Google, multada con 403 millones por la ubicación: qué revisar

La Comisión de Protección de Datos de Irlanda (DPC) anunció el 21 de septiembre de 2026 una multa de 403 millones de euros a Google Ireland Limited, la filial europea del grupo. Irlanda lleva el caso porque allí está la sede europea de la compañía. La investigación se abrió en febrero de 2020 tras las quejas de varias asociaciones europeas de consumidores coordinadas por la BEUC.

Qué ha pasado

El expediente analiza cómo trató Google la ubicación de sus usuarios entre el 25 de mayo de 2018, el día en que empezó a aplicarse el RGPD, y el 4 de febrero de 2020. En el punto de mira, tres ajustes que muchos conocen de su móvil:

• Actividad en la Web y en Aplicaciones, que guarda lo que se hace en los servicios de Google, ubicación incluida.
• Historial de Ubicaciones, que registraba los desplazamientos del teléfono.
• Precisión de la ubicación, la función de Android que afina la posición con wifi, redes móviles y sensores.

Según la DPC, en los dos primeros el tratamiento no respetaba los principios de licitud y lealtad y los datos se guardaban más tiempo del necesario. En los tres faltó transparencia, y en el tercero Google no pudo demostrar que cumplía, como exige el principio de responsabilidad proactiva. La empresa tiene seis meses para adecuar sus prácticas.

El comisionado adjunto Graham Doyle lo resumió así: la ubicación hace más útiles muchos servicios, pero revela mucho de una persona, y los usuarios podían no saber que se estaba usando, por ejemplo, para mostrarles anuncios o deducir sus intereses.

Google sostiene que el caso trata de políticas antiguas que ya ha cambiado y que desde 2019 ha lanzado herramientas para gestionar estos datos, como el borrado automático. Según The Irish Times, la compañía podría recurrir parte de la decisión. Es la cuarta mayor sanción del regulador irlandés, por detrás de las de Meta (1.200 millones en 2023), TikTok (530 millones) e Instagram (405 millones).

Por qué importa aunque no seas Google

La cifra es de multinacional, pero lo que castiga la DPC no tiene nada de exótico: avisos poco claros, datos guardados sin fecha de caducidad y no poder demostrar qué se hace con ellos. Son los mismos principios del RGPD que se aplican a cualquier empresa que trate datos personales.

La ubicación no figura entre las categorías especiales de datos del RGPD, pero en la práctica cuenta mucho: dónde vive alguien, dónde trabaja, a qué médico va o qué rutina sigue. Y el caso deja otra lección: los hechos son de 2018 a 2020 y la multa llega seis años después. Lo que se configura mal hoy puede pasar factura mucho más tarde.

Qué supone para las empresas en España

Muchas pymes tratan ubicaciones sin tenerlo presente: la app de fichaje que registra dónde se marca la entrada, el localizador GPS de las furgonetas, el CRM que apunta las visitas de los comerciales o la app propia que pide acceso al GPS. En España la autoridad competente es la AEPD, y el RGPD permite multas de hasta 20 millones de euros o el 4 % de la facturación mundial anual, la cifra que sea mayor, cuando se incumplen sus principios básicos.

Con la plantilla hay además una regla propia: el artículo 90 de la Ley Orgánica 3/2018 (LOPDGDD) permite usar la geolocalización para el control laboral, pero obliga a informar antes a los trabajadores, y en su caso a sus representantes, de forma expresa, clara e inequívoca, de que existe y de cómo funciona. Lo explicamos en la entrada sobre el registro de jornada.

Qué conviene revisar ya

1. Haz inventario. Qué programas, apps y dispositivos recogen ubicación, incluidas las librerías de terceros (analítica, publicidad, mapas) de tu app.
2. Pide solo la que necesitas. ¿Hace falta la posición exacta y continua, o basta con la del momento del fichaje o una aproximada? Android e iOS permiten pedir el acceso solo mientras se usa la app.
3. Avisa claro y en el momento. Un texto corto cuando se pide el permiso vale más que un párrafo escondido en la política de privacidad.
4. Ponle fecha de borrado. Decide cuánto tiempo guardas las ubicaciones y automatiza su eliminación.
5. Déjalo por escrito. Qué se recoge, para qué, con qué base legal y durante cuánto tiempo. Si pregunta la AEPD, habrá que demostrarlo.

Si tu app, tu web o tu fichaje recogen ubicación y no sabes bien qué guardan ni cuánto tiempo, en Webs Creative podemos revisarlo contigo y ajustar permisos, avisos y plazos de borrado en el propio programa, tanto en las apps móviles como en las webs que desarrollamos.

Resumen a septiembre de 2026 y no es asesoramiento jurídico: para tu caso concreto, consulta con tu abogado o tu delegado de protección de datos.

Fuentes

• Data Protection Commission (Irlanda), nota de prensa del 21 de septiembre de 2026: https://www.dataprotection.ie/en/news-media/latest-news/data-protection-commission-fines-google-eu403-million-following-inquiry-googles-processing-location
• The Irish Times, «Irish data protection watchdog fines Google €403m over GDPR breaches», 21/09/2026: https://www.irishtimes.com/business/2026/09/21/irish-data-protection-watchdog-fines-google-403m-over-gdpr-breaches/
• BleepingComputer, «Google fined €403 million over location data privacy violations»: https://www.bleepingcomputer.com/news/security/google-fined-403-million-over-location-data-privacy-violations/
• The Record, «EU data regulator fines Google more than $460 million for location data violations»: https://therecord.media/google-europe-location-data-fine
• Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), artículo 90 · BOE-A-2018-16673

#RGPD#geolocalización#protección de datos