Google multada em 403 milhões de euros por dados de localização

A Google foi multada em 403 milhões de euros pela Comissão de Proteção de Dados da Irlanda (DPC) na sequência de uma investigação ao tratamento de dados de localização dos utilizadores. A decisão, anunciada esta segunda-feira, concluiu que a empresa infringiu várias obrigações previstas no RGPD relativamente à forma como determinados dados eram recolhidos, utilizados, explicados aos utilizadores e mantidos.

A investigação começou em fevereiro de 2020, depois de várias organizações europeias de defesa dos consumidores, incluindo a BEUC, apresentarem queixas relacionadas com o tratamento de dados de localização pela Google. O processo analisou especificamente práticas associadas a três funcionalidades: Web & App Activity, Location History e Location Accuracy.

O período analisado pela autoridade irlandesa vai de 25 de maio de 2018, data de aplicação do RGPD, até 4 de fevereiro de 2020.

O que concluiu a autoridade irlandesa

Segundo a DPC, a Google não cumpriu várias exigências do RGPD relacionadas com os dados de localização.

No caso do Web & App Activity e do Location History, a autoridade concluiu que o tratamento dos dados não cumpria os princípios de licitude e equidade.

A decisão identificou ainda falhas nas obrigações de responsabilização relacionadas com a Location Accuracy, nomeadamente por a Google não ter conseguido demonstrar adequadamente o cumprimento dos princípios de licitude, equidade e transparência.

A transparência foi outra das áreas apontadas pela DPC, abrangendo as três funcionalidades analisadas. A autoridade concluiu igualmente que a Google manteve determinados dados de localização durante mais tempo do que seria necessário.

Como consequência, a DPC aplicou multas administrativas num valor total de 403 milhões de euros e ordenou à Google que coloque o tratamento dos dados em conformidade com o RGPD no prazo de seis meses.

Que dados estavam em causa?

A funcionalidade Web & App Activity está associada às contas Google e permite guardar informação relacionada com a actividade do utilizador nos serviços Google, incluindo dados de pesquisa, histórico de navegação e localização.

Já o Location History permite registar a localização dos dispositivos compatíveis e utilizar essa informação para determinar locais visitados, actividades e trajectos. A funcionalidade está associada à Timeline do Google Maps, que apresenta num mapa privado os locais por onde o utilizador passou.

A terceira funcionalidade analisada foi a Location Accuracy, uma função do Android que permite determinar a localização de um dispositivo com maior precisão do que através do GPS isoladamente. Esta funcionalidade está disponível para utilizadores Android mesmo que não tenham uma conta Google.

Porque é que os dados de localização são tão sensíveis?

A localização é particularmente relevante no contexto da privacidade porque pode revelar muito mais do que simplesmente onde está um smartphone.

A partir de padrões de localização é possível inferir locais frequentados, rotinas, deslocações e interesses. A própria DPC sublinha que estes dados podem aumentar a utilidade dos serviços digitais, mas também revelar informação que pode ser considerada privada.

Na sua declaração sobre a decisão, o vice-comissário Graham Doyle afirmou que as falhas identificadas poderiam ter feito com que alguns utilizadores não soubessem que a sua localização estava a ser utilizada, por exemplo, para influenciar publicidade ou inferir interesses. A autoridade considera ainda que a retenção dos dados durante mais tempo do que o necessário agravou a perda de controlo sobre essa informação.

Investigação começou há mais de seis anos

O processo da DPC não é recente. A autoridade irlandesa iniciou formalmente a investigação em 4 de fevereiro de 2020, no âmbito das suas competências enquanto principal autoridade de supervisão da Google na União Europeia.

Na altura, a investigação procurava determinar se a Google dispunha de uma base legal válida para processar os dados de localização e se cumpria as suas obrigações enquanto responsável pelo tratamento dos dados, particularmente no que dizia respeito à transparência.

A decisão final surge agora, mais de seis anos depois do início do processo.

É importante também sublinhar que a DPC ainda não publicou o texto integral da decisão. A autoridade indica que o documento completo será disponibilizado posteriormente.

A multa ainda não significa pagamento imediato

Apesar dos 403 milhões de euros já anunciados, existe uma particularidade importante no sistema irlandês.

As multas impostas pela DPC só se tornam exigíveis depois de serem confirmadas judicialmente. Caso a empresa recorra, a cobrança fica suspensa enquanto o processo estiver em curso.

Por isso, o anúncio da DPC representa a decisão regulatória e a aplicação da multa, mas não significa necessariamente que a Google tenha já transferido os 403 milhões de euros.

O caso volta assim a colocar os dados de localização no centro do debate sobre privacidade digital, mostrando como informações aparentemente banais sobre os locais onde um smartphone esteve podem assumir uma importância significativa no âmbito do RGPD.

Para já, a Google terá seis meses para implementar as medidas exigidas pela autoridade irlandesa, enquanto se aguarda a publicação da decisão completa e eventuais desenvolvimentos judiciais.