La Data Protection Commission (DPC) de Irlanda ha impuesto a Google Ireland Limited una multa administrativa de 403 millones de euros por infracciones del Reglamento General de Protección de Datos (RGPD) en el tratamiento de datos de ubicación. La decisión, anunciada el 21 de septiembre de 2026, cierra una investigación de oficio abierta en febrero de 2020 y ordena a la compañía poner el tratamiento en conformidad en un plazo de seis meses.
La autoridad irlandesa es la autoridad de control principal de Google en la Unión Europea. El periodo examinado va del 25 de mayo de 2018 —fecha de aplicación del RGPD— al 4 de febrero de 2020. El objeto no es todo el ecosistema de Google, sino tres funciones concretas: Actividad web y de aplicaciones (Web & App Activity), Historial de ubicaciones (Location History) y Precisión de ubicación (Location Accuracy).
Qué ha declarado la DPC
Los comisarios Des Hogan, Dale Sunderland y Niamh Sweeney concluyen que Google infringió el RGPD en cuatro bloques:
- la licitud y la lealtad del tratamiento de datos de ubicación en Actividad web y de aplicaciones y en Historial de ubicaciones;
- las obligaciones de responsabilidad proactiva (accountability) al no poder demostrar el cumplimiento de los principios de licitud, lealtad y transparencia en Precisión de ubicación;
- las obligaciones de transparencia en las tres funciones;
- la conservación de datos de ubicación en Actividad web y de aplicaciones y en Historial de ubicaciones durante más tiempo del necesario.
La DPC no ha publicado aún el texto íntegro de la decisión; ha anunciado que lo hará «en su momento». Lo que sí está fijado es el importe total de las multas (403 millones de euros) y la orden de conformidad en seis meses.
El subcomisario Graham Doyle explicó el núcleo del perjuicio: los datos de localización permiten inferir dónde está una persona y, combinados con otra información, revelan aspectos íntimos de su vida. Según la DPC, por los fallos de Google «los individuos podían desconocer que su ubicación se usaba, por ejemplo, para influirles con anuncios o para inferir sus intereses, y podían perder el control sobre sus datos personales». La retención más allá de lo necesario agravó esa pérdida de control.
Las tres funciones investigadas
Actividad web y de aplicaciones es un ajuste de la cuenta de Google. Cuando está activado, Google trata información de la actividad del usuario en sus servicios: historial de navegación y de búsquedas, y datos de ubicación. Solo está disponible para titulares de cuenta.
Historial de ubicaciones registra la posición del usuario mientras lleva un dispositivo compatible. Requiere una adhesión explícita (opt-in). A partir de esos datos, Google infiere visitas a lugares, actividades y trayectos. La función Cronología muestra un mapa privado en Google Maps. El servicio guarda ese mapa incluso cuando el usuario no está usando un producto de Google.
Precisión de ubicación es una función de Android. Permite al teléfono estimar su posición con más exactitud que con el GPS solo, combinando otras señales. Está disponible para usuarios de Android tanto si tienen cuenta de Google como si no.
De dónde sale el expediente
La DPC abrió la investigación de oficio en febrero de 2020 después de recibir reclamaciones de varias organizaciones de consumidores europeas, entre ellas BEUC. El alcance temporal queda acotado: no cubre las prácticas actuales de 2026, sino el tramo 2018-2020.
Google ha respondido que el caso se centra en políticas históricas ya actualizadas. En declaraciones a medios, la compañía afirma que desde 2019 ha cambiado de forma sustancial sus prácticas y ha lanzado herramientas para gestionar los datos de ubicación. Esa defensa no anula la infracción declarada sobre el periodo investigado ni la orden de conformidad.
Según Reuters y The Irish Times, esta es la cuarta multa más alta impuesta por la DPC desde la entrada en vigor del RGPD, por detrás de sanciones a Meta (1.200 millones de euros en 2023), TikTok (530 millones) e Instagram (405 millones). Es, además, la primera sanción de gran calado de la DPC contra Google por el RGPD.
Qué implica para un usuario en España
Google Ireland Limited es el responsable del tratamiento para la mayoría de servicios de Google dirigidos a residentes en el Espacio Económico Europeo. Por eso la decisión irlandesa no es un asunto interno de Dublín: alcanza a cuentas usadas desde España.
En la práctica, conviene revisar tres controles, independientes entre sí:
- en la cuenta de Google, Actividad web y de aplicaciones y el Historial de ubicaciones (ahora presentado en muchos dispositivos como Cronología);
- en Android, Precisión de ubicación / ubicación de Google, que puede estar activa aunque no haya cuenta;
- los permisos de ubicación de cada aplicación (nunca, solo al usar la app, o siempre).
Desactivar una de esas capas no apaga las otras. Un usuario puede haber apagado el Historial de ubicaciones y seguir generando señales vía Actividad web y de aplicaciones o vía la precisión de Android. Esa fragmentación es precisamente uno de los puntos que la DPC considera poco transparente en el periodo analizado.
La Agencia Española de Protección de Datos (AEPD) no es la autoridad líder en este expediente, pero sí puede orientar a residentes en España sobre el ejercicio de derechos (acceso, supresión, oposición) frente a Google Ireland. La DPC agradece en el comunicado la cooperación de las autoridades de control homólogas.
Quien quiera comprobar el estado de seguridad del sistema Android, más allá de la privacidad de la cuenta, puede contrastarlo con las Android Security State Libraries, pensadas para verificar el parche y el estado del dispositivo, no el historial de mapas.
Qué no dice (todavía) la decisión
Hasta que se publique el texto completo no están públicos, con detalle, los artículos concretos por cada multa parcial, ni el desglose del cálculo de 403 millones, ni el listado exacto de medidas técnicas que Google deberá acreditar en seis meses. El EDPB ha resumido la decisión citando los artículos 5, 6, 12 y 13 del RGPD (principios, licitud, transparencia e información).
Tampoco hay, en el comunicado oficial, una cifra de afectados. El periodo 2018-2020 cubre a cualquier usuario del EEE que usara esas tres funciones, pero la DPC no ha cuantificado cuántas cuentas o dispositivos entraron en el alcance.
Organizaciones de consumidores han criticado la duración del procedimiento —más de seis años desde las primeras quejas—. Esa crítica es opinable y ajena al fallo jurídico: la infracción declarada se refiere a hechos de 2018-2020, no al calendario de la instrucción.
Qué puede pasar ahora
Google puede impugnar la decisión ante los tribunales irlandeses. Mientras tanto, el plazo de seis meses para ajustar el tratamiento sigue corriendo, salvo que un juez lo suspenda. Si la DPC considera que las medidas no bastan, puede abrir un seguimiento o nuevas medidas correctivas; eso, hoy, es una hipótesis, no un hecho.
Para el lector, el dato útil no es el récord de la multa, sino la arquitectura de los controles: tres interruptores distintos, tres lógicas distintas y un regulador europeo que ha considerado insuficiente la información que Google daba sobre ellos en los dos primeros años del RGPD.
Fuente primaria: comunicado de la Data Protection Commission (21 de septiembre de 2026). Resumen del CEPD: nota del EDPB.
Deja una respuesta