Em 21 de setembro de 2026, a Comissão de Proteção de Dados da Irlanda, conhecida pela sigla DPC, multou o Google em €403 milhões por violações da lei europeia de privacidade, o GDPR, relacionadas ao processamento de dados de localização. O caso envolve recursos de dispositivos Android usados para registrar atividade, histórico e precisão geográfica, mas a acusação não se resume à existência do rastreamento: a autoridade concluiu que a forma de coleta e tratamento falhou em ser legal, justa e transparente. A investigação durou seis anos e nasceu de queixas de grupos de defesa do consumidor. A partir dos documentos disponíveis, dá para desmontar a decisão em quatro perguntas: quais recursos foram examinados, que tipo de falha a DPC identificou, por que a localização é considerada tão reveladora e o que o Google terá de fazer agora.
A investigação encontrou falhas em etapas diferentes
A investigação analisou o recurso 'Atividade na Web e de Apps' e o 'Histórico de Localização', dois mecanismos que aparecem no centro da decisão sobre legalidade e equidade. As violações ocorreram entre maio de 2018 e fevereiro de 2020, período coberto pelo processo regulatório, que levou seis anos até a conclusão. A DPC não tratou o caso como uma única escolha isolada do usuário, porque a análise considerou como as opções eram apresentadas e como os dados eram processados depois da ativação. Essa distinção ajuda a entender o ponto central: na lógica do GDPR, uma empresa precisa demonstrar que a coleta atende às regras e que a pessoa consegue compreender o que está autorizando antes que o dado entre no sistema.
Essa primeira constatação foi acompanhada por uma análise separada do recurso 'Precisão de Localização', que adicionou a dimensão de responsabilização ao processo. Segundo o resumo da decisão, o Google infringiu o GDPR em quatro pontos: faltou legalidade e equidade nos dois primeiros recursos, houve falta de transparência nos três recursos examinados e a empresa não demonstrou a responsabilidade exigida para a Precisão de Localização. Em termos simples, 'accountability', ou responsabilização, significa conseguir provar que os controles adotados cumprem a lei, e não apenas afirmar que existe uma política de privacidade. Se a empresa não consegue demonstrar esse caminho, então a promessa de controle fica sem a documentação que deveria sustentá-la.
Por que a localização recebe tratamento tão severo
A justificativa regulatória passa pelo tipo de informação que um dado de localização pode revelar. Graham Doyle, vice-comissário da DPC, afirmou que esses dados podem expor informações inerentemente privadas e que um processamento inadequado permite ao Google inferir interesses dos usuários, influenciando-os com anúncios sem que tenham controle efetivo sobre seus dados pessoais. A formulação é relevante porque desloca a discussão do mapa para as conclusões que podem ser extraídas dele: uma sequência de locais pode indicar interesses, hábitos ou situações privadas, mesmo quando o usuário não escreve essas informações diretamente em um formulário. A declaração atribuída ao regulador explica por que a DPC tratou o processamento como uma questão de controle sobre dados pessoais, e não como simples armazenamento técnico.
Se o risco está na combinação entre coleta e inferência, a forma de pedir autorização passa a ser parte do problema. Organizações de defesa do consumidor alegaram que o Google manipulou usuários para que aceitassem ser rastreados constantemente em seus celulares, enquanto as queixas originais mencionavam 'dark patterns', expressão usada para descrever padrões de interface que incentivam determinada escolha. A DPC também confirmou que o Google reteve dados de localização por períodos superiores ao necessário. Portanto, a acusação reúne dois elementos distintos: de um lado, a apresentação das opções poderia pressionar a ativação; de outro, a retenção prolongada mantinha a informação armazenada além do período considerado necessário pela autoridade. O resultado é uma análise que acompanha o dado desde a tela de consentimento até o tempo de permanência.
