Google recibe una multa de 403 millones por el tratamiento de datos de ubicación
Google tendrá que hacer frente a una multa de 403 millones de euros impuesta por el regulador irlandés de protección de datos por incumplimientos del Reglamento General de Protección de Datos (RGPD) relacionados con el tratamiento de información de ubicación de los usuarios.
La sanción ha sido impuesta por la Comisión de Protección de Datos de Irlanda (DPC), principal autoridad supervisora de Google dentro de la Unión Europea debido a que la compañía tiene su sede europea en Irlanda. La decisión fue anunciada el 21 de septiembre, después de una investigación iniciada en febrero de 2020.
El procedimiento examinó el funcionamiento de determinadas herramientas de Google entre el 25 de mayo de 2018, fecha de entrada en aplicación del RGPD, y el 4 de febrero de 2020.
Tres funciones de Google, bajo la lupa
La investigación se centró en tres funcionalidades relacionadas con la localización de los usuarios: Web & App Activity, Location History y Location Accuracy.
La DPC concluyó que Google incumplió las obligaciones del RGPD en materia de legalidad y equidad en el tratamiento de los datos de ubicación de Web & App Activity y Location History.
En el caso de Location Accuracy, el regulador determinó que Google no pudo demostrar adecuadamente que cumplía con determinadas obligaciones relacionadas con la legalidad, equidad y transparencia del tratamiento de datos personales.
El organismo también señaló deficiencias de transparencia en las tres funcionalidades y problemas relacionados con la conservación de determinados datos de ubicación durante más tiempo del necesario.
Qué información podía recopilar Google
La dimensión del caso se encuentra en el tipo de información analizada.
Web & App Activity permite a Google procesar información relacionada con la actividad de los usuarios en sus servicios, incluyendo datos como historial de navegación, búsquedas y ubicación cuando esta información forma parte del tratamiento asociado a la cuenta.
Por su parte, Location History registra información sobre los lugares visitados por un usuario cuando esta función está activada. El sistema puede utilizar esos datos para generar una representación de los desplazamientos y lugares visitados.
La tercera función analizada fue Location Accuracy, una característica de Android que permite determinar la ubicación de un dispositivo con mayor precisión utilizando diferentes fuentes de información además del GPS.
El regulador cuestiona la transparencia
Uno de los principales elementos señalados por la DPC es la falta de transparencia que detectó durante el periodo investigado.
Según el regulador, los usuarios podían no ser plenamente conscientes de cómo se utilizaba su información de ubicación o de las posibilidades que ofrecía ese tratamiento para inferir determinados datos sobre sus intereses y actividades.
La autoridad irlandesa considera especialmente relevante esta cuestión porque los datos de localización pueden permitir conocer o deducir información sobre los desplazamientos de una persona, sus lugares habituales o determinados patrones de comportamiento.
El regulador también señaló que la conservación de información de ubicación durante más tiempo del necesario podía aumentar la pérdida de control de los usuarios sobre sus datos personales.
Google asegura que sus políticas han cambiado
Google, por su parte, ha defendido que el procedimiento se refiere a políticas históricas correspondientes al periodo analizado por la investigación.
La compañía sostiene que desde 2019 ha introducido cambios importantes en la gestión de los datos de ubicación y nuevas herramientas para que los usuarios puedan controlar mejor esta información.
Entre las medidas mencionadas por Google se encuentran la posibilidad de eliminar automáticamente determinados datos, almacenar la información de Timeline directamente en el dispositivo y gestionar de forma más específica cómo se utiliza la información de ubicación para publicidad.
La compañía también señala que actualmente puede utilizar una zona general estimada en lugar de la ubicación exacta del dispositivo cuando un usuario realiza determinadas búsquedas.
Seis meses para adaptar el tratamiento al RGPD
Además de imponer los 403 millones de euros de sanción, la DPC ha ordenado a Google que adapte el tratamiento de los datos de ubicación a las exigencias del RGPD en un plazo de seis meses.
La decisión constituye una de las mayores sanciones de privacidad impuestas por el regulador irlandés. Según Reuters, se trata de la cuarta mayor multa de la DPC desde que Irlanda asumió el papel de autoridad principal para numerosas grandes compañías tecnológicas estadounidenses con operaciones europeas en el país.
El organismo irlandés mantiene además otras investigaciones sobre Google, algunas de ellas en una fase avanzada, aunque corresponden a procedimientos diferentes del analizado en esta sanción.
La localización se convierte en uno de los grandes retos de privacidad
El caso vuelve a poner el foco sobre uno de los activos más sensibles de las grandes plataformas tecnológicas: los datos que permiten conocer dónde se encuentran sus usuarios y cómo se desplazan.
La información de ubicación puede mejorar servicios como mapas, navegación o recomendaciones personalizadas, pero también puede proporcionar una visión muy detallada de los hábitos de una persona cuando se combina con otros datos.
Precisamente por esa capacidad, el RGPD establece exigencias específicas sobre la forma en que las empresas pueden recopilar, utilizar, conservar y explicar el tratamiento de los datos personales.
En el caso de Google, la investigación irlandesa ha concluido que durante el periodo analizado la compañía incumplió varias de esas obligaciones.
La sanción de 403 millones de euros se suma así al creciente escrutinio europeo sobre las grandes plataformas tecnológicas y sobre la forma en que utilizan los datos personales para desarrollar sus servicios y sistemas publicitarios.
