NRK blander bøter, forlik og betalinger i Google-sak

Hvorfor sentralt: Dette er hovedpremisset for NRKs artikkel og er klart dokumentert.

Det irske datatilsynet, DPC, kunngjorde 21. september 2026 en bot på 403 millioner euro til Google Ireland.

Tilsynet fant blant annet brudd på kravene til lovlig og rettferdig behandling av lokasjonsdata i «Web & App Activity» og «Location History», manglende dokumentasjon av etterlevelse for «Location Accuracy», mangelfull åpenhet og for lang lagring av enkelte lokasjonsdata. Google er også pålagt å bringe behandlingen i samsvar med regelverket innen seks måneder. Kilde 1

DPC har foreløpig bare offentliggjort et sammendrag. Den fullstendige avgjørelsen skal publiseres senere, og enkelte detaljer i den juridiske vurderingen kan derfor ikke kontrolleres ennå.

Forbrukerrådets rapport fra november 2018 argumenterte for at Google brukte blant annet skjult informasjon, manipulerende design og gjentatte oppfordringer for å få brukerne til å aktivere omfattende lokasjonssporing. Kilde 2

Rapporten førte til en europeisk klageaksjon. DPC opplyser selv at tilsynet åpnet en egeninitiert undersøkelse i februar 2020 etter å ha mottatt klager fra flere europeiske forbrukerorganisasjoner. Kilde 1

Antallet formelle klager beskrives ikke helt likt i primærkildene. BEUCs samtidige kunngjøring fra 2018 sier at sju nasjonale organisasjoner, inkludert Forbrukerrådet, leverte klager, mens den danske organisasjonen rapporterte praksisen til sitt nasjonale tilsyn. Kilde 3 Forbrukerrådet beskriver i 2026 saken som klager fra Forbrukerrådet og sju andre europeiske organisasjoner. Kilde 4

NRKs hovedpoeng om forbindelsen mellom Forbrukerrådets arbeid og den senere DPC-saken er dermed godt begrunnet, men den formelle saksgangen er mer sammensatt enn formuleringen gir inntrykk av.

Forbrukerrådets rapport konkluderte med at Google brukte designgrep og mangelfull informasjon som ledet brukerne mot omfattende lokasjonssporing. Det er denne vurderingen NRK bygger på. Kilde 2

DPC har nå slått fast flere GDPR-brudd, blant annet knyttet til lovlighet, rettferdighet og åpenhet. Det offentliggjorte sammendraget sier derimot ikke at tilsynet har fastslått «manipulasjon» i samme ordlyd eller omfang som Forbrukerrådet. Kilde 1

«GPS-sporing» er dessuten en snevrere beskrivelse enn DPCs sak. Tilsynet undersøkte tre funksjoner for behandling av lokasjonsdata. Én av dem, «Location Accuracy», brukes nettopp til å bestemme posisjonen mer presist enn ved bare å basere seg på telefonens GPS.

NRK gjengir Googles svar om at saken dreier seg om tidligere innstillinger og at selskapet har gjort store endringer siden 2019.

DPC oppgir en presis tidsavgrensning: undersøkelsen gjelder Googles behandling av lokasjonsdata fra 25. mai 2018 til 4. februar 2020. Det støtter at selve overtredelsesfunnene gjelder historisk praksis. Kilde 1

Samtidig har DPC pålagt Google å bringe behandlingen i samsvar med GDPR innen seks måneder. Før den fullstendige avgjørelsen publiseres, er det ikke mulig å se nøyaktig hvilke deler av dagens behandling dette pålegget krever endringer i.

DPC har selv ilagt tre større GDPR-bøter: 1,2 milliarder euro til Meta, 530 millioner euro til TikTok og 405 millioner euro til Meta for Instagram. Kilde 5

I tillegg ila Luxembourgs datatilsyn Amazon en GDPR-bot på 746 millioner euro i 2021. Kilde 6

Det finnes dermed minst fire større GDPR-bøter enn Googles 403 millioner euro. Påstanden om at Google-boten er den fjerde største «noensinne» holder ikke.

