La Comisión de Protección de Datos (DPC) de Irlanda impuso a Google una multa de 403 millones de euros (463 millones de dólares) por su manejo de los datos de ubicación de usuarios de Android y de cuentas de Google. El regulador determinó que la compañía carecía de una base legal para procesar la información y no brindó a los usuarios claridad suficiente sobre lo que estaban aceptando.

La DPC concluyó que Google no procesó los datos de ubicación de manera lícita, justa ni transparente en tres productos: Actividad web y de aplicaciones, Historial de ubicación y Precisión de la ubicación. Los dos primeros pueden rastrear la actividad de navegación y búsqueda, así como los lugares que el dispositivo de un usuario ha visitado previamente, mientras que Precisión de la ubicación es una configuración del sistema operativo Android. La resolución se basa en uno de los requisitos fundamentales del Reglamento General de Protección de Datos (RGPD), la ley integral de privacidad de la UE: las empresas deben contar con una base legal válida, como el consentimiento, antes de procesar datos personales, y deben ser transparentes sobre lo que implica dicho procesamiento.

El regulador también destacó los amplios riesgos de privacidad asociados al rastreo de ubicación. El comisionado adjunto Graham Doyle señaló que los datos de ubicación pueden hacer que los servicios en línea sean más útiles, pero también pueden revelar información altamente privada y sensible sobre una persona. Según the Guardian, Doyle indicó que los usuarios posiblemente no sabían que su paradero se estaba usando para dirigir publicidad o inferir sus intereses. Añadió que conservar la información por más tiempo del necesario redujo aún más el control de los usuarios sobre sus datos.

La investigación se extendió desde la entrada en vigor del RGPD el 25 de mayo de 2018 hasta el 4 de febrero de 2020, un período de casi dos años.

Una queja con raíces en Noruega

El caso comenzó con quejas de siete organizaciones europeas de consumidores que acusaban a Google de rastrear a los usuarios a lo largo de su vida diaria. Sus inquietudes se basaron en una investigación de 2018 de la agencia de consumo de Noruega, el Forbrukerrådet, que sostenía que Google usó "diversos trucos" para mantener activados el Historial de ubicación y la Actividad web y de aplicaciones.

La investigación también explicó cómo y por qué el rastreo de ubicación puede exponer mucho más que los lugares geográficos que una persona ha visitado. Las visitas a lugares de culto pueden revelar creencias religiosas, la asistencia a manifestaciones puede apuntar a opiniones políticas, las visitas al hospital pueden indicar condiciones de salud, y los lugares que alguien frecuenta pueden revelar su orientación sexual.

Finn Myrstad, director de políticas digitales del Consejo de Consumo de Noruega, calificó la resolución como un hito. Según the Guardian, Myrstad dijo que las personas deberían poder entender a qué están aceptando sin ser engañadas ni presionadas a tomar decisiones que de otro modo no tomarían.

La Organización Europea de Consumidores, conocida como BEUC, también describió la geolocalización como una de las formas más invasivas de vigilancia del consumidor.

Seis años después del inicio de la investigación

El director general de BEUC, Agustín Reyna, acogió con agrado la decisión, pero criticó el tiempo que tomó reaching, describiendo la demora como "desproporcionada con la gravedad de la infracción" y advirtiendo que "la aplicación tardía puede ser tan perjudicial como la falta de aplicación". La DPC abrió su investigación hace seis años.

Por su parte, Google señaló los cambios que dice haber realizado desde el período cubierto por la investigación. Un portavoz afirmó que el caso se refiere a políticas históricas que desde entonces han sido actualizadas, y añadió que la compañía modificó notablemente sus prácticas a partir de 2019 e introdujo herramientas para facilitar la gestión de los datos de ubicación.

La DPC otorgó a Google seis meses para adecuar sus prácticas de procesamiento al RGPD. Bajo el reglamento, las empresas pueden impugnar tales decisiones ante los tribunales nacionales.

Por qué Irlanda lidera el caso

La sede europea de Google está en Dublín, lo que convierte al regulador irlandés en su autoridad principal en la UE de 27 miembros. La DPC desempeña el mismo papel para la mayoría de las grandes empresas tecnológicas de EE. UU. con sus bases europeas en Irlanda.

La multa de 403 millones de euros es la cuarta más grande emitida por la comisión reguladora irlandesa Según the Guardian, la DPC ya había multado a Meta con 1.200 millones de euros, a TikTok con 530 millones de euros y a Instagram, propiedad de Meta, con 405 millones de euros. El marco sancionador del RGPD permite a los reguladores imponer multas de hasta el 4% de la facturación anual total mundial de una empresa, o 20 millones de euros, la que sea mayor.

La última decisión podría no ser la acción final del regulador contra Google este año, con otras tres investigaciones sobre la compañía ya en fase avanzada.