Irlanda multa a Google con 403 millones de euros por rastrear la ubicación sin base legal

La Comisión de Protección de Datos de Irlanda (DPC) ha multado a Google Ireland con 403 millones de euros por cómo recogía, explicaba y conservaba los datos de ubicación de sus usuarios. La decisión, anunciada el 21 de septiembre, cierra una investigación abierta en febrero de 2020 y afecta a tres ajustes: «Actividad en la Web y en Aplicaciones», «Historial de ubicaciones» y «Precisión de la ubicación». Google tiene seis meses para adecuar ese tratamiento al RGPD. La empresa califica el caso de «histórico» y, según RTE, piensa recurrir.

Tres interruptores, una multa

Las tres funciones trabajan de forma distinta y la DPC reprocha a cada una algo diferente. «Actividad en la Web y en Aplicaciones» es un ajuste de la cuenta que guarda lo que usted hace en los servicios de Google y, si marca una casilla adicional, también en aplicaciones y sitios de terceros que usan servicios de Google, ubicación incluida. «Historial de ubicaciones», ahora «Cronología», mantiene un mapa de por dónde han pasado sus dispositivos con sesión iniciada, aunque no haya ninguna aplicación de Google abierta. «Precisión de la ubicación» es un ajuste de Android que afina la posición del teléfono escaneando redes wifi y antenas de telefonía; funciona tenga o no cuenta de Google.

El comisario adjunto Graham Doyle resumió el daño en una frase: por estos fallos «las personas podían no saber que su ubicación se usaba, por ejemplo, para influir en ellas con anuncios o para deducir sus intereses, y podían perder el control sobre sus datos personales. Conservar la ubicación de los usuarios más tiempo del necesario agravó esa pérdida de control». Los tres comisarios que firman la decisión, Des Hogan, Dale Sunderland y Niamh Sweeney, ordenaron la adecuación en seis meses. El texto completo se publicará más adelante, así que aún no se sabe cómo se reparten los 403 millones entre las cuatro infracciones.

Ocho años de la denuncia a la decisión

El caso empezó con un informe, no con una filtración. En noviembre de 2018 el Consejo de Consumidores de Noruega publicó «Every Step You Take», un recorrido paso a paso por cómo un teléfono Android empuja al usuario nuevo hacia el rastreo de sus movimientos: la configuración inicial insistía en «Historial de ubicaciones»; «Actividad en la Web y en Aplicaciones» venía activada por defecto y escondida tras clics adicionales; que la ubicación alimentaba la publicidad estaba enterrado; a quien rechazaba se le volvía a preguntar en Maps, el Asistente y otras aplicaciones; y funciones como el Asistente o las fotos ordenadas por lugar iban atadas al rastreo. Ese mismo mes, organizaciones de consumidores de ocho países, coordinadas por BEUC, presentaron denuncias RGPD ante sus autoridades nacionales. Como la sede europea de Google está en Dublín, el expediente acabó en la DPC.

1. 27 de noviembre de 2018El Consejo de Consumidores de Noruega publica «Every Step You Take»; organizaciones de Noruega, Países Bajos, Grecia, Chequia, Eslovenia, Polonia, Suecia y Dinamarca presentan denuncias.
2. 4 de febrero de 2020Fin del periodo examinado por la DPC. Ese mismo mes el regulador abre de oficio una investigación como autoridad principal para Google.
3. Junio de 2022Diez organizaciones de consumidores presentan una segunda tanda de denuncias, esta vez sobre el alta de la cuenta: un clic activa todos los ajustes de recogida, la ruta privada exige cinco pasos y nueve clics.
4. 21 de septiembre de 2026La DPC anuncia la decisión: cuatro infracciones, 403 millones de euros, seis meses para cumplir.
5. Hasta marzo de 2027Plazo de cumplimiento. Google recurrirá por cuestiones jurídicas, según RTE.

BEUC celebró el resultado y criticó los plazos. Su director general, Agustín Reyna, dijo que la decisión «confirma la ilegalidad de la forma en que el gigante tecnológico obtuvo el consentimiento para usar los datos de ubicación de la gente», pero que «el tiempo necesario para llegar a esta conclusión es desproporcionado respecto a la gravedad de la infracción» y que «una aplicación tardía de la ley puede ser tan dañina como ninguna». La conducta sancionada terminó en febrero de 2020, y Google ha dedicado los años posteriores a reconstruir justo los ajustes en cuestión.

Su lugar en la tabla irlandesa

La DPC es la autoridad principal para la mayoría de las plataformas estadounidenses en la UE, así que sus multas hacen también de marcador europeo. Los 403 millones de Google quedan justo por debajo de los 405 millones impuestos a Instagram en 2022 por las cuentas de menores, y por encima de los 390 millones que Meta pagó en 2023 por basar su publicidad en el contrato y no en el consentimiento.

