Google sancionada amb 403 milions d'euros per dades de geolocalització
- La Comissió de Protecció de Dades d'Irlanda ha imposat una multa de 403 milions d'euros a Google Ireland Limited.
- La sanció deriva de vulneracions del RGPD en tres funcions: Web & App Activity, Location History i Location Accuracy.
- Google ha fallit en obligacions de transparència, legalitat i conservació de dades entre maig de 2018 i febrer de 2020.
- La companyia té un termini de sis mesos per adequar els seus processos de tractament de dades a la normativa europea.
El marc regulatori de la privacitat a Europa ha assolat un nou punt d'inflexió amb la recent decisió de la Comissió de Protecció de Dades (DPC) d'Irlanda. En un moviment que subratlla la severitat amb la qual es poden aplicar les sancions del Reglament General de Protecció de Dades (RGPD), Google Ireland Limited ha estat multada amb 403 milions d'euros. Aquesta xifra no representa només un cost financer per al gegant tecnològic, sinó que actua com un senyal clar per a tot l'ecosistema digital sobre la gestió de la geolocalització.
L'origen d'una investigació per denúncies de consumidors
El camí cap a aquesta sanció va començar el febrer de 2020. La DPC, actuant com a autoritat supervisora principal per a Google a la Unió Europea, va obrir una investigació d'ofici després de rebre diverses queixes d'organitzacions europees de defensa dels consumidors, entre les quals destaca la BEUC. El focus del conflicte no era l'ús de la tecnologia en si, sinó la manera com Google gestionava la informació de moviment dels seus usuaris.
L'anàlisi es va centrar en un període específic: des de l'entrada en vigor del RGPD, el 25 de maig de 2018, fins al 4 de febrer de 2020. Durant aquest temps, la companyia va processar dades de geolocalització a través de tres funcions clau que, segons l'autoritat irlandesa, no compleien amb els estàndards de legalitat i transparència exigits per la normativa comunitària. Aquest cas demostra com la pressió de les associacions de consumidors pot activar mecanismes de control que acaben en sancions milionàries.
Les tres funcions sota el focus de la DPC
La investigació s'ha centrat en tres eines específiques de l'ecosistema de Google que permeten rastrejar la posició de l'usuari. La DPC ha determinat que el tractament de dades en aquests serveis va ser deficient:
Web & App Activity i Location History han estat trobades responsables de vulnerar els principis de legalitat i equitat. Aquestes funcions, que registren on ha estat l'usuari i quines activitats ha realitzat, no havien estat implementades d'una manera que garantís el respecte total als drets dels subjectes interessats. A més, s'ha detectat una gestió inadequada en la conservació d'aquestes dades, mantenint informació més temps del estrictament necessari o justificat.
Per la seva part, la funció de Location Accuracy ha presentat un problema diferent però igualment greu: la falta de responsabilitat (accountability). La DPC ha conclòs que Google no ha estat capaç de demostrar que el tractament de dades en aquesta funció respectés els principis de legalitat, equitat i transparència. Aquest punt és crucial, ja que el RGPD no només exigeixeix complir la llei, sinó que obliga les empreses a ser capaces de provar-ho mitjançant documentació i processos auditables.
La fragilitat de la transparència en la geolocalització
Un dels punts més recurrents en la sentència és la vulneració de les obligacions de transparència. L'autoritat irlandesa ha assenyalat que, en les tres funcions esmentades, Google no va proporcionar una informació clara i accessible als usuaris sobre com es processaven les seves dades. Això infringeix directament els articles 12 i 13 del RGPD, que obliguen a comunicar de manera concisa i transparent la finalitat del tractament de dades personals.
Graham Doyle, comissari adjunt de la DPC, ha destacat que les dades de geolocalització són especialment sensibles. Segons la seva visió, aquest tipus d'informació pot revelar aspectes inherentment privats de la vida d'una persona. Tot i que el rastreig pot millorar la utilitat dels serveis en línia, el risc de danys per a l'individu és elevat si no hi ha un control rigorós. Per aquest motiu, la EDPB ha validat la necessitat de protegir aquests fluxos de dades amb el màxim rigor.
