A DPC da Irlanda emite uma multa recorde por dados de localização

O Google foi multado em €403 milhões pela Comissão de Proteção de Dados da Irlanda (DPC) após uma investigação concluir que a empresa processou ilegalmente os dados de localização dos usuários, em violação do Regulamento Geral de Proteção de Dados (GDPR). A DPC, que atua como autoridade supervisora principal do Google na União Europeia porque a sede regional da empresa está localizada em Dublin, confirmou a penalidade após sua investigação sobre como a gigante da tecnologia coletava, armazenava e usava informações de localização vinculadas às contas dos usuários.

Graham Doyle, Vice-Comissário da DPC, comentou as conclusões, que se concentraram nas práticas de tratamento de dados do Google, e não em um único incidente isolado. Essa multa adiciona o Google à crescente lista de grandes empresas de tecnologia penalizadas sob o GDPR pela forma como gerenciam dados pessoais sensíveis, e reforça um padrão que os reguladores em toda a Europa vêm seguindo desde que o regulamento entrou em vigor: os dados de localização são tratados como uma categoria altamente sensível de informações pessoais, sujeitos a regras rigorosas sobre consentimento, transparência e processamento lícito.

Por que os dados de localização atraem o escrutínio regulatório

Os dados de localização são singularmente reveladores. Diferentemente de um histórico de navegação ou de um endereço de e-mail, um registro de todos os lugares por onde uma pessoa passou pode expor endereços residenciais, locais de trabalho, consultas médicas, práticas religiosas e rotinas diárias. Sob o GDPR, as empresas que coletam esse tipo de dado devem ter uma base legal válida para fazê-lo, devem ser transparentes sobre como ele é usado e devem dar aos usuários controle significativo sobre ele.

A decisão da DPC reflete uma crescente impaciência regulatória com a forma como as grandes plataformas historicamente trataram essa categoria de dados, muitas vezes agrupando o rastreamento de localização em configurações mais amplas de conta de maneiras que dificultam que usuários comuns entendam o que está sendo coletado ou optem por não participar. Conforme detalhado em multa da DPC da Irlanda contra o Google por uso indevido de dados de localização, a investigação examinou práticas que os reguladores determinaram não atender aos requisitos do GDPR para processamento lícito.

Este caso também se encaixa em uma tendência mais ampla de autoridades europeias de proteção de dados emitindo grandes penalidades contra grandes empresas de tecnologia, usando os poderes de fiscalização do GDPR, que permitem multas calculadas como porcentagem da receita anual global de uma empresa, para sinalizar que as obrigações de proteção de dados se aplicam independentemente do tamanho ou da posição de mercado de uma empresa. A escala dessa multa, uma das maiores penalidades do GDPR emitidas até o momento, ressalta quão seriamente os reguladores agora avaliam as práticas de rastreamento de localização, um ponto examinado mais a fundo em a lição sobre dados de localização por trás da multa de €403 milhões do Google.

O que vem a seguir para o Google

O Google agora enfrenta a penalidade financeira juntamente com a expectativa de que ajustará suas práticas de tratamento de dados para se alinhar aos requisitos do GDPR daqui em diante. As implicações mais amplas se estendem além de uma única empresa: qualquer organização que opere na UE e trate dados de localização, de aplicativos de transporte a rastreadores de fitness e redes de publicidade, provavelmente verá esta decisão como um sinal para revisar como obtêm consentimento e divulgam o rastreamento de localização aos usuários. Os detalhes específicos das práticas sob escrutínio, abrangendo o período de vários anos coberto pela investigação da DPC, são descritos mais adiante em o detalhamento das práticas de dados de localização do Google de 2018 a 2020.

O que isso significa para você

Se você usa serviços do Google, como Android, Google Maps ou aplicativos vinculados a uma conta Google, esta multa é um lembrete de que o rastreamento de localização geralmente é mais extenso e menos transparente do que a maioria dos usuários percebe. Vale a pena verificar periodicamente o histórico de localização e os controles de atividade da sua conta, já que muitos serviços habilitam o rastreamento por padrão, a menos que o usuário altere ativamente as configurações.

Também é útil entender o que as ferramentas podem e não podem fazer nesse aspecto. Uma VPN mascara seu endereço IP e criptografa seu tráfego de internet, o que pode impedir que seu provedor de serviços de internet ou observadores da rede vejam sua localização geral com base na sua conexão. No entanto, uma VPN não impede que aplicativos instalados no seu telefone acessem dados de GPS, posicionamento por Wi-Fi ou outros sinais de localização em nível de dispositivo, se você tiver concedido permissão para isso. Limitar o rastreamento de localização em nível de aplicativo exige ajustar as permissões diretamente nas configurações do seu dispositivo ou conta, e não depender apenas de uma VPN.

Principais conclusões

Esta multa destaca quão seriamente os reguladores da UE tratam os dados de localização como uma categoria sensível de informações pessoais, e oferece um incentivo prático para que os usuários reavaliem suas próprias configurações de privacidade em vez de presumir que as configurações padrão são a opção mais protetora. Considere revisar as configurações de histórico de localização da sua conta Google, verificar quais aplicativos têm permissão para acessar a localização do seu dispositivo continuamente versus apenas durante o uso, e desativar o rastreamento de localização para serviços que você não precisa. Combinar essas mudanças em nível de dispositivo com uma VPN para privacidade em nível de rede, entendendo a distinção entre o que cada ferramenta realmente protege, dá aos usuários uma visão mais completa de sua pegada digital. À medida que o escrutínio regulatório sobre as práticas de dados continua a se intensificar, manter-se informado sobre como as empresas coletam e usam dados de localização continua sendo um dos passos mais eficazes que os indivíduos podem tomar para proteger sua privacidade.