Google: multa de €403m sin orden pública

La Comisión de Protección de Datos de Irlanda impuso a Google una multa de 403 millones de euros el 21 de septiembre por la forma en que tres funciones de localización procesaban datos personales en todo el Espacio Económico Europeo (Comisión irlandesa de Protección de Datos, Euronews). La multa ocupa los titulares, pero la Comisión no ha publicado la decisión motivada, el cálculo de la sanción, las infracciones jurídicas concretas ni la orden de cumplimiento. Casi ocho años después de las denuncias de las organizaciones de consumidores, el público sigue sin poder valorar si la multa y las medidas correctoras se corresponden con las infracciones.

Qué anunció la Comisión y qué sigue sin publicar

La investigación examinó la conducta de Google entre mayo de 2018 y febrero de 2020 en tres funciones: Actividad en la web y en aplicaciones, Historial de ubicaciones y Precisión de la ubicación de Android. La relación entre ellas resulta clave: un usuario que desactivara el Historial de ubicaciones podía seguir permitiendo que se guardara información relacionada con su ubicación mediante la Actividad en la web y en aplicaciones. El Consejo Noruego de Consumidores documentó esa laguna en un informe de 2018. La cuestión para el regulador era si los usuarios podían comprender el efecto conjunto de controles distintos sobre los lugares a los que iban, cuándo lo hacían y con qué frecuencia.

Las conclusiones variaron según la función. La Actividad en la web y en aplicaciones y el Historial de ubicaciones infringieron las exigencias de licitud, lealtad y transparencia. El anuncio de la Comisión enumera esas infracciones legales, pero no explica qué base jurídica invocó Google ni por qué se consideró insuficiente (Comisión irlandesa de Protección de Datos). En el caso de la Precisión de la ubicación, la Comisión concluyó que Google no había demostrado el cumplimiento de la normativa, lo que constituye una infracción del principio de responsabilidad proactiva. La decisión aún no publicada podría aclarar qué concluyó la Comisión sobre el propio tratamiento de los datos. Solo se consideró excesiva la conservación de datos en las dos primeras funciones.

Gran parte de la cobertura redujo estas diferencias a la idea de que «Google rastreaba a los usuarios para mostrarles publicidad». Las conclusiones van más allá de la publicidad. Sigue sin saberse cómo se repartieron los 403 millones de euros entre las distintas infracciones ni qué peso tuvo cada función. La Comisión afirma que publicará la decisión completa «a su debido tiempo» (Comisión irlandesa de Protección de Datos).

Ocho años entre la denuncia y la multa

Organizaciones de consumidores de ocho países presentaron denuncias coordinadas en noviembre de 2018 a través de BEUC, la organización europea que agrupa a las asociaciones de consumidores (BEUC, Forbrukerrådet). La Comisión irlandesa abrió su propia investigación en febrero de 2020 y anunció el resultado en septiembre de 2026. La organización neerlandesa Consumentenbond celebró la decisión, pero subrayó que los consumidores habían esperado casi ocho años (Consumentenbond). BEUC sostuvo que las medidas de control que llegan después de que los productos hayan cambiado pierden buena parte de su valor preventivo (BEUC).

El mecanismo de ventanilla única del RGPD, por el que un regulador nacional dirige los casos de empresas con actividad transfronteriza, concentró en Dublín el control de este expediente, ya que allí se encuentra el establecimiento europeo relevante de Google (RGPD, EUR-Lex). Los demás reguladores podían formular observaciones u objeciones, pero la Comisión irlandesa dirigió la investigación. El organismo agradeció a sus homólogos la «cooperación y asistencia» sin identificarlos ni revelar si alguno había presentado objeciones. Tampoco apareció una resolución relacionada en el registro del Comité Europeo de Protección de Datos sobre decisiones vinculantes para resolver conflictos.

La defensa de Google y la orden que falta

Google sostiene que la resolución examina prácticas históricas que la empresa ya ha reformado. En 2019 introdujo controles de borrado automático, en 2020 estableció configuraciones más protectoras para los nuevos usuarios y posteriormente empezó a trasladar los datos de la cronología de Maps al dispositivo (BleepingComputer). Esos rediseños pueden reducir los cambios que Google aún deba realizar, pero no legalizan a posteriori el tratamiento de datos entre 2018 y 2020, y las descripciones de la empresa sobre sus reformas no demuestran por sí solas que cumpla la normativa.

La orden de cumplimiento, con un plazo de seis meses, podría ser más importante que la multa. Sin embargo, la Comisión no ha publicado qué debe cambiar Google: si tendrá que borrar datos históricos, cómo se comprobará el cumplimiento o cuándo empezará a contar el plazo. La multa debe ser confirmada por un tribunal irlandés antes de que pueda pagarse, y Google puede recurrirla (EUobserver).

La ventanilla única dio alcance europeo a la resolución: una sola decisión regula el tratamiento de los datos de localización de Google en todo el Espacio Económico Europeo. No evitó, sin embargo, una espera de casi ocho años. Hasta que la Comisión publique sus argumentos y la orden, la resolución acredita las infracciones, pero no permite valorar desde fuera si la multa y las medidas correctoras se corresponden con ellas. La orden aún no publicada mostrará si Google debe borrar datos, rediseñar sus controles o limitarse a documentar reformas ya realizadas.