O valor da multa não conta toda a história
O número mais visível da decisão é de €403 milhões, valor equivalente a US$ 463 milhões nas referências reunidas para o caso. A sanção é a quarta maior multa aplicada pela DPC, que atua como principal reguladora do Google na União Europeia porque a empresa mantém sua sede europeia em Dublin. Em outra medida de comparação, a multa corresponde aproximadamente a 1% do lucro operacional da Alphabet em um único trimestre. A proporção não altera as conclusões jurídicas, mas ajuda a separar duas perguntas que frequentemente aparecem misturadas: quanto a penalidade pesa nas contas da controladora e qual comportamento a decisão determinou que fosse corrigido. O montante chama atenção, mas a ordem operacional é a parte que define a obrigação imediata.
Além do pagamento, a DPC ordenou que o Google adeque o processamento de dados de localização em seis meses. A empresa declarou que suas políticas foram atualizadas desde 2019 e reiterou que o processo trata de políticas históricas. Essa resposta não elimina a decisão, porque o período investigado vai de 2018 a 2020, mas estabelece a linha de defesa corporativa: se as políticas posteriores mudaram, o Google argumenta que as práticas atuais não devem ser avaliadas como se fossem idênticas às examinadas. A companhia também mantém o direito de recorrer da decisão nos tribunais irlandeses. Se houver recurso, então a disputa jurídica ainda terá uma etapa posterior; se não houver mudança no prazo determinado, os processos precisam ser ajustados dentro dos seis meses definidos pela autoridade.
A assinatura e o próximo passo regulatório
A decisão foi assinada pelos três comissários de privacidade da Irlanda: Des Hogan, Dale Sunderland e Niamh Sweeney. A identificação dos responsáveis importa porque mostra que a medida não veio de uma declaração genérica sobre privacidade, mas de uma decisão formal da autoridade que supervisiona o Google na União Europeia. O processo começou após queixas de organizações de defesa do consumidor e examinou recursos diferentes, períodos de retenção e a maneira como as telas conduziam as escolhas. A ordem de adequação em seis meses funciona, portanto, como o próximo marco verificável: o Google precisa demonstrar que seus procedimentos passaram a atender às exigências apontadas na decisão.
Para quem usa serviços baseados em localização, a lição prática está na diferença entre um botão disponível e um controle efetivo. A DPC não questionou somente se o Google possuía ferramentas para ativar ou desativar recursos; a investigação examinou se o processamento era legal, justo e transparente, se os usuários eram conduzidos a aceitar o rastreamento e se os dados permaneciam armazenados além do necessário. Essa sequência permite ler o caso sem o atalho de concluir que toda coleta é automaticamente ilegal. A pergunta correta é mais precisa: qual informação foi processada, com que justificativa, de que maneira a escolha foi apresentada e por quanto tempo o dado ficou retido? São exatamente esses pontos que transformaram uma configuração de privacidade em uma multa de centenas de milhões de euros.
O que acontece agora
O próximo passo anunciado é objetivo: o Google terá seis meses para adequar seus processos de tratamento de localização, enquanto a empresa pode recorrer aos tribunais irlandeses. A companhia afirma que atualizou suas políticas desde 2019, mas a decisão continua baseada em violações identificadas no período entre maio de 2018 e fevereiro de 2020. A diferença entre esses dois marcos será central para a leitura dos próximos desdobramentos: a ordem trata da correção dos processos, e o recurso pode contestar as conclusões ou a penalidade. Até que uma instância posterior altere a decisão, permanecem válidos o valor de €403 milhões e a exigência de adequação determinada pela DPC.
O ponto de controle para acompanhar o caso está, portanto, menos no número convertido para dólares e mais na execução da ordem. Se o Google cumprir o prazo, terá de mostrar que os mecanismos de localização passaram a respeitar legalidade, equidade, transparência e responsabilização; se recorrer, a disputa seguirá nos tribunais irlandeses. Para o leitor, a informação essencial é concreta: a decisão alcança três recursos de localização, foi motivada por práticas examinadas durante seis anos e impõe uma janela de seis meses para a adequação. O caso transforma uma preferência escondida em uma exigência regulatória documentada, com nome dos responsáveis, período analisado, valor da multa e próximo prazo já definidos.