播電臺 RTE（Brian O'Donovan，2026-09-21，含 Google 回應）：https://www.rte.ie/news/business/2026/0921/1592330-google-fined-403m-by-dpc/
X 發現帖（Reuters）：https://x.com/Reuters/status/2101999918546137345