La Comisión de Protección de Datos (DPC) ha tomado una decisión significativa tras una investigación que involucra a Google Irlanda Limitada. Esta investigación, iniciada de oficio en febrero de 2020, surgió a partir de quejas presentadas por varias organizaciones de derechos de los consumidores europeos respecto al manejo de datos de ubicación por parte de Google en relación a ciertos servicios y productos.
El ámbito de la indagación abarcó tres características específicas donde se procesa la información de ubicación: «Actividad en la web y app», «Historial de ubicación» y «Precisión de ubicación», cubriendo el periodo desde la aplicación del Reglamento General de Protección de Datos (GDPR) el 25 de mayo de 2018 hasta el 4 de febrero de 2020.
Infracciones identificadas y sanciones impuestas
La decisión tomada por los Comisionados de Protección de Datos, Dr. Des Hogan, Sr. Dale Sunderland y Sra. Niamh Sweeney, concluye que Google infringió el GDPR en varios aspectos. En particular, se subrayaron las siguientes violaciones:
- La legalidad y adecuación en el procesamiento de datos de ubicación en las funciones de «Actividad en la web y app» y «Historial de ubicación».
- El incumplimiento de las obligaciones de rendición de cuentas bajo el GDPR al no poder demostrar cumplimiento con los principios de legalidad, equidad y transparencia en el procesamiento de datos personales en «Precisión de ubicación».
- La falta de transparencia en el tratamiento de datos en relación con las tres características mencionadas.
- La retención indebida de datos de ubicación en «Actividad en la web y app» y «Historial de ubicación».
Como consecuencia de estas infracciones, la DPC ha impuesto a Google multas administrativas por un total de 403 millones de euros y ha ordenado a la empresa que ajuste su procesamiento de datos para cumplir con la normativa dentro de un plazo de seis meses.
Implicaciones del manejo de datos de ubicación
El Subcomisionado Graham Doyle destacó la importancia de los datos de ubicación, señalando que son un tipo de información personal que puede brindarle a los usuarios beneficios significativos, pero también puede conllevar riesgos de privacidad. La manipulación inadecuada de estos datos puede llevar a que los individuos pierdan el control sobre su información personal e, incluso, ser influenciados por publicidad sin su conocimiento.
La GDPR establece un riguroso nivel de protección de datos personales dentro del Espacio Económico Europeo, exigiendo que su procesamiento se realice de manera legal, justa y transparente. Las deficiencias en el manejo de datos por parte de Google podrían haber llevado a muchos usuarios a desconocer que su ubicación se estaba utilizando para fines publicitarios o de segmentación de intereses, lo que agrava la pérdida de control sobre su información personal.
La DPC agradeció la cooperación y asistencia de otras autoridades de supervisión en este caso y anunció que se publicará la decisión completa en un futuro próximo.
Características de los servicios de Google involucrados
Las funciones objeto de la investigación ofrecen a los usuarios distintas formas de gestionar y visualizar sus datos de ubicación. «Actividad en la web y app» es una configuración disponible solo para los titulares de cuentas de Google y permite el procesamiento de información relacionada con la actividad de los usuarios en los servicios de Google. Esto incluye datos personales como el historial de navegación y la actividad en aplicaciones.
«Historial de ubicación» es un servicio que rastrea la ubicación de los usuarios a través de dispositivos móviles compatibles. Los usuarios deben optar por participar en este servicio, el cual registra datos que permiten inferir información sobre lugares visitados y actividades realizadas. Esta función presenta un «Cronograma» que muestra un mapa privado de los viajes del usuario, guardando esta información incluso si el servicio de Google no está en uso.
Por último, «Precisión de ubicación» es una característica del sistema operativo Android que mejora la determinación de la ubicación más allá de los simples datos del GPS, disponible incluso para aquellos que no son titulares de una cuenta de Google.