Multa de €403 milhões da DPC ao Google: correção de seis meses para dados de localização

As configurações de localização parecem texto de produto até chegar uma notificação de fiscalização. A Comissão de Proteção de Dados da Irlanda transformou três controles conhecidos do Google em um problema de €403 milhões relacionado ao GDPR, segundo a Reuters: Atividade na Web e de apps, Histórico de localização e Precisão da localização. Para quem constrói produtos, a lição não é que recursos de localização sejam impossíveis. É que a base legal, a explicação, a retenção e as trilhas de auditoria precisam resistir ao contato com um regulador que lê telas de configurações ao pé da letra. A investigação da DPC começou em 2020 após reclamações de organizações europeias de defesa dos consumidores, informou a Reuters. As práticas analisadas cobriam uma janela mais estreita do que o tamanho da multa poderia sugerir, de 25 de maio de 2018 a 4 de fevereiro de 2020, segundo a BBC. Isso é útil para equipes de produto: fluxos antigos, padrões antigos e escolhas antigas de retenção de dados ainda podem se tornar trabalho de fiscalização atual.

O que a DPC realmente encontrou

A Reuters Connect informou que a DPC examinou o processamento, pelo Google, de informações de localização por meio da Atividade na Web e de apps, do Histórico de localização e da Precisão da localização. O regulador encontrou falhas no processamento lícito e justo, na transparência e na responsabilização. A Reuters citou o vice-comissário da DPC, Graham Doyle, dizendo: “Como resultado das falhas do Google, as pessoas podem não ter sabido que sua localização estava sendo usada, por exemplo, para influenciá-las com anúncios ou para inferir seus interesses, e poderiam perder o controle sobre seus dados pessoais.” Ele acrescentou: “A retenção dos dados de localização dos usuários por mais tempo do que o necessário agravou essa perda de controle.”

O relato da BBC explica por que o regulador tratou a categoria com seriedade: dados de localização podem ser quaisquer dados usados para inferir a localização de uma pessoa, e a DPC disse que eles podem revelar informações inerentemente privadas. The Record informou que o Google recebeu ordem para corrigir suas práticas de processamento de dados em seis meses. O cronograma prático é curto o bastante para afetar calendários de engenharia, e longo o bastante para que reguladores esperem mais do que uma página de ajuda reescrita.

A obrigação, sem os mitos

A reportagem da Reuters não diz que o GDPR proíbe personalização, publicidade ou recursos de localização. Ela diz que a DPC concluiu que o processamento de dados de localização pelo Google falhou em expectativas centrais do GDPR sobre legalidade, justiça, transparência e retenção. Essa distinção importa. Um produto pode pedir localização e ainda assim falhar se o usuário não consegue entender o que é coletado, como é usado, por quanto tempo é mantido e como essas escolhas afetam anúncios ou inferências de interesses. A Reuters Connect informou que os usuários talvez não tenham entendido que suas informações de localização estavam sendo usadas dessas maneiras.

Em termos simples de obrigação, isso significa que telas de consentimento, configurações de conta e avisos de privacidade não podem ser tratados como artefatos separados, escritos por equipes separadas. Se Atividade na Web e de apps, Histórico de localização e Precisão da localização interagem, a explicação precisa resistir a essa interação. Se a retenção é mais longa do que o necessário, a resposta não é mais um parágrafo de texto de política, e sim um cronograma de exclusão cuja existência alguém consiga comprovar.

O conserto de seis meses

The Record informou que a DPC deu ao Google seis meses para alinhar suas práticas de processamento. O Free Press Journal informou que o Google disse que suas práticas foram atualizadas desde então com controles de usuário melhorados, que é o tipo de frase que normalmente faz advogados de privacidade procurarem capturas de tela, históricos de versões e mapas de dados. Controles melhorados podem ajudar, mas as conclusões do regulador apontam para uma lista de verificação mais ampla: base legal, compreensão do usuário, uso posterior em anúncios, inferência, retenção e evidências de responsabilização.

Para quem constrói produtos, a auditoria útil começa pelo inventário de recursos, não pela política de privacidade. Quais superfícies coletam ou inferem localização. Quais configurações ativam a coleta. Quais equipes consomem o sinal para personalização ou segmentação de anúncios. Qual regra de retenção se aplica depois que um usuário desativa um recurso. Se essas respostas vivem em três planilhas e na memória de um engenheiro que está saindo da empresa, parabéns: você descobriu o projeto de conformidade.

Por que a decisão da Irlanda viaja

A Reuters descreveu a DPC da Irlanda como o principal regulador de privacidade de dados da UE para muitas grandes empresas de internet porque suas operações na UE estão sediadas na Irlanda. A Politico informou que a penalidade de €403 milhões é a quarta maior multa do regulador irlandês e sua primeira grande penalidade contra o Google. Isso torna o caso relevante muito além do menu de configurações de uma única empresa. A DPC não está escrevendo texto de produto, mas suas conclusões são um comentário muito direto sobre arquitetura de produto.

A próxima coisa a observar não é se todos os recursos de localização desaparecem. Eles não vão desaparecer. Observe, em vez disso, como as empresas documentam a ponte entre controles do usuário e processamento real, especialmente quando sinais de localização alimentam anúncios, recomendações ou perfis de interesse. Se você constrói com dados comportamentais, parta do princípio de que o regulador fará primeiro as perguntas sem graça: o que o usuário entendeu, o que você manteve, por que manteve e quem consegue provar a resposta.