La Comisión de Protección de Datos irlandesa (DPC) ha multado a Google Ireland Limited con 403.000.000 EUR y ha emitido una orden de cumplimiento tras una investigación sobre la forma en que la empresa trataba los datos de ubicación de sus usuarios. El Comité Europeo de Protección de Datos publicó el resumen de la decisión, con fecha de 21 de septiembre de 2026, en su página de noticias.

La decisión fue adoptada por los Comisionados de Protección de Datos. En ella se concluye que Google infringió el RGPD en lo relativo a la licitud y la equidad del tratamiento de sus datos de ubicación. Las referencias jurídicas citadas son el artículo 5 (principios relativos al tratamiento de datos personales), el artículo 6 (licitud del tratamiento), el artículo 12 (información transparente y modalidades para el ejercicio de los derechos del interesado) y el artículo 13 (información que debe facilitarse cuando los datos personales se recopilan del interesado). En términos sencillos: el caso de la autoridad de control se fundamenta en si Google contaba con una base jurídica válida para el tratamiento, si dicho tratamiento era equitativo y si se informó a los usuarios con claridad de lo que ocurría con sus datos de ubicación.

La investigación fue iniciada de oficio, lo que significa que la DPC la abrió por iniciativa propia y no como respuesta a una denuncia concreta. Lo hizo en febrero de 2020, en su condición de Autoridad de Control Principal de Google, tras recibir reclamaciones de varias organizaciones europeas de derechos de los consumidores, entre ellas BEUC. El alcance fue estricto y específico: el tratamiento de datos de ubicación por parte de Google en tres funciones entre el 25 de mayo de 2018, fecha de aplicación del RGPD, y el 4 de febrero de 2020. Esas funciones son:

• Web & App Activity
• Location History
• Location Accuracy

Cualquiera que haya intentado desactivar el seguimiento de ubicación en un dispositivo Android y haya comprobado que seguía activo discretamente en otro menú no necesitará que la autoridad de control le explique por qué esas tres configuraciones estaban bajo el microscopio.

El resumen publicado disponible en el momento de redactar este artículo está truncado. En él se afirma que Google infringió el RGPD en lo relativo a la licitud y la equidad del tratamiento de sus datos de ubicación, y el texto se interrumpe a mitad de la lista de conclusiones. El desglose completo de los hallazgos, el razonamiento en que se basa el importe de la multa y los términos concretos de la orden de cumplimiento no figuran en el material publicado hasta ahora. Los lectores deben tomar con cautela cualquier información de segunda mano sobre esos detalles hasta que la decisión completa esté disponible. El EDPB ha etiquetado el caso con las palabras clave aplicación del RGPD, tecnología, responsabilidad proactiva y derechos de los interesados, lo que ofrece una imagen bastante clara del enfoque adoptado.

Hay varios aspectos que conviene destacar para los profesionales. En primer lugar, el tratamiento objeto de escrutinio tuvo lugar entre 2018 y principios de 2020. La decisión llegó años después. La aplicación coercitiva del derecho en la UE es lenta, pero no olvida, y el período que examina una autoridad de control puede haber quedado muy atrás para cuando llegue la sanción. En segundo lugar, el caso es de ámbito nacional y está gestionado por la DPC como Autoridad de Control Principal, que es la vía estándar de ventanilla única para una empresa cuyo establecimiento principal en la UE se encuentra en Irlanda. En tercer lugar, la decisión combina una multa con una orden de cumplimiento, por lo que no se trata únicamente de una cuestión económica. Se trata también de modificar el modo en que se lleva a cabo el tratamiento.

Para los equipos de identidad y acceso, la parte útil de todo esto no es la cifra. Los datos de ubicación son uno de los atributos clásicos que los sistemas de identidad recopilan por motivos justificados (autenticación basada en riesgo, detección de desplazamientos imposibles, puntuación de fraude) y que luego conservan por razones que nadie recuerda con precisión. Las conclusiones de la DPC sobre licitud, equidad y transparencia son igualmente aplicables a la telemetría de inicio de sesión de una plataforma CIAM que a un producto de mapas para consumidores. La buena noticia es que la mayoría de los equipos ya dispone de las herramientas necesarias para corregir esto. Simplemente no las han dirigido hacia sus propios datos.

Qué conviene revisar: examine cada punto en que su infraestructura de autenticación y CIAM recopila, almacena o infiere ubicación (geolocalización por IP, GPS del dispositivo, señales Wi-Fi y Bluetooth) y confirme que cada uno está vinculado a una base jurídica documentada conforme al artículo 6 y a un período de retención que alguien aplica realmente. Contraste los avisos y las pantallas de consentimiento que sus usuarios ven en el momento del registro y en el punto de recopilación con los artículos 12 y 13, y compruebe que describen el tratamiento de la ubicación con precisión y no de forma aspiracional. Pruebe qué ocurre cuando un usuario desactiva una configuración de ubicación: ¿deja de fluir el dato en todas partes o solo en la función que el usuario tocó? Si la respuesta tarda más de un minuto en encontrarse, eso ya es un hallazgo, y resulta mucho más barato descubrirlo uno mismo que esperar a que lo haga una autoridad de control.