Irlanda multa a Google em 403 milhões de euros por rastrear a localização sem base legal

A Comissão de Proteção de Dados da Irlanda (DPC) multou a Google Ireland em 403 milhões de euros pela forma como recolhia, explicava e guardava os dados de localização dos utilizadores. A decisão, anunciada a 21 de setembro, encerra uma investigação aberta em fevereiro de 2020 e abrange três definições: "Atividade na Web e nas aplicações", "Histórico de localizações" e "Precisão da localização". A Google tem seis meses para pôr o tratamento em conformidade com o RGPD. A empresa chama ao caso "histórico" e, segundo a RTE, vai recorrer.

Três interruptores, uma multa

As três funções trabalham de forma diferente e a DPC aponta a cada uma falhas distintas. "Atividade na Web e nas aplicações" é uma definição da conta que guarda o que faz nos serviços Google e, se uma caixa adicional estiver marcada, também em aplicações e sites de terceiros que usam serviços Google, localização incluída. O "Histórico de localizações", agora "Cronologia", mantém um mapa de por onde passaram os dispositivos com sessão iniciada, mesmo sem nenhuma aplicação Google aberta. A "Precisão da localização" é uma definição do Android que afina a posição do telemóvel ao analisar redes Wi-Fi e antenas móveis; funciona com ou sem conta Google.

O comissário adjunto Graham Doyle resumiu o dano numa frase: por causa destas falhas, "as pessoas podiam não saber que a sua localização estava a ser usada, por exemplo, para as influenciar com anúncios ou para inferir os seus interesses, e podiam perder o controlo sobre os seus dados pessoais. A conservação dos dados de localização por mais tempo do que o necessário agravou essa perda de controlo". Os três comissários que assinam a decisão, Des Hogan, Dale Sunderland e Niamh Sweeney, ordenaram a conformidade em seis meses. O texto integral será publicado mais tarde, pelo que ainda não se sabe como os 403 milhões se repartem pelas quatro infrações.

Oito anos da queixa à decisão

O caso começou com um relatório, não com uma fuga. Em novembro de 2018, o Conselho de Consumidores da Noruega publicou "Every Step You Take", uma análise passo a passo de como um telemóvel Android empurra um novo utilizador para o rastreio das suas deslocações: a configuração inicial insistia no "Histórico de localizações"; a "Atividade na Web e nas aplicações" vinha ativada por predefinição e escondida atrás de cliques adicionais; o facto de a localização alimentar a publicidade estava enterrado; quem recusava voltava a ser questionado no Maps, no Assistente e noutras aplicações; e funções como o Assistente ou as fotografias ordenadas por local vinham presas ao rastreio. No mesmo mês, associações de consumidores de oito países, coordenadas pelo BEUC, apresentaram queixas RGPD às respetivas autoridades nacionais. Como a sede europeia da Google fica em Dublin, o processo foi parar à DPC.

1. 27 de novembro de 2018O Conselho de Consumidores da Noruega publica "Every Step You Take"; associações da Noruega, Países Baixos, Grécia, Chéquia, Eslovénia, Polónia, Suécia e Dinamarca apresentam queixa.
2. 4 de fevereiro de 2020Fim do período analisado pela DPC. No mesmo mês, o regulador abre por iniciativa própria uma investigação como autoridade principal para a Google.
3. Junho de 2022Dez associações de consumidores apresentam uma segunda ronda de queixas, sobre a criação de conta: um clique liga todas as definições de recolha, o caminho mais privado exige cinco passos e nove cliques.
4. 21 de setembro de 2026A DPC anuncia a decisão: quatro infrações, 403 milhões de euros, seis meses para cumprir.
5. Até março de 2027Prazo de cumprimento. A Google deverá recorrer por questões de direito, segundo a RTE.

O BEUC saudou o resultado e criticou o calendário. O diretor-geral Agustín Reyna disse que a decisão "confirma a ilegalidade da forma como a gigante tecnológica obteve o consentimento para usar os dados de localização das pessoas", mas que "o tempo necessário para chegar a esta conclusão é desproporcionado face à gravidade da infração" e que "uma aplicação tardia da lei pode ser tão prejudicial como nenhuma". A conduta sancionada terminou em fevereiro de 2020, e a Google passou os anos seguintes a reconstruir precisamente as definições em causa.

O lugar na tabela irlandesa

A DPC é a autoridade principal para a maioria das plataformas americanas na UE, por isso as suas multas servem também de marcador europeu. Os 403 milhões da Google ficam logo abaixo dos 405 milhões aplicados ao Instagram em 2022 pelas contas de menores e acima dos 390 milhões que a Meta pagou em 2023 por basear a publicidade no contrato em vez do consentimento.

