✨︎ Resumen (TL;DR):
- La DPC de Irlanda multó a Google Ireland Limited por procesar datos de ubicación con incumplimientos del RGPD.
- La resolución revisó tres funciones y señaló fallas de legalidad, equidad, transparencia, rendición de cuentas y retención.
- Google tiene seis meses para adaptar el tratamiento; la empresa afirma que actualizó sus prácticas desde 2019.
La Data Protection Commission (DPC) de Irlanda multó a Google Ireland Limited con €403 millones por infringir el RGPD al tratar información de ubicación entre el 25 de mayo de 2018 y el 4 de febrero de 2020. La resolución cubre Web & App Activity, Location History y Location Accuracy, y ordena a la compañía adaptar ese tratamiento al reglamento en seis meses.
La investigación arrancó en febrero de 2020, después de que organizaciones europeas de consumidores, incluida BEUC, presentaran quejas. La DPC encontró problemas de legalidad, equidad, transparencia, rendición de cuentas y retención de datos.
El organismo aún no publica la decisión completa y dijo que la emitirá posteriormente.
Las tres funciones que examinó la DPC
La investigación se concentró en tres herramientas de Google que pueden registrar o procesar información sobre la ubicación de una persona:
- Web & App Activity es un ajuste de la cuenta de Google que puede incluir historial de navegación, búsquedas y ubicación. La DPC detectó problemas de legalidad y equidad en su tratamiento.
- Location History registra ubicaciones y puede construir una línea del tiempo de los lugares visitados. El regulador también cuestionó la legalidad y la equidad de este tratamiento.
- Location Accuracy es una función de Android que mejora la precisión de la ubicación más allá de las señales del GPS. Según la resolución, Google no pudo demostrar que cumpliera los principios de legalidad, equidad y transparencia.
La DPC concluyó que Google incumplió sus obligaciones de transparencia en las tres funciones. También determinó que la empresa conservó datos de ubicación durante más tiempo del necesario en Web & App Activity y Location History.
La retención prolongada redujo el control de los usuarios
El regulador señaló que los datos de ubicación pueden revelar información privada incluso cuando la ubicación exacta se infiere al combinar distintos datos.
En su evaluación, la DPC consideró que las fallas podían hacer que algunas personas no supieran que su ubicación podía utilizarse para influir en anuncios o inferir sus intereses.
Graham Doyle, subcomisionado de la DPC, añadió que conservar la información durante más tiempo del necesario agravó la pérdida de control sobre los datos personales. El organismo recordó que el RGPD exige que ese tratamiento sea legal, justo y transparente.
Google actualizó sus políticas desde 2019
Google respondió que el caso se refiere a políticas históricas que ya fueron actualizadas. Un portavoz citado por Reuters dijo que la compañía modificó sus prácticas desde 2019 y creó herramientas para facilitar la gestión de los datos de ubicación.
Entre los cambios mencionados por Google están:
- La eliminación automática de datos en intervalos establecidos.
- El almacenamiento de la línea del tiempo directamente en el dispositivo.
- Controles para decidir cómo se utiliza la información de ubicación en los anuncios.
Google también señaló que, cuando alguien hace una búsqueda, ahora puede guardar un área general estimada en vez de la ubicación precisa del dispositivo.
Estas medidas forman parte de la respuesta de la compañía, pero no sustituyen la orden del regulador. La DPC exige que el tratamiento cumpla el RGPD dentro de seis meses.
La multa es la cuarta más alta de la DPC
Reuters situó la multa como la cuarta más alta impuesta por la DPC. El regulador ha acumulado más de €4,000 millones en sanciones desde que comenzó la aplicación del RGPD en 2018.
Irlanda actúa como autoridad supervisora principal de Google en la Unión Europea porque la compañía tiene allí su sede europea.
El caso tampoco cierra la supervisión de Google en Irlanda. De acuerdo con Reuters, la DPC mantiene otras tres investigaciones estatutarias contra la empresa en una fase avanzada.
El plazo de seis meses es una obligación adicional a la multa: Google debe adaptar el tratamiento de estas funciones al RGPD mientras la DPC prepara la publicación de la decisión completa, que detallará el expediente.
