La Comisión Irlandesa de Protección de Datos (DPC) sanciona a Google Ireland Limited con 403 millones de euros por diversas infracciones del Reglamento General de Protección de Datos (RGPD) relacionadas con el tratamiento de los datos de ubicación de sus usuarios.
El asunto tiene su origen en varias reclamaciones presentadas por organizaciones europeas de defensa de los consumidores, entre ellas BEUC, sobre el tratamiento que Google realizaba de los datos de localización vinculados a determinados servicios y productos. A raíz de estas reclamaciones, la DPC, en su condición de autoridad de control principal de Google, inició de oficio una investigación en febrero de 2020.
La investigación se centró en el tratamiento realizado entre el 25 de mayo de 2018 y el 4 de febrero de 2020 a través de tres funciones:
(i) Actividad web y de aplicaciones: que podía recopilar, entre otros datos, el historial de navegación, búsquedas y ubicación de sus usuarios.
(ii) Historial de ubicaciones: que registraba los lugares visitados, actividades y desplazamientos del usuario.
(iii) Precisión de la ubicación: una función de Android destinada a determinar la posición del dispositivo con mayor precisión que mediante el GPS.
Tras la investigación, la DPC concluyó que Google había infringido el RGPD en relación con los articulos 5, 6, 12 y 13 del Reglamento.
En primer lugar, en relación con la Actividad web y de aplicaciones e Historial de ubicaciones, consideró que el tratamiento de los datos de localización incumplía las exigencias de Licitud y Lealtad. Respecto de Precisión de la ubicación, apreció un incumplimiento de las obligaciones de rendición de cuentas, al no haber podido Google demostrar que el tratamiento respetaba los principios de legalidad, equidad y transparencia.
Además, la DPC constató incumplimientos de las obligaciones de transparencia en las tres funcionalidades analizadas. Según explica la propia autoridad, estas deficiencias podían hacer que algunos usuarios desconocieran que sus datos de ubicación estaban siendo utilizados, por ejemplo, para influir en la publicidad que recibían o inferir sus intereses, con la consiguiente pérdida de control sobre su información personal. En el caso de Actividad web y de aplicaciones e Historial de ubicaciones, esta situación se veía agravada por la conservación de los datos durante más tiempo del necesario.
Por todo ello, la DPC sancionó a Google con 403 millones de euros y le concedió un plazo de seis meses para adecuar sus prácticas de tratamiento de datos de ubicación al RGPD.