Google: "políticas históricas"

Em público, a Google não contesta as conclusões. "Este caso gira em torno de políticas históricas que entretanto foram atualizadas", disse um porta-voz. "Desde 2019, evoluímos significativamente as nossas práticas e lançámos ferramentas robustas que tornam simples a gestão dos dados de localização". As ferramentas existem de facto: a eliminação automática dos dados de atividade chegou em 2019; em dezembro de 2023 a Google anunciou que a "Cronologia" passaria dos seus servidores para o telemóvel, com cópia de segurança cifrada na nuvem e eliminação automática predefinida aos três meses em vez de 18; hoje a ajuda da Google indica que a localização aproximada e o endereço IP associados à "Atividade na Web e nas aplicações" são apagados ao fim de 30 dias. Desde maio de 2026, a própria "Atividade na Web e nas aplicações" está a ser dividida em "Histórico dos serviços de pesquisa" e "Recomendações personalizadas".

Dois reguladores fora da UE chegaram antes a conclusões semelhantes e receberam antes. Em novembro de 2022, a Google fechou um acordo de 391,5 milhões de dólares com 40 estados dos EUA pelo mesmo desenho: entre 2014 e 2020, quem desligava o "Histórico de localizações" continuava a ser rastreado através da "Atividade na Web e nas aplicações". Em agosto de 2022, o Tribunal Federal da Austrália aplicou-lhe 60 milhões de dólares australianos, por ação da ACCC, porque os ecrãs do Android apresentavam o "Histórico de localizações" como a única definição relevante, quando a "Atividade na Web e nas aplicações", ativada por predefinição, também guardava a localização. A investigação irlandesa cobre os mesmos meses e os mesmos dois interruptores; demorou mais quatro anos.

Verifique a sua própria conta

Todas as definições da decisão continuam a existir, algumas com um nome novo, e as predefinições melhoraram, não desapareceram. Desligar a "Cronologia" não impede que a localização seja guardada noutro lado: a página de ajuda da Google avisa que, com o "Histórico dos serviços de pesquisa" ou a "Atividade na Web e nas aplicações" ligados, a conta "pode continuar a guardar dados de localização". A ordem importa, por isso siga ponto por ponto.

• Conta Google, "Dados e privacidade", "Definições do histórico": abra "Atividade na Web e nas aplicações" (ou "Histórico dos serviços de pesquisa", o nome que a Google está a introduzir desde maio de 2026) e decida se a mantém. Se ficar, defina a eliminação automática para 3 meses.
• Na mesma definição, desmarque "Incluir o histórico do Chrome e a atividade de sites, aplicações e dispositivos que usam serviços Google". É essa caixa que traz a atividade e a localização das outras aplicações.
• "Definições do histórico", "Cronologia" (ou Google Maps, fotografia de perfil, "Cronologia"): desligada, ou ligada com eliminação automática aos 3 meses e a cópia de segurança cifrada que escolheu.
• No Android: "Definições", "Localização", "Serviços de localização", "Precisão da localização da Google". Desligado significa apenas GPS e sensores. A "Procura de Wi-Fi" e a "Procura de Bluetooth", no mesmo menu, também alimentam o posicionamento, mesmo com a localização desligada.
• O meu Centro de anúncios (myadcenter.google.com): desative os anúncios personalizados. É aí que vão parar os "interesses inferidos" da decisão da DPC.
• myactivity.google.com: apague a atividade passada por período; no Maps, apague a "Cronologia" inteira ou por dias.

A VPN pertence a outra lista. Substitui o endereço IP que os sites, e a Google, veem, ou seja, a "área aproximada" que entra na "Atividade na Web e nas aplicações" pelo lado da rede. Não mexe no GPS, no Wi-Fi nem no posicionamento móvel, nem numa conta com sessão iniciada no telemóvel: com os interruptores acima ligados, os servidores da Google recebem pelo túnel VPN os mesmos dados que sem ele. No Android, o próprio túnel também não é estanque, como mostrou este mês a recusa da Google em corrigir uma fuga de IP por fora da VPN. Use a VPN para o que ela sabe fazer, esconder a sua localização de rede de sites e redes, e as definições da conta para aquilo por que a Google foi multada.

Há uma segunda razão para vigiar onde ficam estes dados. É o "Histórico de localizações" que a polícia pede quando quer saber quem esteve perto do local de um crime; em junho, o Supremo Tribunal dos EUA decidiu no caso Chatrie que esses pedidos exigem um mandado. Dados que só estão no seu telemóvel e expiram ao fim de três meses não se tiram de nenhum servidor.