La Comisión de Protección de Datos de Irlanda (DPC, por sus siglas en inglés) ha impuesto a Google una sanción de 403 millones de euros por incumplir distintos apartados de la normativa europea de protección de datos en la gestión de la información relacionada con la ubicación de sus usuarios.
La decisión llega después de una investigación abierta en febrero de 2020 a raíz de varias reclamaciones presentadas por organizaciones europeas de consumidores, entre ellas BEUC. El procedimiento examinó el funcionamiento de tres herramientas concretas de Google: Actividad en la Web y en Aplicaciones, Historial de Ubicaciones y Precisión de la Ubicación.
El análisis se centró en el periodo comprendido entre el 25 de mayo de 2018, fecha en la que comenzó a aplicarse el Reglamento General de Protección de Datos (RGPD), y el 4 de febrero de 2020. Además de la multa, el regulador ha ordenado a la tecnológica que adapte las prácticas señaladas a la normativa europea en un plazo máximo de seis meses.
Tres funciones bajo la lupa
La investigación de la DPC se ha centrado en tres servicios que permiten a Google obtener o utilizar información geográfica de sus usuarios. El primero es Actividad en la Web y en Aplicaciones, una configuración disponible para titulares de una cuenta de Google que puede almacenar datos como el historial de navegación, las búsquedas y la ubicación.
El segundo es Historial de Ubicaciones, una herramienta que registra los desplazamientos realizados por el usuario cuando lleva consigo un dispositivo compatible. A través de la función Cronología de Google Maps, el sistema puede mostrar en un mapa privado los lugares visitados, las rutas seguidas y determinadas actividades realizadas.
La tercera función analizada es Precisión de la Ubicación, incorporada en el sistema operativo Android. Esta tecnología permite que un dispositivo determine su posición con mayor exactitud que mediante el uso exclusivo del GPS y puede estar disponible incluso para personas que no tienen una cuenta de Google. Según la autoridad irlandesa, el tratamiento de estos datos no respetó plenamente los principios de licitud, equidad, transparencia y responsabilidad establecidos por el RGPD.
Falta de transparencia y conservación de datos
El regulador ha concluido que Google infringió las exigencias de legalidad y equidad en el tratamiento de la información recopilada mediante Actividad en la Web y en Aplicaciones e Historial de Ubicaciones.
También considera que la compañía no pudo demostrar adecuadamente el cumplimiento de sus obligaciones en relación con Precisión de la Ubicación. A ello se suman deficiencias de transparencia en las tres funciones examinadas y problemas relacionados con la conservación de datos durante más tiempo del necesario.
La DPC advierte de que la información geográfica puede ofrecer ventajas relevantes, como mejorar la navegación o personalizar determinados servicios. Al mismo tiempo, puede revelar aspectos especialmente sensibles sobre una persona: dónde vive, qué lugares frecuenta, cómo se desplaza o con quién podría relacionarse.
El comisario adjunto de la DPC, Graham Doyle, ha señalado que los usuarios podían no ser plenamente conscientes de que su ubicación se utilizaba para personalizar anuncios o deducir sus intereses. Esta falta de información, sostiene, podía limitar el control efectivo de los ciudadanos sobre sus datos personales.
Irlanda endurece el control sobre las tecnológicas
La DPC desempeña un papel especialmente relevante en la aplicación del RGPD porque numerosas multinacionales tecnológicas han establecido en Irlanda su sede europea. Esta circunstancia convierte al organismo irlandés en la autoridad principal para investigar el tratamiento transfronterizo de datos realizado por algunas de las mayores plataformas digitales.
Desde la entrada en vigor del reglamento europeo, el supervisor ha impuesto más de 4.000 millones de euros en sanciones vinculadas con infracciones de privacidad. Sus investigaciones han alcanzado a compañías como Meta, TikTok y otras grandes empresas con operaciones continentales centralizadas en Irlanda.
La multa de 403 millones vuelve a situar el tratamiento de los datos de localización en el centro del debate. Más allá de su importe, la resolución recuerda a las plataformas que ofrecer ajustes de privacidad no resulta suficiente si los usuarios no comprenden de manera clara qué información se recopila, durante cuánto tiempo se conserva y para qué se utiliza.
