O Google leva multa de € 403 milhões por rastrear onde você estava. Os três botões continuam no Android.
A Comissão de Proteção de Dados da Irlanda (DPC) anunciou hoje a decisão final contra a Google Ireland Limited. A multa soma € 403 milhões — cerca de R$ 2,37 bilhões, na conversão do g1. O prazo para a empresa adequar o processamento é de seis meses. A decisão completa, diz a DPC, ainda vai ser publicada.
O recorte que importa no celular: a apuração olhou três funções, de 25 de maio de 2018 a 4 de fevereiro de 2020. Não é um caso de “IA vazou”. É conta Google, Maps e o Android medindo posição com mais do que o GPS.
Anthony Quintano / Wikimedia Commons (CC BY 2.0)
Overrated
a multa apagar sozinha o rastro no seu celular
Underrated
abrir Atividade na Web, Histórico e Precisão da localização
O que a DPC decidiu
A investigação nasceu em fevereiro de 2020, de ofício, depois de queixas de entidades europeias de defesa do consumidor — a DPC cita a BEUC. A Irlanda é a autoridade-líder da União Europeia para o Google.
Os comissários Des Hogan, Dale Sunderland e Niamh Sweeney entenderam que houve infração ao GDPR em quatro frentes:
- Licitude e equidade no processamento de localização em Atividade na Web e nos apps (Web & App Activity) e no Histórico de localização (Location History).
- Accountability na Precisão da localização (Location Accuracy): a empresa não conseguiu demonstrar cumprimento dos princípios de licitude, equidade e transparência.
- Transparência nas três funções.
- Retenção além do necessário em Atividade na Web e nos apps e no Histórico de localização.
O vice-comissário Graham Doyle, no comunicado oficial:
“Como resultado das falhas do Google nesse ponto, as pessoas podiam não saber que sua localização estava sendo usada, por exemplo, para influenciá-las com anúncios ou para inferir seus interesses, e podiam perder o controle sobre seus dados pessoais. A retenção dos dados de localização por mais tempo do que o necessário agravou essa perda de controle.”
Localização, no recorte da DPC, não é só o pino no mapa. É dado pessoal do qual se infere onde você estava — sozinho ou cruzado com outras informações. Serve para rota. Também serve para anúncio.
O Irish Examiner e o g1 registram, atribuindo à DPC, que esta é a quarta maior multa do órgão desde o GDPR e que restam outras três investigações contra o Google em estágio avançado. O texto curto publicado hoje pela comissão não detalha essas outras frentes.
Os três interruptores
A DPC descreveu o produto, não o slide.
Atividade na Web e nos apps. Só existe para quem tem Conta Google. Quando ligada, processa atividade nos serviços da empresa — sites e apps. Pode incluir histórico de navegação, buscas e dados de localização.
Histórico de localização. Serviço que registra a posição enquanto você carrega o celular compatível. A DPC diz que o usuário precisa optar por ligar. O sistema infere visitas a lugares, atividades e trajetos. Usa o recurso Timeline e mostra um mapa privado no Google Maps. O detalhe que a maioria ignora: o mapa continua sendo gravado nos aparelhos com login, mesmo quando você não está usando um serviço Google.
Precisão da localização. Recurso do Android, não da Conta Google. Melhora a posição do aparelho além do GPS puro — Wi-Fi, torre, sensores. A DPC deixa explícito: vale para usuário de Android com ou sem conta Google.
Atomic Taco / Wikimedia Commons (CC BY-SA 2.0) — esculturas Android no Googleplex
No Brasil, a demo cabe em dois lugares. Conta Google: controles de atividade, onde aparecem Atividade na Web e nos apps e o Histórico de localização / Timeline. Android: ajustes de localização do sistema, onde mora a Precisão da localização. A multa de hoje não muda o estado desses botões. Só o usuário — ou um patch futuro da adequação de seis meses — muda.
O que o Google responde
À imprensa, a empresa tratou o caso como política antiga. Porta-voz ao Irish Examiner e à RTÉ: o processo gira em torno de políticas históricas que já teriam sido atualizadas. A frase:
“From 2019 onwards, we’ve significantly evolved our practices and launched robust tools that make managing location data simple.”
O Google lista, segundo esses veículos, exclusão automática em janelas de 3, 18 ou 36 meses, o My Ad Center para gerir o uso de dados — inclusive localização — em anúncios, e a tese de que uma busca no Google não grava localização precisa. São alegações da empresa. A DPC, no recorte publicado hoje, não deu o caso por resolvido: ordenou adequação em seis meses e ainda vai soltar a decisão integral.
A exclusão automática de 2019 existe. O blog oficial anunciou o controle em 1º de maio daquele ano, primeiro com prazos de 3 ou 18 meses, para Histórico de localização e Atividade na Web e nos apps. Controle no menu não prova que o processamento de 2018–2020 era lícito, justo e transparente. É exatamente o que a DPC contestou.
A conta no Brasil
A decisão é europeia. A autoridade é irlandesa. O aparelho é o mesmo. Android certificado no Brasil traz Precisão da localização. Conta Google no Brasil traz os outros dois interruptores. O mapa privado do Timeline não pergunta se você está na Irlanda ou em São Paulo.
A LGPD é o espelho brasileiro do GDPR. Esta multa não é da ANPD. Não inventamos inquérito local que não foi anunciado. O que dá para testar hoje, no celular, é se esses três controles estão ligados — e se você sabia que o Histórico continua gravando trajeto com o Maps fechado.
Seis meses é o relógio da adequação na Europa. Até lá, o produto na sua mão é o de sempre: interruptor fácil de ligar, difícil de lembrar que existe.
Fontes
- DPC — multa de € 403 milhões ao Google por dados de localização
- g1 — Google recebe multa de US$ 462 milhões por uso de dados de localização
- Irish Examiner — Google fined €403m by Ireland's Data Protection Commission
- RTÉ — Google fined €403m by data watchdog for location tracking
- Google — auto-delete de Histórico de localização e atividade (2019)
The Zero.