Google é multado em €403 milhões por dados de localização

A DPC informou ter concluído a investigação aberta em fevereiro de 2020 depois de receber reclamações de organizações de consumidores, entre elas a BEUC. Como a sede europeia do Google fica na Irlanda, a autoridade liderou o processo dentro do mecanismo de cooperação previsto pelo GDPR.

A decisão final aplica multa total de €403 milhões e uma ordem para que o Google coloque as operações identificadas em conformidade no prazo de seis meses. Segundo a Reuters, é a quarta maior multa entre mais de €4 bilhões em sanções aplicadas pela DPC desde que o GDPR entrou em vigor.

Web & App Activity registra determinadas atividades em sites e aplicativos do Google e pode incluir informações de localização. Location History, hoje associado ao recurso de linha do tempo, foi criado para guardar os lugares visitados quando ativado. Location Accuracy combina sinais como GPS, Wi-Fi, redes móveis e sensores para melhorar a estimativa de posição do aparelho.

A DPC analisou o tratamento ligado a esses três recursos entre 25 de maio de 2018 e 4 de fevereiro de 2020. Portanto, a decisão não é uma auditoria universal de todos os produtos atuais do Google nem permite concluir que todas as pessoas tiveram os mesmos dados coletados.

O regulador encontrou problemas de legalidade e equidade no tratamento associado a Web & App Activity e Location History. Também apontou falha de responsabilização em Location Accuracy, isto é, na obrigação de a empresa demonstrar que o processamento respeitava as regras.

A decisão ainda identifica falta de transparência nos três recursos e retenção inadequada em Web & App Activity e Location History. A DPC ressaltou que dados de localização podem alimentar publicidade e inferências sobre interesses, o que aumenta a necessidade de explicar finalidade, duração e controles com clareza.

A ordem exige que o Google corrija as operações específicas consideradas incompatíveis com o GDPR em até seis meses. O comunicado não detalha todas as mudanças de interface, prazos de retenção ou ajustes técnicos; essas informações poderão ficar mais claras quando a decisão integral for publicada.

A multa e a obrigação de adequação são medidas distintas: pagar a sanção não substitui a correção do tratamento. A DPC afirmou que publicará o texto completo no devido tempo. Até a reportagem da Reuters, o Google não havia apresentado resposta imediata ao pedido de comentário.

Não. A investigação cobre recursos e práticas de um intervalo encerrado em fevereiro de 2020. Configurações, nomes, armazenamento e opções de exclusão podem ter mudado desde então, e o uso concreto depende das escolhas da conta, do aparelho e do serviço.

A conclusão segura é mais limitada: o regulador encontrou infrações no tratamento analisado e determinou correções. Para conferir a situação individual, o usuário precisa revisar as configurações de atividade e localização da própria Conta Google e do aparelho, em vez de presumir que uma regra única vale para todos.

O caso mostra que um controle disponível na tela não basta se a explicação, a base legal, a retenção ou a documentação forem inadequadas. Serviços que juntam histórico, publicidade e inferências precisam demonstrar por que cada dado é necessário e por quanto tempo será mantido.

A decisão também oferece um parâmetro para outras plataformas que tratam localização em larga escala. Seu alcance exato dependerá do texto integral e de eventuais etapas jurídicas posteriores; por enquanto, o fato confirmado é a decisão final da DPC e o prazo de seis meses para conformidade.