Google é multado em € 403 milhões pela autoridade irlandesa por tratamento de dados de localização 

A Comissão de Proteção de Dados da Irlanda (DPC) aplicou ao Google uma multa de € 403 milhões por violações do Regulamento Geral sobre a Proteção de Dados (GDPR) relacionadas ao tratamento de dados de localização de usuários. O valor equivale a aproximadamente R$ 2,38 bilhões. A decisão foi divulgada em 21 de setembro de 2026, após uma investigação iniciada em 2020. 

A investigação analisou o tratamento de dados realizado pelo Google entre 25 de maio de 2018, quando o GDPR entrou em aplicação, e 4 de fevereiro de 2020. O processo teve origem em reclamações apresentadas por organizações europeias de defesa dos consumidores, incluindo a BEUC, e examinou três funcionalidades: Web & App Activity, Location History e Location Accuracy. 

Segundo a DPC, foram identificadas violações relacionadas à legalidade e à equidade do tratamento de dados de localização nas funcionalidades Web & App Activity e Location History. A autoridade também apontou falhas nas obrigações de prestação de contas e transparência relacionadas ao recurso Location Accuracy. 

O Web & App Activity permite o processamento de informações relacionadas à atividade dos usuários nos serviços do Google, incluindo histórico de navegação, pesquisas e dados de localização. Já o Location History registra informações sobre a localização de dispositivos compatíveis e pode ser utilizado para identificar locais visitados, atividades e trajetos. O Location Accuracy, por sua vez, utiliza diferentes informações para determinar a localização de dispositivos Android com maior precisão. 

A autoridade irlandesa também apontou que dados de localização foram mantidos por períodos considerados superiores ao necessário nas funcionalidades Web & App Activity e Location History. Para a DPC, as falhas identificadas poderiam fazer com que usuários não compreendessem adequadamente como seus dados de localização eram utilizados, inclusive para influenciar anúncios ou inferir interesses, reduzindo o controle sobre as próprias informações. 

Além da multa, o Google recebeu um prazo de seis meses para adequar o tratamento de dados de localização às exigências do GDPR. A DPC informou que a decisão é a quarta maior multa aplicada pela autoridade desde o início da aplicação do regulamento europeu. 

O Google afirmou que o caso trata de políticas históricas e que suas práticas foram modificadas desde o período analisado. Segundo a empresa, desde 2019 foram implementados mecanismos para facilitar o gerenciamento de dados de localização, incluindo controles adicionais, exclusão automática de informações e armazenamento de dados da Timeline diretamente no dispositivo. 

O que o caso sinaliza para as empresas 

A decisão coloca novamente em evidência a necessidade de avaliar não apenas quais dados pessoais são coletados, mas também como a organização comunica essa coleta, qual finalidade está associada ao tratamento, por quanto tempo as informações são mantidas e quais mecanismos estão disponíveis para que os titulares exerçam controle sobre seus dados. 

Dados de localização podem revelar padrões de deslocamento, locais frequentados e outras informações que, combinadas com diferentes fontes, permitem inferir aspectos da vida de uma pessoa. Por isso, iniciativas de governança de dados precisam considerar todo o ciclo de tratamento, desde a coleta até a retenção e eventual eliminação. 

Para as organizações, o caso também reforça a relação entre privacidade, transparência e governança. Políticas e configurações de produtos precisam estar acompanhadas de processos capazes de demonstrar que o tratamento realizado está alinhado às bases legais, às finalidades informadas e aos princípios aplicáveis de proteção de dados.

Reflexão para as empresas: os mecanismos de coleta de localização utilizados pela organização são compreensíveis para os titulares? A empresa consegue demonstrar quais dados são coletados, para quais finalidades, durante quanto tempo são mantidos e quais controles estão disponíveis para os usuários? 

A decisão do regulador irlandês mostra que questões relacionadas à transparência e ao controle dos dados podem permanecer relevantes mesmo quando o tratamento analisado ocorreu anos antes. Para programas de privacidade e governança, manter registros, revisar práticas e acompanhar continuamente os fluxos de dados são elementos necessários para demonstrar conformidade.