Índice de contenidos
Claves de la noticia
- La autoridad irlandesa de protección de datos impone a Google multas por un total de 403 millones de euros y le da seis meses para corregir el tratamiento.
- El expediente abarca Web & App Activity, Location History y Location Accuracy durante el período comprendido entre mayo de 2018 y febrero de 2020.
- La decisión distingue fallos de licitud, lealtad, transparencia, responsabilidad y retención; no se limita a un único ajuste de Google Maps.
La Data Protection Commission (DPC) de Irlanda ha impuesto a Google multas administrativas por 403 millones de euros tras concluir una investigación de seis años sobre el tratamiento de datos de ubicación. La decisión afecta a usuarios del Espacio Económico Europeo y obliga a la compañía a adecuar sus operaciones al Reglamento General de Protección de Datos (RGPD) en seis meses.
Tres funciones y cuatro obligaciones distintas
El comunicado del regulador permite reconstruir con precisión el alcance, aunque la decisión íntegra todavía no se ha publicado. La investigación examinó el tratamiento realizado entre el 25 de mayo de 2018, cuando empezó a aplicarse el RGPD, y el 4 de febrero de 2020. No se ocupó de toda la actividad de Google, sino de tres funciones concretas que pueden producir o utilizar información geográfica.
| Función | Qué hace | Incumplimientos señalados |
|---|---|---|
| Web & App Activity | Guarda actividad en servicios, búsquedas y datos asociados, incluida la ubicación. | Licitud y lealtad, transparencia y retención. |
| Location History | Construye un historial de visitas, actividades y trayectos para Timeline. | Licitud y lealtad, transparencia y retención. |
| Location Accuracy | Mejora la posición de Android más allá de la señal GPS. | Responsabilidad demostrada y transparencia. |
La diferencia entre filas es importante. Location History requiere activación y está ligada a una cuenta; Location Accuracy, según la DPC, está disponible para usuarios de Android tengan o no una cuenta de Google. El expediente rebasa por tanto la idea sencilla de que todo depende de haber activado voluntariamente Timeline: también cuestiona cómo la empresa documentó y explicó el tratamiento en una función del sistema operativo.
Ese desglose ofrece una conclusión útil para cualquier servicio digital: un selector visible no resuelve por sí solo todas las obligaciones. La licitud responde a si existe una base válida; la transparencia, a si la persona entiende el uso; la responsabilidad, a si la empresa puede demostrar cumplimiento; y la limitación de conservación, a cuánto tiempo mantiene los datos. Son controles relacionados, pero no intercambiables.
Una queja de 2018 que termina ocho años después
El origen público se remonta al 27 de noviembre de 2018. Siete organizaciones europeas de consumidores coordinadas por BEUC presentaron reclamaciones a sus autoridades nacionales a partir de una investigación del Consejo Noruego de Consumidores. Sostenían que la configuración empujaba a mantener activados Location History y Web & App Activity sin una elección suficientemente informada.
La DPC abrió su investigación de oficio en febrero de 2020 como autoridad supervisora principal de Google en la UE. Desde entonces, la regulación digital ha pasado de discutir ajustes aislados a exigir sistemas completos de gobernanza. Esa misma evolución se observa en medidas recientes como el EU KIDS Act y sus controles para menores o el requerimiento de China a 30 aplicaciones por fallos de privacidad, aunque cada expediente responda a normas y jurisdicciones distintas.
La demora tiene una consecuencia práctica: el producto actual no es idéntico al examinado. Google anunció en mayo de 2019 el borrado automático de Web & App Activity y Location History a los tres o 18 meses. En junio de 2020 convirtió los 18 meses en opción predeterminada para cuentas nuevas y para quienes activaran por primera vez el historial. Más tarde redujo a tres meses la opción predeterminada de Timeline y trasladó el almacenamiento al dispositivo.
La cronología evita dos errores opuestos. La sanción no permite afirmar que todos los ajustes actuales funcionen como en 2018; pero los cambios posteriores tampoco borran las obligaciones del período investigado. Además, la orden de adecuación en seis meses muestra que la DPC no considera cerrado el asunto únicamente con controles de borrado añadidos durante estos años.
Qué cambia para los usuarios europeos
La decisión tiene alcance directo en España porque el mecanismo de ventanilla única del RGPD permite que el regulador del establecimiento principal lidere asuntos transfronterizos. La DPC no sanciona una práctica limitada a Irlanda: supervisa el tratamiento de Google Ireland para el EEE y coordinó el caso con otras autoridades europeas.
Sin la resolución completa no puede saberse todavía qué modificaciones exactas exigirá el regulador en cada pantalla, plazo de conservación o flujo de consentimiento. El comunicado sí fija la obligación de lograr conformidad en seis meses. Para un usuario, la acción prudente sigue siendo revisar por separado Actividad web y de aplicaciones, Timeline e informes de ubicación del dispositivo; desactivar una función no implica necesariamente haber borrado los datos que otra ya guardó.
Google declaró a Associated Press que el caso se centra en políticas históricas que ya han sido actualizadas y que desde 2019 ha creado herramientas más robustas para gestionar la ubicación. Esa defensa encaja con la cronología de sus propios anuncios, pero no contradice el núcleo formal de la decisión: la DPC evaluó un intervalo cerrado y encontró incumplimientos en varias obligaciones. La compañía puede recurrir, aunque el comunicado del regulador no detalla aún el estado de una eventual impugnación.
La sanción no es solo una cifra
Los 403 millones convierten esta resolución en la cuarta mayor multa impuesta por la DPC desde la entrada en vigor del RGPD, según AP. Sin embargo, la parte más duradera es la separación de responsabilidades que deja el expediente. Dos servicios ligados a la cuenta acumulan reproches por licitud, transparencia y retención; la función de precisión de Android añade un problema de responsabilidad demostrada y alcanza a personas sin cuenta.
Esa matriz impide reducir el caso a un mensaje de “Google guardó ubicaciones demasiado tiempo”. El regulador cuestiona por qué podía tratarlas, cómo lo explicaba, durante cuánto las conservaba y qué pruebas tenía de su cumplimiento. Para empresas que diseñan productos basados en contexto, la lección concreta es que ofrecer utilidad con la localización exige documentar esas cuatro capas desde el inicio, no añadir un botón de borrado cuando el servicio ya está desplegado.
