Una sanción centrada en el tratamiento de la ubicación

La Comisión de Protección de Datos de Irlanda anunció este 21 de septiembre de 2026 una multa de 403 millones de euros a Google por incumplimientos relacionados con el tratamiento de datos de ubicación, según informó SecurityWeek. La investigación examinó Web & App Activity y Location History, y el regulador concluyó que el tratamiento no cumplía los requisitos de licitud y lealtad.

Para las empresas que reutilizan información de ubicación entre productos, la lectura práctica es revisar no solo cómo se obtiene el dato, sino qué usos se habilitan después. Las implicaciones operativas que siguen son una interpretación del caso a la luz del marco europeo, no un catálogo de infracciones adicionales atribuidas a Google.

Compartir infraestructura no equivale a compartir finalidad

El Reglamento General de Protección de Datos exige finalidades específicas y comunicadas a las personas. La disponibilidad técnica de información en una plataforma compartida no elimina ese requisito: disponer del dato y poder utilizarlo para un objetivo determinado son cuestiones distintas. ([commission.europa.eu](https://commission.europa.eu/law/law-topic/data-protection/information-business-and-organisations/principles-gdpr_en?utm_source=openai))

Antes de conectar un servicio con otro, conviene documentar qué información circulará, para qué se utilizará y qué justifica ese tratamiento. En un ejemplo hipotético, emplear ubicación para coordinar una entrega y aprovecharla después para personalizar ofertas son objetivos que requieren una evaluación diferenciada; no basta con que ambos sistemas pertenezcan a la misma empresa.

La reutilización exige evaluar el nuevo propósito

La Comisión Europea explica que, en determinados supuestos, los datos pueden utilizarse para otro propósito tras comprobar su compatibilidad con el original. Esa evaluación considera la relación entre ambos objetivos, el contexto de recogida, la naturaleza de la información, las consecuencias para las personas y las garantías aplicadas. No constituye una autorización general para cualquier reutilización. ([commission.europa.eu](https://commission.europa.eu/law/law-topic/data-protection/information-business-and-organisations/principles-gdpr_en?utm_source=openai))

La recomendación empresarial es incorporar esa evaluación al proceso de aprobación de integraciones. Una ficha por flujo de datos permitiría vincular origen, destino, finalidad y responsable interno, además de registrar quién autorizó el nuevo uso y bajo qué condiciones.

El consentimiento no es un permiso universal

El consentimiento es una de las bases jurídicas previstas por el RGPD, no la única. La base adecuada depende del tratamiento concreto; por ello, una revisión no debería limitarse a comprobar si existe una casilla de aceptación. ([edpb.europa.eu](https://www.edpb.europa.eu/topics/key-gdpr-concepts/legal-basis_en?utm_source=openai))

Cuando se recurre al consentimiento, este debe ser específico e informado. Las directrices del Comité Europeo de Protección de Datos vinculan esa especificidad con evitar que las finalidades se amplíen o se vuelvan imprecisas después de la recogida inicial. ([edpb.europa.eu](https://www.edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_en.pdf?utm_source=openai))

Para producto e ingeniería, una medida útil sería probar qué sucede cuando una persona modifica sus preferencias: qué procesos dejan de ejecutarse, qué servicios reciben el cambio y cómo queda constancia de su aplicación.

Convertir los principios en controles verificables

La minimización y la limitación del almacenamiento también forman parte del marco europeo: deben tratarse los datos necesarios para la finalidad y conservarse únicamente durante el tiempo necesario. Estos principios son relevantes al diseñar los conjuntos de información que consumirá cada servicio. ([commission.europa.eu](https://commission.europa.eu/law/law-topic/data-protection/reform/rules-business-and-organisations/principles-gdpr/overview-principles/what-data-can-we-process-and-under-which-conditions_en?prefLang=ga&utm_source=openai))

Como traducción operativa, las empresas deberían evaluar si cada aplicación necesita coordenadas precisas, una zona aproximada o ningún dato de ubicación. También conviene definir plazos de conservación por finalidad y revisar las copias generadas durante las integraciones.

La lección para la dirección tecnológica es incorporar estas preguntas antes de desplegar una conexión entre servicios. El criterio de aprobación no debería ser únicamente que la integración funcione, sino que la organización pueda explicar y demostrar por qué cada uso de ubicación resulta admisible.

Fuentes