Autoridade de proteção de dados da Irlanda concluiu que a empresa violou regras europeias de privacidade ao processar informações de localização de usuários entre 2018 e 2020.
O Google foi multado em 403 milhões de euros, valor equivalente a aproximadamente R$ 2,38 bilhões, pela Comissão de Proteção de Dados da Irlanda (DPC), após uma investigação sobre a forma como a empresa tratava dados de localização de usuários.
A decisão foi anunciada na segunda-feira (21) e envolve práticas adotadas entre 25 de maio de 2018 e 4 de fevereiro de 2020, período analisado pelo órgão regulador. Segundo a autoridade irlandesa, o Google infringiu regras previstas no Regulamento Geral de Proteção de Dados da União Europeia (GDPR).
Além da multa, a empresa recebeu uma determinação para adequar o tratamento de dados de localização às exigências do GDPR no prazo de seis meses.
Investigação analisou três recursos do Google
A investigação concentrou-se em três funcionalidades utilizadas pelos serviços da empresa: atividade na web e em aplicativos, histórico de localização e precisão de localização.
A função Atividade na Web e em aplicativos permite ao Google processar informações relacionadas à utilização de seus serviços, incluindo dados de navegação, pesquisas e, em determinadas circunstâncias, informações de localização.
Já o Histórico de localização registra informações relacionadas aos deslocamentos realizados por usuários em dispositivos compatíveis. O recurso pode utilizar esses dados para identificar locais visitados, atividades e trajetos realizados.
A terceira funcionalidade analisada foi a precisão de localização, recurso do sistema Android utilizado para determinar a localização de um aparelho com maior precisão a partir de diferentes fontes de informação.
Segundo a DPC, foram identificadas irregularidades relacionadas à legalidade, transparência e equidade do processamento desses dados.
Órgão apontou falta de transparência
A autoridade irlandesa afirmou que os usuários poderiam não compreender adequadamente como suas informações de localização estavam sendo processadas e utilizadas.
Um dos principais problemas apontados foi a possibilidade de os dados serem utilizados para inferir interesses dos usuários ou influenciá-los por meio de publicidade.
A localização é considerada um tipo de dado pessoal porque pode permitir determinar onde uma pessoa está ou esteve, especialmente quando combinada com outras informações.
Para o regulador, a forma como o Google tratava essas informações poderia reduzir o controle dos usuários sobre seus próprios dados.
A DPC também apontou problemas relacionados à retenção das informações por períodos superiores ao necessário. De acordo com a autoridade, manter os dados por mais tempo agravava a perda de controle dos usuários sobre suas informações pessoais.
Caso começou após reclamações de entidades de defesa do consumidor
A investigação foi aberta pela DPC em fevereiro de 2020, depois que organizações europeias de defesa dos consumidores apresentaram reclamações relacionadas ao tratamento de dados de localização pelo Google.
Entre as entidades envolvidas estava a BEUC, organização que reúne grupos de defesa dos consumidores de diferentes países europeus.
A apuração foi conduzida pela autoridade irlandesa porque a Irlanda funciona como principal autoridade supervisora de proteção de dados para diversas grandes empresas de tecnologia dos Estados Unidos que possuem operações europeias no país.
O processo analisou especificamente as práticas adotadas desde a entrada em vigor do GDPR, em maio de 2018, até fevereiro de 2020.
O que é o GDPR
O Regulamento Geral de Proteção de Dados, conhecido pela sigla GDPR, é o conjunto de regras da União Europeia destinado a proteger informações pessoais de indivíduos.
A legislação estabelece princípios para a coleta, utilização, armazenamento e compartilhamento de dados pessoais. Entre eles estão requisitos relacionados à legalidade, transparência e finalidade do tratamento.
As empresas também precisam demonstrar que cumprem as obrigações estabelecidas pelo regulamento.
As regras europeias podem resultar em multas expressivas quando autoridades identificam violações, especialmente em casos envolvendo grandes volumes de dados pessoais.
Google afirma que práticas foram modificadas
O Google afirmou que o processo envolve políticas antigas e que a empresa modificou significativamente suas práticas relacionadas ao gerenciamento de dados de localização desde 2019.
Segundo a empresa, foram implementadas ferramentas para dar aos usuários maior controle sobre suas informações.
Entre as mudanças mencionadas estão mecanismos de exclusão automática de dados, opções relacionadas ao armazenamento do histórico de localização diretamente no dispositivo e controles adicionais sobre a utilização dessas informações para publicidade.
A empresa também informou que passou a utilizar uma área geral estimada em determinadas pesquisas, em vez de necessariamente utilizar a localização precisa do dispositivo.
Essas mudanças, entretanto, não alteram a conclusão da investigação referente ao período analisado pela autoridade irlandesa.
Decisão não significa que as práticas atuais sejam as mesmas
Um ponto importante do caso é a diferença entre o período investigado e as práticas atuais.
A decisão da DPC trata de procedimentos adotados entre 2018 e 2020. O Google afirma que posteriormente modificou seus mecanismos de controle e gerenciamento de localização.
Portanto, a multa está relacionada às práticas avaliadas naquele período e não representa, por si só, uma conclusão de que todas as atuais ferramentas de localização da empresa funcionem da mesma maneira.
A própria autoridade determinou, contudo, que o Google faça adequações para garantir que o processamento de dados esteja em conformidade com o GDPR.
Dados de localização podem revelar informações sensíveis
A preocupação das autoridades europeias com esse tipo de informação está relacionada à quantidade de dados que pode ser extraída dos deslocamentos de uma pessoa.
Uma sequência de localizações pode revelar padrões de rotina, locais frequentados, horários de deslocamento e relações entre diferentes pontos.
Dependendo do contexto, esse tipo de informação também pode permitir inferências sobre aspectos privados da vida de um indivíduo.
Por isso, o tratamento de dados de localização exige cuidados específicos, especialmente quando as informações são utilizadas em conjunto com histórico de pesquisas, navegação, aplicativos e outros dados associados a uma conta.
Google ainda é alvo de outras investigações
A multa de 403 milhões de euros não encerra todas as questões regulatórias envolvendo o Google na Irlanda.
A DPC informou que existem outras três investigações formais de grande porte envolvendo a empresa, todas em estágio avançado.
Os processos são independentes da investigação sobre dados de localização e poderão resultar em novas decisões, dependendo das conclusões das autoridades.
A multa de €403 milhões também está entre as maiores já aplicadas pela autoridade irlandesa desde o início da aplicação do GDPR. Segundo a DPC, é a quarta maior sanção aplicada pelo órgão desde 2018.
Decisão reforça debate sobre privacidade digital
O caso amplia o debate sobre a quantidade de informações que grandes plataformas digitais conseguem reunir sobre seus usuários.
Serviços de localização são utilizados para diversas funções legítimas, como mapas, navegação, previsão do tempo, localização de estabelecimentos e recursos de segurança.
Ao mesmo tempo, o histórico de deslocamentos pode constituir um conjunto detalhado de informações pessoais.
A decisão da autoridade irlandesa reforça que empresas que processam esse tipo de dado precisam deixar claro quais informações são coletadas, para qual finalidade são utilizadas, por quanto tempo são armazenadas e quais mecanismos estão disponíveis para que o usuário exerça controle sobre elas.
A determinação da DPC estabelece um prazo de seis meses para que o Google adeque seus procedimentos às exigências apontadas pelo regulador.
