O Google recebeu uma multa de € 403 milhões, aproximadamente R$ 2,38 bilhões, após uma investigação concluir que a empresa descumpriu regras europeias de proteção de dados relacionadas ao uso de informações de localização. A penalidade foi aplicada pela Comissão de Proteção de Dados da Irlanda (DPC), principal autoridade responsável pela supervisão do Google dentro da União Europeia, e envolve práticas adotadas entre 2018 e 2020.
Quais dados de localização foram analisados?
A investigação concentrou-se em três ferramentas associadas aos serviços do Google: Web & App Activity, Location History e Location Accuracy.
O primeiro recurso está ligado à atividade realizada pelo usuário nos serviços do Google e pode envolver informações como pesquisas, navegação e localização. O segundo registra deslocamentos realizados por dispositivos compatíveis quando o usuário ativa o recurso. Já o Location Accuracy é uma função do Android que utiliza diferentes fontes para determinar a posição do aparelho com maior precisão.
A DPC concluiu que houve problemas diferentes no tratamento dessas informações. Nos recursos Web & App Activity e Location History, a autoridade identificou violações relacionadas à legalidade e à equidade do processamento dos dados. No Location Accuracy, o problema apontado envolveu a capacidade do Google de demonstrar que cumpria os princípios de legalidade, equidade e transparência.
Além disso, a autoridade identificou falhas de transparência nos três recursos e considerou inadequada a retenção das informações de localização em Web & App Activity e Location History.
Por que a geolocalização exige tantos cuidados?
Uma informação de localização pode parecer pouco relevante quando analisada isoladamente. O problema muda quando ela é armazenada continuamente e combinada com outros dados.
Uma sequência de deslocamentos pode revelar padrões da rotina de uma pessoa, como locais frequentados com regularidade, horários e trajetos. Dependendo das informações reunidas, também pode permitir inferências sobre aspectos privados da vida do usuário.
A própria DPC destacou que informações de localização podem revelar dados significativos sobre uma pessoa e, em determinadas circunstâncias, permitir inferências sobre aspectos inerentemente privados. A autoridade também afirmou que usuários poderiam não saber que sua localização estava sendo utilizada, por exemplo, para influenciá-los por meio de anúncios ou para inferir seus interesses.
O problema não era apenas coletar a localização
A decisão não estabeleceu simplesmente que o Google estava proibido de utilizar qualquer informação de localização. A questão analisada foi a maneira como esses dados eram tratados e explicados aos usuários.
Pelas regras do GDPR, empresas precisam ter uma base legal para processar dados pessoais e devem informar adequadamente as pessoas sobre o que está sendo feito com essas informações.
No caso investigado, a DPC entendeu que o Google não cumpriu adequadamente essas obrigações em relação aos três recursos analisados. A autoridade também considerou que manter determinados dados de localização por mais tempo do que o necessário agravava a perda de controle dos usuários sobre suas próprias informações.
Esse ponto é importante porque a privacidade não depende somente de existir ou não um botão para ativar determinada função. Também envolve saber quais dados serão processados, para qual finalidade, durante quanto tempo e quais mecanismos estão disponíveis para controlá-los.
Investigação começou após reclamações de consumidores
A investigação foi aberta oficialmente em fevereiro de 2020, depois que a autoridade recebeu reclamações de organizações europeias de defesa dos consumidores sobre o tratamento de dados de localização pelo Google.
O procedimento analisou especificamente o período entre 25 de maio de 2018, quando o GDPR começou a ser aplicado, e 4 de fevereiro de 2020. As reclamações estavam relacionadas tanto à base legal utilizada para processar os dados quanto à transparência oferecida aos usuários sobre esse tratamento.
O caso, portanto, não surgiu de uma denúncia isolada feita recentemente. Ele é resultado de um processo iniciado há mais de seis anos e que chegou à decisão final somente agora.
Google diz que mudou suas práticas
O Google afirmou que a investigação trata de políticas antigas e que a empresa modificou significativamente suas práticas de gerenciamento de localização desde 2019.
Entre as mudanças mencionadas pela companhia estão ferramentas para permitir a exclusão automática de dados, o armazenamento da Timeline diretamente no aparelho e mecanismos para que o usuário controle melhor a utilização das informações de localização para publicidade.
A empresa também afirmou que passou a armazenar uma área geral estimada em determinadas pesquisas, em vez da localização precisa do dispositivo.
Essas mudanças, porém, não eliminaram a decisão da autoridade irlandesa. A DPC determinou que o processamento abrangido pela decisão seja colocado em conformidade com o GDPR no prazo de seis meses.
Multa está entre as maiores aplicadas pela Irlanda
Os € 403 milhões fazem desta a quarta maior multa aplicada pela DPC desde a entrada em vigor do GDPR. A autoridade irlandesa já aplicou penalidades superiores contra outras grandes empresas de tecnologia, incluindo Meta e TikTok.
O valor também mostra a dimensão econômica das regras europeias de proteção de dados. A legislação permite que autoridades imponham penalidades expressivas quando empresas descumprem obrigações relacionadas ao tratamento de informações pessoais.
O que muda para os usuários?
A decisão não significa que o Google deixará de utilizar dados de localização. O principal efeito imediato é a obrigação de adequar determinados processos às exigências estabelecidas pela autoridade europeia.
Para quem utiliza Android e serviços do Google, o caso chama atenção para uma questão mais ampla: as configurações de localização não determinam apenas se o aparelho consegue informar onde o usuário está. Elas também podem definir quais informações são armazenadas, associadas à conta e utilizadas por diferentes serviços.
Por isso, revisar as configurações de privacidade pode ajudar o usuário a entender quais recursos de localização estão ativados e quais dados permanecem armazenados. Também é importante diferenciar desativar uma função de apagar informações que já foram armazenadas. São procedimentos diferentes e dependem do serviço utilizado.
