Una sanción que exige mirar el ciclo completo del dato
La Comisión de Protección de Datos de Irlanda anunció el 21 de septiembre de 2026 una multa de 403 millones de euros a Google por infracciones relacionadas con el tratamiento de datos de ubicación. Según Reuters, en información publicada por Business Recorder, el regulador también ordenó adecuar el tratamiento a la normativa en un plazo de seis meses.
La investigación, abierta en 2020 tras reclamaciones de organizaciones europeas de consumidores, identificó infracciones del Reglamento General de Protección de Datos (RGPD) entre 2018 y 2020 en Web & App Activity, Location History y Location Accuracy.
Para las empresas que utilizan geolocalización en analítica comercial, el caso ofrece un punto de partida para revisar sus propios procesos. Las recomendaciones que siguen son una lectura operativa de Data Productiva apoyada en los principios generales del RGPD, no una enumeración de incumplimientos adicionales atribuidos a Google.
Recopilación: empezar por la decisión comercial
El RGPD exige finalidades determinadas y datos adecuados, pertinentes y limitados a lo necesario. La pregunta inicial no debería ser cuánta ubicación permite capturar una aplicación, sino qué información necesita realmente cada decisión de negocio. ([commission.europa.eu](https://commission.europa.eu/law/law-topic/data-protection/information-business-and-organisations/principles-gdpr_en?utm_source=openai))
Por ejemplo, para estudiar áreas de influencia de tiendas, conviene comprobar si bastan zonas amplias y períodos agregados antes de incorporar coordenadas precisas o recorridos individuales. Esa comparación debe plantearse como una prueba: medir qué utilidad analítica se pierde al reducir el detalle y justificar cualquier precisión adicional.
La revisión también debe identificar la base jurídica aplicable. Un permiso técnico del dispositivo no sustituye por sí solo los requisitos del RGPD; cuando el tratamiento se apoye en el consentimiento, este debe ser informado, específico y revocable. ([eur-lex.europa.eu](https://eur-lex.europa.eu/eli/reg/2016/679/oj))
Retención: justificar plazos y comprobar el borrado
La limitación del plazo de conservación obliga a no mantener datos personales más tiempo del necesario para su finalidad. El criterio no es cuánto almacenamiento queda disponible, sino durante cuánto tiempo puede justificarse conservar información identificable. ([commission.europa.eu](https://commission.europa.eu/law/law-topic/data-protection/information-business-and-organisations/principles-gdpr_en?utm_source=openai))
Como control operativo, conviene separar los plazos de los registros originales, las tablas intermedias y los resultados agregados. Cada conjunto debería tener un responsable, una finalidad documentada y una regla de eliminación o revisión.
La comprobación propuesta debe seguir el recorrido del dato: desde la captura hasta las exportaciones, los entornos de prueba y las copias bajo control de proveedores. No basta con aprobar una política; resulta útil ensayar el vencimiento de un registro y verificar qué ocurre con sus réplicas y derivados.
Reutilización: no tratar la disponibilidad como autorización
Bajo el RGPD, disponer de datos no habilita cualquier uso posterior. Cuando corresponda evaluar la compatibilidad de una nueva finalidad, deben considerarse, entre otros factores, la relación con el propósito original, el contexto de recopilación, las consecuencias para las personas y las salvaguardas. ([eur-lex.europa.eu](https://eur-lex.europa.eu/eli/reg/2016/679/oj))
Antes de reutilizar ubicaciones para segmentar clientes, evaluar campañas o enriquecer perfiles, la propuesta es exigir una ficha de cambio de uso. Debería describir la nueva pregunta comercial, los cruces previstos, los destinatarios y la revisión jurídica necesaria.
En datos adquiridos a terceros, esa ficha debería acompañarse de evidencia sobre procedencia, condiciones de recopilación y restricciones de uso. Una etiqueta comercial como «datos de movilidad» no debería cerrar la evaluación interna.
Anonimización: revisar el resultado, no solo la etiqueta
La seudonimización reduce el vínculo directo con una persona, pero no equivale a anonimización. El Comité Europeo de Protección de Datos distingue ambos conceptos: los datos verdaderamente anónimos quedan fuera del ámbito de la normativa europea de protección de datos personales. ([edpb.europa.eu](https://www.edpb.europa.eu/topics/ai-and-technology/anonymisation-pseudonymisation_en?utm_source=openai))
Por eso, sustituir identificadores no debería ser el último control. Para un producto de analítica geográfica, conviene evaluar si los resultados permiten distinguir individuos o relacionarlos con otras fuentes, y probar alternativas como ampliar zonas, agrupar períodos o suprimir resultados con pocas observaciones.
Una agenda conjunta para datos y negocio
La prioridad propuesta es construir un inventario por caso de uso, no únicamente por base de datos. Cada análisis debería vincular objetivo comercial, origen, precisión, base jurídica, retención, accesos y reutilizaciones permitidas.
Para supervisar esa agenda, la dirección puede pedir indicadores internos: conjuntos con plazo documentado, pruebas de borrado completadas y nuevos usos revisados antes de producción. El objetivo es que cada dato conservado tenga una función defendible y que cada resultado comercial pueda explicarse desde su origen.