Multa de 900.000 euros a Google por su recogida de información de usuarios

La Agencia Española de Protección de Datos (AEPD) ha declarado ilegales los tratamientos de datos personales realizados por Google con su nueva política de privacidad y ha multado con 900.000 euros al buscador estadounidense, según ha informado el organismo.

De acuerdo a la investigación de la AEPD, Google no da a los usuarios información suficiente sobre qué datos recoge y para qué fines los utiliza, combina los obtenidos a través de distintos servicios, los conserva durante un tiempo indefinido y obstaculiza el ejercicio de los derechos ARCO.

"La combinación de los datos que recoge por medio de diferentes servicios excede ampliamente de las expectativas razonables de la mayoría de los usuarios, que no son conscientes de ello y pierden el control de su propia información personal", ha indicado la agencia.

La agencia ha declarado la existencia de tres infracciones de la Ley de Propiedad Intelectual y Protección de Datos (LOPD) e impone a Google una sanción de 300.000 euros por cada una, requiriéndole para que cumpla con la ley sin dilación.

Esta acción forma parte de la actuación coordinada iniciada junto a las Autoridades de Protección de Datos de Alemania, Francia, Holanda, Italia y Reino Unido tras la falta de reacción de Google a los requerimientos previos.

Las actuaciones de inspección han permitido comprobar que Google recopila información personal a través de casi un centenar de servicios y productos que ofrece en España, sin proporcionar en muchos casos una información adecuada sobre qué datos se recogen, para qué fines se utilizan y sin obtener un consentimiento válido de sus titulares.

Así, por ejemplo, no se informa con claridad a los usuarios de Gmail de que se realiza un filtrado del contenido del correo y de los ficheros anexos para insertar publicidad. Cuando se informa, se utiliza una terminología imprecisa, con expresiones genéricas y poco claras que impiden a los usuarios conocer el significado real de lo que se plantea. Es demostrativo que en ocho páginas Google emplea hasta en 30 ocasiones términos como "podremos", "podrá", "podrán" o "es posible".

Todo ello, sumado a otras expresiones sumamente ambiguas como "mejorar la experiencia del usuario", da lugar a una "política de privacidad indeterminada y poco clara", de acuerdo a la AEPD. La falta de información adecuada, particularmente sobre las finalidades específicas que justifican el tratamiento de los datos, impide que pueda considerarse que existe un consentimiento específico e informado y, en consecuencia, válido.

Por otra parte, la agencia reprocha a Google que combine la información personal obtenida a través de los diversos servicios o productos para utilizarla con múltiples finalidades que no se determinan con claridad, vulnerando con ello la prohibición de utilizar los datos para fines distintos de aquellos para los que han sido recabados.

Esta combinación de los datos que se recogen en un servicio con los obtenidos en otros, y que permite a Google enriquecer la información personal que almacena, "excede ampliamente las expectativas razonables del usuario medio, que no es consciente del carácter masivo y transversal del tratamiento de sus datos", según la investigación, que señala que Google se sirve de una tecnología sofisticada "que sobrepasa la capacidad de la mayoría de los usuarios para tomar decisiones conscientes sobre el uso de su información personal por lo que, en la práctica, pierden el control sobre la misma".

Asimismo, AEPD añade que, en contra de lo exigido por la legislación española, Google almacena y conserva datos personales por periodos de tiempo indeterminados o injustificados, contraviniendo con ello el mandato legal de proceder a su cancelación cuando dejan de ser necesarios para la finalidad que determinó su recogida. La conservación de los datos por tiempo indefinido, más allá de las exigencias que se derivan de las finalidades pretendidas en el momento de la recogida, constituye un tratamiento ilícito.

Finalmente, la AEPD concluye que Google obstaculiza -y en algunos casos impide- el ejercicio de los derechos de acceso, rectificación, cancelación y oposición. El procedimiento que los ciudadanos deben seguir para ejercer sus derechos o gestionar su propia información personal les obliga a recorrer un número indeterminado de páginas, dispersas en varios enlaces, que no están disponibles para todos los tipos de usuarios y, en ocasiones, con denominaciones que no siempre hacen referencia a su objeto.

Google modificó la política de privacidad y las condiciones de uso de la mayoría de sus servicios en marzo de 2012, creando un modelo de tratamiento de datos basado en la transversalidad, posibilitando que la información que una persona facilita para un servicio pueda combinarse con la de otros y utilizarse con cualquier finalidad, y generando un uso de los datos personales que excede ampliamente las expectativas que un usuario podría esperar de la utilización de un servicio.

Ante las múltiples dudas suscitadas, el Grupo de Autoridades Europeas de Protección de Datos (GT29) acordó iniciar una investigación conjunta, coordinada por la Autoridad Francesa (CNIL) que concluyó constatando la incompatibilidad de la nueva política de privacidad con la legislación europea de protección de datos.

En octubre de 2012, las Autoridades de todos los Estados de la Unión Europea enviaron una carta a Google en la que se relacionaban los principales problemas y se hacían recomendaciones para cumplir con el derecho europeo, requiriendo que se adoptaran medidas en un plazo razonable.

Ante la falta de reacción de Google, el Grupo de Autoridades acordó que las autoridades de los Estados iniciarían acciones coercitivas para garantizar el respeto del derecho a la protección de datos.

En abril de 2013 las Autoridades de Protección de Datos de Alemania, España, Francia, Holanda, Italia y Reino Unido iniciaron actuaciones de investigación y procedimientos sancionadores con arreglo a las previsiones de sus ordenamientos nacionales, pero actuando en estrecha coordinación. La resolución de la Agencia se inserta en el marco de esta acción coordinada, y es la primera decisión final recaída en el marco de los diferentes procedimientos actualmente en marcha en los citados Estados.

Tras conocerse el fallo, un portavoz de Google ha señalado: "Hemos estado totalmente involucrados con la Agencia Española de Protección de Datos a lo largo de este proceso para explicar nuestra política de privacidad y cómo ésta nos permite crear servicios más sencillos y efectivos, algo que continuaremos haciendo. Leeremos con atención su informe y tomaremos una decisión en cuanto a los siguientes pasos a dar".