La DPC irlandesa multa a Google con 403 millones por el uso de datos de ubicación
El regulador de protección de datos de Irlanda sanciona a Google por cómo tres funciones gestionaron la ubicación de los usuarios entre 2018 y 2020, y le da seis meses para ajustarse a la ley.
La Comisión de Protección de Datos de Irlanda (DPC), el regulador principal de Google en la Unión Europea, ha multado a la compañía con 403 millones de euros por incumplir el RGPD en el tratamiento de datos de ubicación. La sanción se refiere a tres funciones y a un periodo que va de mayo de 2018 a febrero de 2020, y llega con una orden: Google tiene seis meses para poner ese procesamiento en regla.
La multa todavía no se puede cobrar. En Irlanda una sanción de la DPC solo es exigible cuando un tribunal la confirma, y Google puede recurrir ante el High Court en los 28 días siguientes a recibir la notificación formal. Es la cuarta multa más alta que ha impuesto el regulador.
Tres funciones bajo la lupa
El expediente se centra en Web & App Activity, Location History y Location Accuracy. La primera es el ajuste de cuenta que permite a Google procesar la actividad del usuario en sus sitios y aplicaciones, y esa actividad puede incluir ubicación. Location History requiere consentimiento explícito y guarda por dónde se mueve el usuario con sus dispositivos con sesión iniciada, incluso cuando no está usando un servicio de Google.
En esos dos casos la DPC concluye que Google vulneró las reglas de licitud y equidad del tratamiento y las de transparencia, y que conservó los datos de ubicación más tiempo del necesario. Location Accuracy, función de Android que calcula la posición con más precisión que el GPS y que está disponible con o sin cuenta de Google, recibe un reproche más estrecho: fallos de transparencia y de responsabilidad, porque la compañía no pudo demostrar que ese tratamiento fuera lícito, justo y transparente.
El comisario adjunto Graham Doyle señaló que estos fallos podían dejar a la gente sin saber que su ubicación se estaba usando, por ejemplo, para influir en ella con anuncios o para inferir sus intereses, y que conservar esos datos tanto tiempo agravaba la pérdida de control. La DPC no ha detallado públicamente a qué tratamiento concreto afecta la orden de adecuación y dice que publicará la decisión completa más adelante.
Cambios ya aplicados y una queja por la lentitud
Google ha respondido que el caso gira en torno a políticas históricas que ya ha actualizado y que sus prácticas han cambiado de forma notable desde 2019. Los hitos que la propia compañía cita caen dentro del periodo investigado: en mayo de 2019 anunció controles de borrado automático para Location History y Web & App Activity, con plazos de 3 o 18 meses; en junio de 2020 fijó los 18 meses como valor por defecto para Web & App Activity en cuentas nuevas y para quien activara Location History por primera vez; y en diciembre de 2023 anunció que Timeline, la vista de Location History en Maps, guardaría los datos en el dispositivo, con borrado automático a los 3 meses por defecto. La DPC no ha dicho si esos cambios bastan para cumplir su orden.
La investigación arrancó en febrero de 2020, después de que grupos de consumidores europeos, entre ellos BEUC, presentaran quejas ante las autoridades nacionales en noviembre de 2018. La decisión llega más de seis años y medio después. El director general de BEUC, Agustín Reyna, celebró la multa pero criticó el retraso: "Una aplicación tardía puede ser tan dañina como no aplicar nada en absoluto", dijo.
Los próximos movimientos están claros: hasta que el High Court confirme la multa no hay nada que pagar, pero el plazo de seis meses para adecuar el tratamiento de datos de ubicación sigue corriendo, y Google puede intentar tumbarlo antes en los tribunales.
