Multa de 403 millones de euros de la DPC a Google: solución de seis meses para los datos de ubicación

Los ajustes de ubicación parecen textos comerciales de producto hasta que llega un aviso de aplicación de la ley. La Comisión de Protección de Datos de Irlanda ha convertido tres controles conocidos de Google en un problema de 403 millones de euros bajo el RGPD, según Reuters: Actividad en la Web y en Aplicaciones, Historial de Ubicaciones y Precisión de la Ubicación. Para quienes crean productos, la lección no es que las funciones de ubicación sean imposibles. Es que la base jurídica, la explicación, la conservación y los registros de auditoría tienen que resistir el contacto con un regulador que lee las pantallas de ajustes de forma literal. La investigación de la DPC comenzó en 2020 tras quejas de organizaciones europeas de derechos de los consumidores, informó Reuters. Las prácticas revisadas cubrían un periodo más limitado de lo que podría sugerir el tamaño de la multa, del 25 de mayo de 2018 al 4 de febrero de 2020, según la BBC. Eso es útil para los equipos de producto: los flujos antiguos, los valores predeterminados antiguos y las decisiones antiguas sobre conservación de datos aún pueden convertirse en trabajo actual de aplicación normativa.

Lo que realmente encontró la DPC

Reuters Connect informó de que la DPC examinó el tratamiento que hacía Google de la información de ubicación a través de Actividad en la Web y en Aplicaciones, Historial de Ubicaciones y Precisión de la Ubicación. El regulador encontró fallos en el tratamiento lícito y leal, la transparencia y la responsabilidad proactiva. Reuters citó al comisionado adjunto de la DPC, Graham Doyle, diciendo: “Como resultado de los fallos de Google, las personas podrían no haber sabido que su ubicación se estaba usando, por ejemplo, para influir en ellas con anuncios o para inferir sus intereses, y podrían perder el control sobre sus datos personales.” Añadió: “La conservación de los datos de ubicación de los usuarios durante más tiempo del necesario agravó esta pérdida de control.” El relato de la BBC explica por qué el regulador trató esta categoría con seriedad: los datos de ubicación pueden ser cualquier dato utilizado para inferir la ubicación de una persona, y la DPC dijo que pueden revelar información inherentemente privada. The Record informó de que se ordenó a Google corregir sus prácticas de tratamiento de datos en un plazo de seis meses. El calendario práctico es lo bastante corto como para importar en los calendarios de ingeniería, y lo bastante largo como para que los reguladores esperen algo más que una página de ayuda reescrita.

La obligación, sin mitos

La información de Reuters no dice que el RGPD prohíba la personalización, la publicidad o las funciones de ubicación. Dice que la DPC concluyó que el tratamiento de datos de ubicación por parte de Google incumplía expectativas básicas del RGPD sobre licitud, lealtad, transparencia y conservación. Esa distinción importa. Un producto puede pedir la ubicación y aun así fallar si el usuario no puede entender qué se recopila, cómo se usa, durante cuánto tiempo se conserva y cómo esas elecciones afectan a los anuncios o a las inferencias de intereses. Reuters Connect informó de que los usuarios quizá no entendieran que su información de ubicación se estaba usando de esas maneras. En obligaciones claras, eso significa que las pantallas de consentimiento, los ajustes de cuenta y los avisos de privacidad no pueden tratarse como artefactos separados escritos por equipos separados. Si Actividad en la Web y en Aplicaciones, Historial de Ubicaciones y Precisión de la Ubicación interactúan, la explicación tiene que resistir esa interacción. Si la conservación dura más de lo necesario, la respuesta no es otro párrafo de prosa de política; es un calendario de eliminación cuya existencia alguien pueda demostrar.

El trabajo de reparación de seis meses

The Record informó de que la DPC dio a Google seis meses para ajustar sus prácticas de tratamiento a la normativa. Free Press Journal informó de que Google dijo que sus prácticas se han actualizado desde entonces con controles de usuario mejorados, que es el tipo de frase que normalmente hace que los abogados de privacidad busquen capturas de pantalla, historiales de versiones y mapas de datos. Los controles mejorados pueden ayudar, pero las conclusiones del regulador apuntan a una lista de verificación más amplia: base jurídica, comprensión del usuario, uso posterior en anuncios, inferencia, conservación y pruebas de responsabilidad. Para quienes crean productos, la auditoría útil empieza con el inventario de funciones, no con la política de privacidad. Qué superficies recopilan o infieren ubicación. Qué ajustes activan la recopilación. Qué equipos consumen la señal para personalización o segmentación publicitaria. Qué regla de conservación se aplica después de que un usuario desactiva una función. Si esas respuestas viven en tres hojas de cálculo y en la memoria de un ingeniero que se marcha, enhorabuena: has descubierto el proyecto de cumplimiento.

Por qué la decisión de Irlanda viaja

Reuters describió a la DPC de Irlanda como el principal regulador de privacidad de datos de la UE para muchas grandes empresas de internet porque sus operaciones en la UE tienen sede en Irlanda. Politico informó de que la sanción de 403 millones de euros es la cuarta multa más grande del regulador irlandés y su primera gran sanción contra Google. Eso hace que el caso sea relevante mucho más allá del menú de ajustes de una sola empresa. La DPC no está redactando textos de producto, pero sus conclusiones son un comentario muy directo sobre la arquitectura de producto. Lo siguiente que hay que observar no es si desaparecen todas las funciones de ubicación. No lo harán. Observa, en cambio, cómo las empresas documentan el puente entre los controles del usuario y el tratamiento real, especialmente cuando las señales de ubicación alimentan anuncios, recomendaciones o perfiles de intereses. Si construyes con datos de comportamiento, asume que el regulador hará primero las preguntas aburridas: qué entendió el usuario, qué conservaste, por qué lo conservaste y quién puede demostrar la respuesta.