Google Ireland è stata multata per 403 milioni di euro dalla Data Protection Commission irlandese per una serie di violazioni del GDPR relative al trattamento dei dati di localizzazione degli utenti. Il provvedimento conclude un’indagine avviata nel febbraio 2020 dall’autorità irlandese, che opera come Lead Supervisory Authority per Google nell’Unione Europea, dopo aver ricevuto denunce da diverse organizzazioni europee per la tutela dei consumatori, tra cui BEUC. L’istruttoria si è concentrata su tre specifiche funzionalità dell’ecosistema Google, Web & App Activity, Location History e Location Accuracy, esaminando il periodo compreso tra il 25 maggio 2018, data di piena applicazione del GDPR, e il 4 febbraio 2020. Al termine dell’indagine la DPC ha rilevato violazioni riguardanti la liceità, correttezza, trasparenza e responsabilizzazione nel trattamento dei dati, oltre a problemi relativi ai tempi di conservazione, e ha ordinato alla società di rendere le proprie pratiche pienamente conformi alla normativa europea entro sei mesi.
Le contestazioni non riguardano allo stesso modo tutte e tre le funzionalità. Per Web & App Activity e Location History, la DPC ha stabilito che Google non aveva rispettato i requisiti di liceità e correttezza previsti dal GDPR nel trattamento delle informazioni sulla posizione e aveva inoltre conservato alcuni di questi dati per un periodo superiore a quello necessario. Web & App Activity è un’impostazione disponibile agli utenti dotati di un account Google che, quando attivata, consente alla società di elaborare informazioni sulle attività svolte attraverso i propri servizi, siti e applicazioni, comprendendo potenzialmente cronologia di navigazione, cronologia delle ricerche e posizione geografica. Location History è invece una funzione alla quale l’utente deve aderire esplicitamente e che registra la posizione dei dispositivi mobili compatibili per ricostruire luoghi visitati, attività e percorsi effettuati; queste informazioni alimentano anche Timeline di Google Maps, che consente all’utente di visualizzare privatamente i propri spostamenti. La cronologia può continuare a registrare la posizione dei dispositivi associati all’account anche quando l’utente non sta utilizzando direttamente un servizio Google.
Per Location Accuracy la contestazione è differente e riguarda in particolare gli obblighi di accountability. La funzione appartiene al sistema operativo Android ed è progettata per consentire al dispositivo di calcolare la propria posizione con maggiore precisione rispetto all’utilizzo del solo ricevitore GPS, combinando differenti fonti di informazione disponibili sul dispositivo. A differenza delle altre due impostazioni esaminate, Location Accuracy è disponibile agli utenti Android indipendentemente dal possesso di un account Google. Secondo la DPC, Google non è stata in grado di dimostrare adeguatamente la conformità ai principi di liceità, correttezza e trasparenza per il trattamento dei dati personali effettuato attraverso questa funzione. Sul versante della trasparenza, invece, le carenze individuate dall’autorità hanno riguardato tutte e tre le funzionalità, rendendo questo aspetto uno degli elementi comuni dell’intero provvedimento.
La questione centrale individuata dall’autorità riguarda il livello di controllo effettivamente esercitabile dagli utenti sui dati derivati dai loro spostamenti. Le informazioni di localizzazione possono infatti essere combinate con altri dati per ricostruire dove si trova una persona, quali luoghi frequenta e quali percorsi compie e, proprio per questa capacità di rivelare aspetti molto dettagliati della vita individuale, sono soggette ai requisiti di protezione previsti dal GDPR. La DPC ha rilevato che le carenze nelle modalità adottate da Google potevano lasciare gli utenti inconsapevoli di alcuni utilizzi dei loro dati di posizione, compreso l’impiego per influenzare la pubblicità mostrata oppure per dedurne interessi e preferenze. La conservazione delle informazioni per un periodo superiore a quello necessario in Web & App Activity e Location History è stata considerata un ulteriore elemento in grado di aggravare questa perdita di controllo sui dati personali.
L’indagine è durata oltre sei anni ed è stata avviata d’ufficio dalla DPC dopo le segnalazioni delle organizzazioni dei consumatori europee. La decisione finale è stata adottata dai commissari irlandesi Des Hogan, Dale Sunderland e Niamh Sweeney e, oltre alla sanzione amministrativa complessiva di 403 milioni di euro, impone a Google di modificare entro sei mesi le pratiche interessate dal procedimento. La DPC ha lavorato nel corso dell’istruttoria anche con le altre autorità europee di controllo e pubblicherà successivamente la versione completa della decisione. La multa si colloca tra le più elevate mai irrogate dall’autorità irlandese e porta a oltre 4 miliardi di euro il valore complessivo delle sanzioni che la DPC ha applicato alle grandi società tecnologiche statunitensi dall’entrata in vigore del GDPR.
Google ha contestato il provvedimento e ha annunciato l’intenzione di presentare ricorso, sostenendo che l’indagine riguarda pratiche e policy ormai superate. La società ha affermato di avere modificato in maniera sostanziale il modo in cui gestisce i dati di localizzazione a partire dal 2019, introducendo controlli più granulari per gli utenti, opzioni di cancellazione automatica e sistemi che riducono la quantità e la precisione dei dati conservati. Le modifiche apportate negli anni successivi non incidono tuttavia sulla valutazione effettuata dalla DPC per il periodo preso in esame, che rimane compreso tra il 25 maggio 2018 e il 4 febbraio 2020. Google resta inoltre oggetto di altre tre indagini formali dell’autorità irlandese relative al trattamento dei dati personali, mentre per il procedimento sulla localizzazione dovrà ora adeguarsi alle prescrizioni della decisione entro il termine di sei mesi previsto dal regolatore.
Questo articolo è stato redatto con il supporto di strumenti di intelligenza artificiale (AI)