Seis anos de apuração, 403 milhões de euros e um prazo de seis meses

O número é grande o bastante para virar manchete e pequeno o bastante para não mudar o comportamento de quem foi multado. Vale olhar para o que a decisão registra, porque é isso que vai ser citado nas próximas.

A retenção entrou como agravante, não como infração acessória

A frase do vice-comissário Graham Doyle que merece atenção não é a sobre publicidade. É a última: a retenção de dados de localização por mais tempo do que o necessário agravou a perda de controle do titular.

Prazo de descarte costuma ser tratado como item de checklist — algo que se define uma vez na política e raramente se audita. A decisão irlandesa trata a retenção como fator que aumenta o dano de uma base legal já frágil. Em termos de exposição, isso significa que guardar por precaução não é neutro: quando o tratamento é questionado, o tempo de guarda pesa contra.

Prestação de contas isolada, sem discussão de mérito

O achado sobre o Location Accuracy é o mais transferível para qualquer empresa. Não se afirma que o tratamento fosse ilícito. Afirma-se que o Google não conseguiu demonstrar conformidade com os princípios de licitude, lealdade e transparência.

Essa é a distância entre estar em conformidade e conseguir provar que está. Quem opera sem registro de operação de tratamento atualizado, sem avaliação de impacto documentada e sem rastro de decisão sobre base legal está exposto ao mesmo achado, independentemente da qualidade real do que faz.

O detalhe que amplia o alcance: o Location Accuracy é um recurso do Android disponível a qualquer usuário, tenha ou não conta Google. O tratamento sem relação de conta é justamente o que costuma escapar do inventário de dados pessoais, porque não há um titular identificado na base.

O tempo do processo é o dado mais desconfortável

Marco	O que houve
25/05/2018 a 04/02/2020	Período de tratamento examinado pelo inquérito.
Fevereiro de 2020	Abertura do inquérito pela DPC, por iniciativa própria, após denúncias de entidades de consumidores.
21/09/2026	Anúncio da decisão final, com multas de 403 milhões de euros e ordem de adequação em seis meses.

São seis anos e sete meses entre a abertura e o anúncio. O Google respondeu que o caso trata de políticas históricas, atualizadas desde 2019: a linha do tempo do Maps passou a ser guardada no aparelho e apagada automaticamente após três meses, e o Web & App Activity deixou de guardar localização precisa, registrando área geral.

A empresa tem razão factual, e é justamente isso que expõe o problema de desenho. Quando a decisão chega, o produto examinado já não existe na forma examinada. A sanção funciona como precedente jurídico e como custo contábil. Como mecanismo de correção de comportamento em tempo de mercado, não funciona.

O que muda para quem opera no Brasil

• Geolocalização é a categoria com maior distância entre o que se coleta e o que se declara. Aplicativo de banco, de varejo, de mobilidade e de entrega coleta posição por motivo legítimo e a mantém em base analítica por prazo que ninguém definiu. O achado de retenção se aplica diretamente.
• A ANPD olha para precedente europeu. Os quatro pontos da decisão — licitude, prestação de contas, transparência e retenção — têm correspondência direta nos artigos 6º, 9º e 37 da LGPD. A estrutura argumentativa é importável.
• Tratamento sem conta também conta. Dado de dispositivo coletado fora de sessão autenticada continua sendo dado pessoal quando permite inferir a localização de alguém. O inventário que começa na tabela de usuários já nasce incompleto.
• A pergunta do auditor mudou de lugar. Não é mais "qual é a base legal". É "mostre o documento em que essa base foi decidida, por quem e quando". O segundo formato é o que derrubou o Location Accuracy.

Leitura LATAMSEC

Três perguntas, na ordem em que fazem diferença.

Para o encarregado de dados: qual é o prazo de descarte de cada base que contém coordenada geográfica, e onde está escrito? Se a resposta for o prazo genérico da política de privacidade, a base está com o mesmo problema apontado no Web & App Activity.

Para o time de produto: quais recursos coletam posição de dispositivo sem exigir conta? Aplicativo com tela de boas-vindas, SDK de publicidade e ferramenta de diagnóstico costumam estar nessa faixa, e costumam estar fora do registro de operações de tratamento.

Para o comitê de risco: se a autoridade pedir hoje a demonstração de conformidade de um tratamento qualquer, quanto tempo leva para reunir o material? O caso do Location Accuracy mostra que a incapacidade de demonstrar é, sozinha, uma infração sancionável.