La DPC de Irlanda multa a Google con 403 millones de euros por el tracde ubicaciones

La Comisión de Protección de Datos de Irlanda (DPC) ha multado a Google con 403 millones de euros (463 millones de dólares) por la forma en que ha gestionado los datos de ubicación de los usuarios de Android y de las cuentas de Google, tras descubrir que el gigante tecnológico carecía de cualquier base legal para procesar la información y que sus usuarios no recibieron suficiente claridad sobre a qué estaban dando su consentimiento.

La DPC determinó que Google no procesó los datos de ubicación de manera legal, justa y transparente en tres productos: Actividad web y de aplicaciones, Historial de ubicaciones y Precisión de ubicación. Los dos primeros productos permiten tracla actividad de navegación y búsqueda, así como los lugares que el dispositivo del usuario ha visitado previamente, mientras que Precisión de ubicación es simplemente una configuración del sistema operativo Android.

El regulador irlandés también ha señalado los amplios riesgos para la privacidad que conlleva tracde ubicación. El subcomisionado Graham Doyle afirmó que los datos de ubicación pueden hacer que los servicios en línea sean más útiles, pero también pueden revelar información muy privada y sensible sobre una persona.

Según The Guardian, el comisionado afirmó que es posible que los usuarios desconocieran que su ubicación se utilizaba para mostrarles publicidad personalizada o para inferir sus posibles intereses. Añadió que conservar la información durante más tiempo del necesario reducía aún más el control de los usuarios sobre sus datos.

La investigación del regulador irlandés comenzó a partir de la fecha en que entró en vigor el Reglamento General de Protección de Datos, el 25 de mayo de 2018, y se extendió durante un período de casi dos años, hasta el 4 de febrero de 2020.

Una queja originada en Noruega

El caso comenzó con las quejas de siete organizaciones europeas de consumidores, que acusaban a Google de traca los usuarios en su vida diaria. Sus preocupaciones se basaban en una investigación de 2018 realizada por la agencia noruega de protección al consumidor, Forbrukerrådet, que argumentaba que Google utilizaba "varios trucos" para mantener activadas las funciones de Historial de ubicaciones y Actividad web y de aplicaciones.

La investigación también explicó cómo y por qué tracde ubicación puede revelar mucho más que los lugares geográficos que una persona ha visitado. Las visitas a lugares de culto pueden revelar creencias religiosas, la asistencia a manifestaciones puede indicar opiniones políticas, las visitas a hospitales pueden señalar problemas de salud, mientras que los lugares que frecuenta una persona pueden revelar su orientación sexual.

Finn Myrstad, director de política digital del Consejo Noruego del Consumidor, calificó el fallo como un hito. Según The Guardian, Myrstad afirmó que las personas deberían poder comprender a qué están dando su consentimiento sin ser engañadas ni presionadas para tomar decisiones que de otro modo no tomarían.

La Organización Europea de Consumidores, conocida como BEUC, también describió la geolocalización como una de las formas más invasivas de vigilancia del consumidor.

Seis años después de que comenzara la investigación

Si bien el director general de la BEUC, Agustín Reyna, celebró la decisión, criticó el tiempo que tardó en tomarse. Calificó la demora de «desproporcionada con la gravedad de la infracción» y advirtió que «una aplicación tardía de la ley puede ser tan perjudicial como la ausencia total de aplicación»

Para contextualizar, la DPC inició su investigación hace seis años.

Por su parte, Google ha señalado los cambios que, según afirma, ha implementado desde el período que abarca la investigación. Un portavoz indicó que el caso se refiere a políticas históricas que posteriormente se actualizaron, y agregó que la compañía modificó notablemente sus prácticas a partir de 2019 e introdujo herramientas para facilitar la gestión de los datos de ubicación.

La DPC también ha dado a Google seis meses para adaptar sus prácticas de procesamiento de datos al RGPD.

Por qué Irlanda está liderando el caso

La sede europea de Google se encuentra en Dublín, lo que convierte al organismo regulador irlandés en su principal regulador en la UE de 27 miembros. La DPC desempeña la misma función para la mayoría de las grandes empresas tecnológicas estadounidenses con sedes europeas en Irlanda.

La multa de 403 millones de euros es la cuarta más alta impuesta por la comisión reguladora irlandesa. Según The Guardian, la DPC ya había multado anteriormente a Meta con 1200 millones de euros, a TikTok con 530 millones de euros y a Instagram 405 millones de euros.

Es posible que esta última decisión no sea la medida definitiva del regulador contra Google este año, ya que otras tres investigaciones sobre la compañía se encuentran en una fase avanzada.