Cụ thể, Pháp đã tuyên phạt Google 50 triệu euro (gần 57 triệu USD) do tuỳ tiện cá nhân hoá quảng cáo mà không được người dùng cho phép. Điều này vi phạm luật bảo vệ dữ liệu chung (General Data Protection Regulation - GDPR) mới của EU.
GDPR là luật được xây dựng nhằm bảo vệ các quyền riêng tư và ẩn danh của người dùng trong các dữ liệu họ chia sẻ trên mạng Internet. Bất cứ doanh nghiệp nào thu thập dữ liệu cá nhân của người dùng sống tại Liên minh châu Âu (EU) đều phải tuân thủ luật này, nếu không sẽ bị phạt tài chính rất nặng.
Ngay sau khi luật GDPR có hiệu lực thàng 5/2018, đã có hai đơn khởi kiện Google. Án phạt vừa tuyên liên quan tới những vụ kiện này. Một trong hai đơn kiện là của nhà hoạt động bảo vệ quyền cá nhân người Áo, ông Max Schrems, người đứng đầu tổ chức phi lợi nhuận None of Your Business (NOYB). Ông Max Schrems cũng đã khởi kiện tương tự với Facebook.
Thông cáo của Cơ quan bảo vệ quyền riêng tư của dữ liệu người dùng của Pháp (CNIL), Google đã vi phạm GDPR do "thiếu sự minh bạch, thông tin không đầy đủ và thiếu sự đồng thuận hợp lệ liên quan tới hoạt động cá nhân hóa nội dung quảng cáo".
Ngoài ra, Google đã gây khó khăn cho người dùng trong việc tiếp cận thông tin về quá trình xử lý dữ liệu cá nhân họ thu thập được, cũng như cách thức họ sử dụng các thông tin này cho những quảng cáo được cá nhân hóa bằng cách tạo ra quá nhiều bước thao thác phức tạp (có khi lên tới 5 hoặc 6 bước).
Theo CNIL, mặc dù người dùng được thông báo là họ có quyền chọn cách thiết lập những quảng cáo được cá nhân hóa, tuy nhiên Google lại đặt ra những cách khiến người dùng rất khó tìm ra những lựa chọn thiết lập này.
Bên cạnh đó Google cũng sử dụng sẵn những ô đánh dấu sẵn, mặc định đồng ý với người dùng, trong khi đáng lý họ phải nêu câu hỏi rõ ràng để người dùng quyết định có nên chấp nhận chia sẻ dữ liệu với công ty hay không.