Hvis NRK hadde avgrenset påstanden til bøter fra det irske datatilsynet, ville rangeringen derimot vært riktig: 403 millioner euro kommer etter DPCs bøter på 1,2 milliarder, 530 millioner og 405 millioner euro.

Hvorfor sentralt: Skillet mellom ilagt og betalt endrer hele sammenligningen NRK gjør.

DPC forklarer at bøter fra tilsynet ikke blir betalingspliktige før de er stadfestet av en domstol. Dersom avgjørelsen ankes, kan boten ikke kreves inn mens anken behandles. Kilde 5

NRK skriver selv at Google kan anke avgjørelsen. De 403 millioner euroene kan derfor ikke samtidig behandles som penger Google allerede har «måttet betale».

Samtidig finnes det en langt større faktisk Google-betaling fra 2026 som ikke inngår i NRKs sum. Alphabet opplyser i sin kvartalsrapport at selskapet i juli 2026 betalte 5,2 milliarder dollar kontant, inkludert renter, etter at en tidligere EU-konkurransebot i Android-saken ble endelig. Kilde 7

Dermed kan 4,317 milliarder kroner ikke være en dekkende sum for hva Google hittil i 2026 faktisk har måttet betale i slike store rettslige og regulatoriske saker.

Hvorfor sentralt: NRKs sammenligning behandler en flerårig, delvis betinget forpliktelse som om den var en allerede gjennomført betaling.

Meta inngikk i august 2026 et stort forlik med amerikanske delstater og territorier. Avtalen har en maksimalverdi på 17,1 milliarder dollar. Men dette er ikke et beløp Meta har betalt i 2026.

Minnesota Attorney General opplyser at det samlede forliket har en minimumsverdi på rundt 12 milliarder dollar og kan stige til 17,1 milliarder, avhengig av hva som skjer i eventuelle forlik med andre sosiale medier. Kilde 8

California Attorney General opplyser samtidig at betalingene skal skje over ti år. Kilde 9 Retten godkjente avtalen samme dag som den ble kunngjort. Kilde 10

NRKs formulering om at Meta «hittil i år» har måttet «punge ut» 160,5 milliarder kroner gjør dermed et flerårig og delvis betinget forliksbeløp om til noe som fremstår som en allerede gjennomført betaling.

NRKs poeng er at Google og Meta er så store selskaper at milliardbeløpene ikke nødvendigvis rammer dem hardt.

Markedsverdi er imidlertid verdien markedet setter på selskapets aksjer, ikke et mål på tilgjengelige penger eller den løpende kostnaden ved en bot. I denne saken blir sammenligningen ytterligere vanskelig fordi beløpene NRK setter opp mot hverandre ikke er av samme type.

Google-boten på 403 millioner euro er foreløpig ilagt, men ikke betalingspliktig. Meta-forliket er en flerårig betalingsforpliktelse med en betinget maksimumsverdi. Før man vurderer hvor hardt beløpene rammer selskapene, må disse forskjellene skilles fra hverandre.

Det er godt dokumentert hvorfor det irske datatilsynet får en sentral rolle i mange europeiske teknologisaker. GDPRs «one-stop-shop» gjør normalt datatilsynet i landet der virksomheten har sin relevante hovedetablering til ledende tilsynsmyndighet for grensekryssende behandling. Kilde 11

I Google-saken omtaler DPC seg uttrykkelig som ledende tilsynsmyndighet og åpnet undersøkelsen i februar 2020. Avgjørelsen kom i september 2026. Kilde 1

At Irland har ansvar for mange slike saker er relevant bakgrunn, men det dokumenterer ikke i seg selv hvorfor akkurat denne saken brukte mer enn seks år fra DPC åpnet undersøkelsen til avgjørelsen forelå. NRKs årsaksforklaring går derfor lenger enn dokumentasjonen vi har funnet.