La investigación se ha centrado en tres funciones de las cuentas de Google: Web & App Activity, Location History y Location Accuracy. El regulador ha detectado problemas relacionados con la licitud y transparencia del tratamiento de la información, así como con el periodo durante el cual Google conservó determinados datos de localización.
El procedimiento comenzó en febrero de 2020 tras las denuncias presentadas por varias organizaciones europeas de consumidores, entre ellas BEUC. Estas reclamaciones partieron en 2018 de las dudas sobre las prácticas utilizadas por Google para obtener el consentimiento de los usuarios para compartir su ubicación.
La DPC concluye ahora que Google no contó con un consentimiento válido para determinados tratamientos asociados a las tres funciones analizadas. Asimismo, considera que la compañía no explicó con suficiente transparencia cómo utilizaba esos datos, una circunstancia especialmente relevante por la cantidad de información personal que puede extraerse de la localización de un dispositivo.
“Como resultado de los fallos de Google, las personas podrían no haber sido conscientes de que su ubicación se utilizaba, por ejemplo, para influir sobre ellas con anuncios o inferir sus intereses, y podrían perder el control sobre sus datos personales”, ha señalado Graham Doyle, comisionado adjunto de la DPC.
Además, el regulador cuestiona el tiempo durante el cual permanecía almacenada parte de esa información. “La conservación de los datos de ubicación de los usuarios durante más tiempo del necesario agravó esta pérdida de control”, ha añadido Doyle.
La DPC recuerda que la información de localización puede mejorar determinados servicios digitales, pero también permite conocer aspectos especialmente privados de una persona. Por ello, el RGPD exige que su tratamiento sea lícito, justo y transparente.
La sanción económica llega acompañada de una orden para que Google adapte el tratamiento de los datos de ubicación al RGPD en un plazo de seis meses. La compañía, por su parte, sostiene que sus prácticas han cambiado desde el periodo objeto de la investigación.
“Desde 2019, hemos evolucionado significativamente nuestras prácticas y lanzado herramientas sólidas que simplifican la gestión de los datos de ubicación”, ha señalado Google tras conocerse la decisión.
El caso supone además la primera resolución de la DPC contra Google por una infracción del RGPD desde que la normativa europea comenzó a aplicarse en 2018, aunque el regulador irlandés mantiene otras tres investigaciones abiertas sobre la compañía, todas ellas en una fase avanzada.
Los 403 millones de euros convierten esta sanción en la cuarta mayor impuesta por la DPC desde la entrada en vigor del RGPD. En total, la autoridad irlandesa ha dictado multas por más de 4.000 millones de euros durante este periodo.