A Comissão de Proteção de Dados da Irlanda multou a Google em 403 milhões de euros por violações do RGPD relacionadas com a forma como tratou dados de localização de utilizadores. A decisão foi anunciada a 21 de setembro e abrange práticas associadas às funções Atividade na Web e de apps, Histórico de localizações e Precisão da localização.
O processo analisou o período entre 25 de maio de 2018 e 4 de fevereiro de 2020. Isto é importante porque a decisão não significa que todas as definições atuais da Google funcionem hoje exatamente da mesma forma. A própria empresa afirma ter alterado significativamente os controlos de localização desde então. Ainda assim, a autoridade irlandesa ordenou que o tratamento de dados fique totalmente em conformidade com o RGPD no prazo de seis meses.
O que a autoridade encontrou
A investigação começou em 2020, depois de queixas apresentadas por organizações europeias de defesa dos consumidores. Segundo a autoridade, existiram problemas de legalidade, equidade e transparência no tratamento de informação recolhida através de várias funções de localização.
A decisão também aponta falhas na retenção dos dados. A Comissão de Proteção de Dados considera que a Google conservou informação de localização durante mais tempo do que o necessário em algumas das funcionalidades analisadas.
Este tipo de informação pode ser particularmente sensível. Uma sequência de localizações pode revelar onde uma pessoa vive, trabalha ou passa tempo e pode ainda permitir inferir interesses e hábitos. A autoridade refere que as falhas identificadas podiam deixar utilizadores sem perceber plenamente que a sua localização estava a ser usada, incluindo para influenciar publicidade ou inferir interesses.
A Google contesta a relevância atual de parte das conclusões. Em declarações citadas pela Associated Press, a empresa afirmou que o processo diz respeito a políticas antigas e destacou alterações introduzidas nos últimos anos, incluindo controlos mais claros, eliminação automática de dados e menor utilização de localização precisa em alguns contextos.
O que pode mudar para utilizadores na União Europeia
A decisão tem consequência direta na União Europeia porque a Google Ireland é responsável por grande parte dos serviços da empresa prestados a utilizadores europeus. A ordem não obriga, contudo, a uma alteração específica visível na aplicação Android ou na Conta Google já hoje.
Nos próximos seis meses, a empresa terá de garantir que o tratamento abrangido pela decisão cumpre os requisitos europeus. Isso pode traduzir-se em ajustes nos controlos, na informação apresentada ao utilizador, nos períodos de conservação ou na forma como determinadas escolhas são obtidas e registadas. A decisão publicada não permite afirmar antecipadamente quais dessas mudanças serão visíveis em Portugal.
Para quem utiliza serviços Google, a notícia não exige apagar imediatamente o Histórico de localizações nem desativar todas as funções associadas. A questão central é o controlo: o utilizador deve conseguir perceber que informação é recolhida, para que finalidade e durante quanto tempo.
As definições atuais podem ser consultadas na Conta Google, onde existem controlos para a Atividade na Web e de apps, histórico associado à localização e eliminação automática. Como estas opções evoluíram desde o período investigado, é preferível verificar o estado atual da própria conta em vez de seguir instruções antigas encontradas online.
Uma decisão sobre práticas antigas com efeitos atuais
A multa de 403 milhões de euros resulta de práticas de 2018 a 2020, mas a obrigação de conformidade é atual. A diferença é relevante: a autoridade não está a anunciar uma nova funcionalidade para os utilizadores, está a exigir que a Google demonstre que o tratamento de localização respeita as regras europeias.
Para utilizadores em Portugal, o desenvolvimento a acompanhar será a forma como a Google responde durante os próximos seis meses. Qualquer alteração concreta nos controlos ou na retenção de localização deverá ser avaliada quando a empresa a implementar e explicar.
Fontes: Data Protection Commission · Reuters · Associated Press