Google: «políticas históricas»

En público, Google no discute las conclusiones. «Este caso gira en torno a políticas históricas que ya se han actualizado», dijo un portavoz. «Desde 2019 hemos evolucionado mucho nuestras prácticas y lanzado herramientas sólidas que hacen sencilla la gestión de los datos de ubicación». Esas herramientas existen: el borrado automático de los datos de actividad llegó en 2019; en diciembre de 2023 Google anunció que la «Cronología» pasaría de sus servidores al teléfono, con copia de seguridad cifrada en la nube y borrado automático por defecto a los tres meses en lugar de 18; hoy la ayuda de Google indica que la ubicación aproximada y la dirección IP asociadas a «Actividad en la Web y en Aplicaciones» se eliminan a los 30 días. Desde mayo de 2026, ese mismo ajuste se está dividiendo en «Historial de servicios de búsqueda» y «Recomendaciones personalizadas».

Dos reguladores fuera de la UE llegaron antes a conclusiones parecidas y cobraron antes. En noviembre de 2022 Google pactó 391,5 millones de dólares con 40 estados de EE. UU. por el mismo diseño: entre 2014 y 2020, quien desactivaba «Historial de ubicaciones» seguía siendo rastreado a través de «Actividad en la Web y en Aplicaciones». En agosto de 2022 el Tribunal Federal de Australia le impuso 60 millones de dólares australianos, a instancias de la ACCC, porque las pantallas de Android presentaban «Historial de ubicaciones» como el único ajuste relevante cuando «Actividad en la Web y en Aplicaciones», activado por defecto, también guardaba la ubicación. La investigación irlandesa cubre los mismos meses y los mismos dos interruptores; tardó cuatro años más.

Revise su propia cuenta

Todos los ajustes de la decisión siguen ahí, algunos con otro nombre, y los valores por defecto han mejorado, no desaparecido. Apagar la «Cronología» no impide que la ubicación se guarde en otro sitio: la página de ayuda de Google avisa de que, con «Historial de servicios de búsqueda» o «Actividad en la Web y en Aplicaciones» activados, la cuenta «puede seguir guardando datos de ubicación». El orden importa, así que vaya punto por punto.

• Cuenta de Google, «Datos y privacidad», «Ajustes del historial»: abra «Actividad en la Web y en Aplicaciones» (o «Historial de servicios de búsqueda», el nombre que Google despliega desde mayo de 2026) y decida si lo mantiene. Si lo deja, ponga el borrado automático a 3 meses.
• En ese mismo ajuste, desmarque «Incluir el historial de Chrome y la actividad de sitios, aplicaciones y dispositivos que usan servicios de Google». Esa casilla es la que trae la actividad y la ubicación de otras aplicaciones.
• «Ajustes del historial», «Cronología» (o Google Maps, foto de perfil, «Cronología»): apagada, o encendida con borrado automático a 3 meses y la copia cifrada que haya elegido usted.
• En Android: «Ajustes», «Ubicación», «Servicios de ubicación», «Precisión de la ubicación de Google». Apagado significa solo GPS y sensores. «Búsqueda de redes wifi» y «Búsqueda de dispositivos Bluetooth», en el mismo menú, también alimentan el posicionamiento aunque la ubicación esté apagada.
• Mi Centro de Anuncios (myadcenter.google.com): desactive los anuncios personalizados. Ahí es donde acaban los «intereses deducidos» de la decisión de la DPC.
• myactivity.google.com: borre la actividad pasada por periodo; en Maps, borre la «Cronología» entera o por días.

La VPN pertenece a otra lista. Sustituye la dirección IP que ven los sitios, y Google, es decir, la «zona aproximada» que entra en «Actividad en la Web y en Aplicaciones» por el lado de la red. No toca el GPS, el wifi ni el posicionamiento móvil, ni una cuenta con sesión iniciada en el teléfono: con los interruptores de arriba encendidos, los servidores de Google reciben por el túnel VPN los mismos datos que sin él. En Android, además, el túnel tampoco es estanco, como mostró este mes la negativa de Google a corregir una fuga de IP fuera de la VPN. Use la VPN para lo que sabe hacer, ocultar su ubicación de red a sitios y redes, y los ajustes de la cuenta para aquello por lo que han multado a Google.

Hay una segunda razón para vigilar dónde están esos datos. El «Historial de ubicaciones» es lo que pide la policía cuando quiere saber quién estaba cerca de la escena de un delito; en junio, el Tribunal Supremo de EE. UU. resolvió en el caso Chatrie que esas peticiones requieren una orden judicial. Los datos que solo están en su teléfono y caducan a los tres meses no se pueden sacar de ningún servidor.