Google multada em €403m, ordem oculta

A Comissão de Proteção de Dados da Irlanda aplicou à Google uma multa de 403 milhões de euros, em 21 de setembro, pelo modo como três funcionalidades de localização tratavam dados pessoais no Espaço Económico Europeu (Irish DPC, Euronews). A multa é o dado mais visível. A Comissão não publicou a decisão fundamentada, o cálculo da sanção, as falhas jurídicas concretas nem a ordem de conformidade. Quase oito anos depois de os grupos de consumidores terem apresentado queixa, o público continua sem poder avaliar se a penalização e as medidas impostas correspondem às infrações.

O que a Comissão anunciou — e o que não publicou

A investigação analisou práticas ocorridas entre maio de 2018 e fevereiro de 2020 em três funcionalidades da Google: Web & App Activity, Location History e Android's Location Accuracy. A ligação entre elas é decisiva: um utilizador que desligasse a Location History podia continuar a ter informação relacionada com a sua localização guardada através da Web & App Activity. O Conselho Norueguês do Consumidor documentou essa lacuna num relatório de 2018. A questão regulatória consistia em saber se os utilizadores conseguiam compreender o efeito combinado de controlos separados sobre os locais onde iam, o momento e a frequência dessas deslocações.

As conclusões variaram consoante a funcionalidade. A Web & App Activity e a Location History deram origem a infrações relativas à licitude, à equidade e à transparência. O anúncio da Comissão enumera essas conclusões legais, mas não revela qual a base jurídica invocada pela Google nem por que razão esta foi considerada insuficiente (Irish DPC). Quanto à Location Accuracy, a conclusão anunciada foi a de que a Google não demonstrou estar em conformidade, o que constitui uma violação do princípio da responsabilidade. A decisão, ainda não publicada, poderá esclarecer o que a Comissão concluiu sobre o tratamento dos dados em si. Apenas as duas primeiras funcionalidades foram consideradas responsáveis por conservar dados durante tempo excessivo.

Grande parte da cobertura reduziu o caso à ideia de que a «Google seguia os utilizadores para lhes mostrar publicidade». As conclusões vão além da publicidade. Continua por saber como foram distribuídos os 403 milhões de euros pelas diferentes infrações e que peso teve cada funcionalidade no montante final. A Comissão diz que publicará a decisão integral «no devido tempo» (Irish DPC).

Oito anos entre a queixa e a multa

Organizações de consumidores de oito países apresentaram queixas coordenadas em novembro de 2018, através da BEUC, a organização europeia que agrega as associações de defesa do consumidor (BEUC, Forbrukerrådet). A Comissão irlandesa abriu a sua própria investigação em fevereiro de 2020 e anunciou o resultado em setembro de 2026. A organização neerlandesa Consumentenbond saudou o desfecho, mas sublinhou que os consumidores esperaram quase oito anos (Consumentenbond). A BEUC argumentou que uma intervenção regulatória que chega depois de os produtos terem sido alterados perde grande parte do seu efeito preventivo (BEUC).

O mecanismo de balcão único do RGPD, através do qual um regulador nacional conduz os processos relativos a empresas com atividade transfronteiriça, concentrou em Dublin o controlo deste caso, uma vez que aí se encontra o estabelecimento europeu relevante da Google (RGPD, EUR-Lex). Os outros reguladores podiam apresentar comentários ou objeções, mas a investigação foi conduzida pela Comissão irlandesa. Esta agradeceu a «cooperação e assistência» das autoridades homólogas, sem as identificar nem revelar se alguma se opôs às conclusões. Não surgiu qualquer decisão correspondente no registo do Comité Europeu para a Proteção de Dados sobre decisões vinculativas de resolução de litígios.

A defesa da Google e a ordem que falta

A Google argumenta que a decisão analisa práticas históricas que a empresa já reformulou. Em 2019, introduziu controlos de eliminação automática; em 2020, definiu predefinições de proteção para novos utilizadores; mais tarde, transferiu os dados da Timeline do Maps para o armazenamento no dispositivo (BleepingComputer). Essas alterações poderão limitar o que a empresa ainda terá de modificar. Não tornam lícito, retroativamente, o tratamento de dados realizado entre 2018 e 2020, e as descrições feitas pela própria Google não constituem prova independente de conformidade.

A ordem de conformidade, com um prazo de seis meses, poderá ser mais importante do que a multa. A Comissão, porém, ainda não publicou o que a Google terá de alterar: se deverá apagar dados históricos, de que modo será verificado o cumprimento ou a partir de quando começará a contar o prazo. A multa terá de ser confirmada por um tribunal irlandês antes de ser paga, e a Google pode recorrer (EUobserver).

O mecanismo de balcão único deu alcance europeu à decisão: uma única determinação regula o tratamento de dados de localização da Google em todo o Espaço Económico Europeu. Não impediu, contudo, uma espera de quase oito anos. Enquanto a Comissão não publicar a fundamentação e a ordem de conformidade, a decisão estabelece que houve infrações, mas não permite a quem está de fora avaliar se a sanção e as medidas impostas lhes correspondem. A ordem não publicada mostrará se a Google terá de apagar dados, redesenhar os seus controlos ou apenas documentar reformas já realizadas.