Google leva multa de 403 milhões de euros por rastrear localização

Google foi multado em 403 milhões de euros pela Comissão de Proteção de Dados da Irlanda, conhecida como DPC. A decisão saiu em 21 de setembro. O caso trata do tratamento de dados de localização de usuários europeus entre maio de 2018 e fevereiro de 2020.

Além da cobrança, o órgão impôs um prazo. A empresa tem seis meses para adequar os procedimentos à legislação europeia.

Em nota, a companhia contestou o foco da decisão. Segundo um porta voz, o caso trata de políticas históricas já atualizadas desde 2019.

Os três recursos que entraram na mira do regulador

A apuração concentrou a análise em três funções. Duas delas atuam em contas de usuários cadastrados.

No entanto, a primeira é a Atividade na Web e de apps, que registra ações em serviços e páginas. A segunda é o Histórico de localização, responsável por guardar trajetos e locais visitados.

A terceira ferramenta chama atenção pelo alcance. A Precisão de localização, do Android↳Android46 conteúdosAndroid push notifications com Quasar Framework, Firebase e integração com WordPressDev (Back & Front) · mai 2019O X do Xamarin Forms – O guia das funcionalidades nativas - Parte 02: AndroidDev (Back & Front) · abr 2019Modularização de AndroidDev (Back & Front) · ago 2019Ver tudo em Dev (Back & Front) →, combina sinais de redes e antenas para posicionar o aparelho com mais detalhe que o GPS comum. Além disso, ela funciona mesmo sem cadastro ativo.

Google falhou na informação e também na retenção

As conclusões da DPC apontam dois problemas nas duas primeiras funções. A empresa deixou de fornecer informação clara sobre a coleta e guardou registros por tempo maior que o necessário.

Já na Precisão de localização, a acusação é outra. A companhia violou o princípio da responsabilidade porque falhou em comprovar a legalidade, a transparência e a justiça do processo.

No entanto, repare nesse ponto. Provar conformidade virou obrigação documental, e não apenas discurso de política de privacidade.

Graham Doyle, vice comissário da autoridade irlandesa, explicou a gravidade. Segundo ele, dados de localização melhoram serviços online e ao mesmo tempo revelam informações inerentemente privadas sobre uma pessoa.

Doyle acrescentou um detalhe importante. Os usuários ficavam sem saber que seus deslocamentos alimentavam perfis de interesse e direcionamento de anúncios.

O caso levou mais de seis anos para sair

A origem remonta a novembro de 2018. Naquele momento, organizações de defesa do consumidor de sete países, coordenadas pela BEUC, apresentaram denúncias formais.

A base técnica veio de um estudo do Conselho de Consumidores da Noruega. Contudo, o relatório apontou opções enganosas nas telas de configuração do Android, usadas para induzir a autorização de rastreamento contínuo.

O processo começou formalmente em fevereiro de 2020. Portanto, foram mais de seis anos e meio entre a denúncia e a decisão.

Agustín Reyna, diretor geral da BEUC, comemorou o resultado e criticou a demora. Para ele, aplicação tardia da lei pode ser tão prejudicial quanto a falta de aplicação.

Google ainda pode recorrer, e o dinheiro talvez demore

O valor representa a quarta maior penalidade já aplicada pelo regulador irlandês. A DPC atua como autoridade líder porque a sede europeia da empresa fica em Dublin.

A cobrança, contudo, depende de confirmação judicial. A companhia tem 28 dias para recorrer à Alta Corte do país.

Os números de arrecadação explicam o cenário. O órgão já aplicou mais de 4 bilhões de euros em sanções e recolheu cerca de 20 milhões. As maiores multas, contra nomes como Meta e TikTok, seguem sob recurso.

O que mudou nos produtos desde a investigação

A empresa implementou ajustes ao longo dos anos. Em maio de 2019, chegou a exclusão automática após três ou 18 meses.

Depois, em junho de 2020, Sundar Pichai anunciou o descarte automático de 18 meses como padrão para novas contas.

Em dezembro de 2023, veio outra mudança relevante. A linha do tempo do Google Maps passou a guardar dados apenas no aparelho, com descarte padrão de três meses para novos usuários.

O órgão irlandês ainda vai publicar a decisão integral. Enquanto isso, ele evitou dizer publicamente se essas mudanças atendem por completo às exigências.

O que times de produto e engenharia tiram desse caso

Primeiro, trate retenção como decisão de arquitetura. Prazo de descarte precisa estar no código e no banco, com rotina automática.

Segundo, documente a base legal de cada coleta. Provar conformidade exige registro, e não apenas texto na política.

Terceiro, revise suas telas de consentimento. Padrões que empurram o usuário para a opção mais permissiva viram prova contra a empresa.

Além disso, separe dado de conta e dado de dispositivo. A função do Android mostrou que coleta sem cadastro também entra na conta.

Por fim, guarde o mínimo necessário. Dado que você evita coletar dispensa qualquer justificativa depois.

O que acompanhar nos próximos meses

Fique atento à publicação da decisão integral. Ela deve trazer detalhes úteis sobre o critério aplicado.

Acompanhe também o recurso na Alta Corte irlandesa. E observe se outras autoridades europeias adotam o mesmo entendimento sobre responsabilidade e prova de conformidade.

Acompanhe nosso perfil no Instagram!