O Google foi multado em 403 milhões de euros, cerca de US$ 463 milhões, pela Comissão de Proteção de Dados da Irlanda (DPC) por violar o GDPR na forma como três de seus recursos trataram dados de localização de usuários entre maio de 2018 e fevereiro de 2020.
A DPC, principal reguladora do Google na União Europeia, também determinou que a empresa adeque seu processamento às exigências da lei no prazo de seis meses. O órgão, porém, não informou publicamente quais operações de processamento estão abrangidas pela ordem e afirmou que sua decisão completa será publicada posteriormente.
A investigação foi aberta em fevereiro de 2020, após reclamações de grupos europeus de defesa do consumidor, incluindo o BEUC, a Organização Europeia do Consumidor. As entidades associadas ao BEUC haviam apresentado as queixas às autoridades nacionais de proteção de dados em novembro de 2018. O inquérito analisou o período de 25 de maio de 2018 a 4 de fevereiro de 2020, quando a investigação foi anunciada.
Os três recursos sob análise são Web & App Activity, Location History e Location Accuracy.
Web & App Activity é uma configuração da conta Google que, quando ativada, permite à empresa processar dados sobre a atividade do usuário em seus sites e aplicativos. Esses dados podem incluir histórico de navegação, pesquisas e localização.
Location History é um serviço opcional que registra os deslocamentos de dispositivos móveis conectados à conta, mesmo quando a pessoa não está usando ativamente um serviço do Google. As informações podem ser exibidas em uma linha do tempo privada no Google Maps e permitir inferências sobre lugares visitados, rotas e atividades.
Location Accuracy é um recurso do Android que determina a localização de um dispositivo com mais precisão do que o GPS sozinho e está disponível para usuários do Android com ou sem conta Google.
Nos casos de Web & App Activity e Location History, a DPC concluiu que o Google descumpriu as regras do GDPR sobre processamento lícito e justo, além das exigências de transparência, e que reteve dados de localização por mais tempo do que o necessário. Já no caso de Location Accuracy, as conclusões da autoridade foram mais restritas: segundo a DPC, o Google violou as regras de transparência e de prestação de contas do GDPR porque não conseguiu demonstrar que esse processamento era lícito, justo e transparente.
A autoridade irlandesa também afirmou que o Google descumpriu obrigações de transparência em relação aos três recursos. O vice-comissário Graham Doyle disse que essas falhas poderiam fazer com que as pessoas nem soubessem que sua localização estava sendo usada, por exemplo, para influenciá-las com anúncios ou inferir seus interesses, o que poderia levar à perda de controle sobre dados pessoais. Ele acrescentou que a retenção prolongada dos dados agravou esse problema.
Por essas violações, a DPC impôs multas administrativas que somam 403 milhões de euros, valor que é a quarta maior sanção já aplicada pelo órgão, e determinou que o Google adeque seu processamento no prazo de seis meses. A multa, no entanto, ainda não pode ser cobrada, porque só se torna exigível após confirmação de um tribunal irlandês. O Google pode recorrer à Alta Corte em até 28 dias após receber a notificação formal da decisão.
A DPC ainda não divulgou sua decisão completa, mas prometeu publicá-la futuramente.
Em nota citada pela Associated Press, o Google afirmou que o caso “se concentra em políticas históricas que desde então foram atualizadas” e disse ter alterado significativamente suas práticas desde 2019. A empresa também afirmou ter implementado ferramentas para facilitar o gerenciamento dos dados de localização.
Em maio de 2019, durante o período analisado pela DPC, o Google anunciou controles de exclusão automática para o Location History e o Web & App Activity, permitindo apagar os dados automaticamente após 3 ou 18 meses. Em junho de 2020, a empresa tornou a exclusão automática de 18 meses o padrão para o Web & App Activity em novas contas e para quem ativasse o Location History pela primeira vez.
Em dezembro de 2023, o Google anunciou que o Timeline, recurso do Google Maps que exibe o Location History em um mapa, passaria a manter os dados nos próprios dispositivos dos usuários. A exclusão automática também passou a ser configurada por padrão para três meses para quem ativasse o Location History pela primeira vez. O Google ainda afirma que não salva a localização precisa do dispositivo no Web & App Activity, apenas uma área geral estimada.
Em comentários reproduzidos pelo NewsIreland.EU, o diretor-geral do BEUC, Agustín Reyna, elogiou a decisão, mas criticou a demora. “Uma aplicação tardia da lei pode ser tão prejudicial quanto nenhuma aplicação”, disse ele.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...