Sancions financeres i l'ordre de compliment
La decisió final, presa pels comissaris de Protecció de Dades Dr. Des Hogan, Mr. Dale Sunderland i Ms. Niamh Sweeney, no es limita a la multa administrativa de 403 milions d'euros. Google ha rebut una ordre de compliment que l'obliga a adequar tots els seus processos de tractament de dades de geolocalització en un termini màxim de sis mesos.
Aquesta combinació de multa i ordre de correcció busca evitar que la sanció sigui vista simplement com un cost d'operació. L'objectiu és forçar un canvi estructural en la manera com la companyia interactua amb la privacitat de l'usuari europeu. La DPC ha deixat clar que la responsabilitat de la companyia és absoluta quan es tracta de dades que poden inferir la ubicació exacta d'un individu.
Un precedent per a la indústria tecnològica
El cas de Google no és un fet aïllat, però la magnitud de la multa i la especificitat de les funcions analitzades estableixen un precedent per a altres proveïdors de serveis basats en la ubicació. La clau d'aquesta sentència recau en la interpretació dels articles 5 i 6 del RGPD, que defineixen els principis del tractament i la legalitat del mateix.
La geolocalització pot aportar beneficis, però també pot revelar una quantitat significativa d'informació sobre un individu, incloent-hi dades inherentement privades.
L'empresa haurà de revisar no només els seus avisos de privacitat, sinó la arquitectura mateixa de com s'obté i es guarda la informació. La falta de transparència i la incapacitat de demostrar el compliment normatiu han estat els factors determinants per a l'imposició d'una de les sancions més elevades de la història de l'autoritat irlandesa, tal com ha reportat Ara.
Impacte per a les empreses a Catalunya i Espanya
Per a l'ecosistema empresarial català i espanyol, aquesta notícia té implicacions directes, especialment per a les startups de Barcelona i les empreses tecnològiques que integren serveis de geolocalització o IA. En un moment on el mercat espanyol està discutint plans per a la IA amb un enfocament en el control humà, la sanció a Google recorda que la tecnologia no pot anar per davant de la llei de privacitat.
L'ecosistema d'empresa català, molt orientat a la innovació digital i el desenvolupament de solucions basades en dades, ha de prendre nota de la importància de l'accountability. No basta amb implementar una política de privacitat; cal tenir la capacitat tècnica i documental de provar que cada dada recollida té una base legal sòlida. Amb l'arribada de l'AI Act, la pressió sobre la transparència dels algorismes i el tractament de dades personals augmentarà.
Les empreses locals que utilitzen APIs de geolocalització o desenvolupen aplicacions de mobilitat a Barcelona i altres ciutats espanyoles han de revisar si els seus processos de consentiment són realment transparents. La lecció d'aquest cas és que la complexitat tècnica no justifica la manca de claredat per a l'usuari. En el mercat espanyol, on la protecció de dades és rigorosa, l'adopció de principals de privacy by design és l'única via per evitar riscos financers i reputacionals simils als de Google.
Preguntes freqüents
Per què ha estat multada Google exactament?
Per vulnerar el RGPD en el tractament de dades de geolocalització a través de tres funcions: Web & App Activity, Location History i Location Accuracy, fallint en transparència, legalitat i conservació de dades.
Quin és el montant de la multa i quin termini té Google per corregir-ho?
La multa és de 403 milions d'euros i la companyia té un termini de sis mesos per adequar els seus processos a la normativa.
Quines organitzacions han impulsat aquesta investigació?
La investigació va ser iniciada per la DPC d'Irlanda després de rebre denúncies d'organitzacions de defensa dels consumidors, inclosa la BEUC.
Què significa l'obligació de responsabilitat (accountability) en aquest cas?
Significa que Google no només ha d'establir que compleix la llei, sinó que ha de ser capaç de demostrar-ho amb proves i documentació, cosa que no va saber fer en la funció Location Accuracy.
Fonts: Edpb, Dataprotection, Europrivacy ·
glacom · IA per a despatxos d’advocats: els expedients no surten del despatx →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
