Perché Google ha ricevuto una multa da 403 milioni per i dati di posizione

La Data Protection Commission (DPC) irlandese, l’autorità che vigila sulla protezione dei dati personali, ha inflitto a Google una sanzione di 403 milioni di euro per violazioni del GDPR nel trattamento dei dati di geolocalizzazione. Il procedimento ha esaminato il periodo dal 25 maggio 2018 al 4 febbraio 2020 e tre funzioni specifiche: Web & App Activity, Location History e Location Accuracy. 5

L’indagine è stata avviata nel febbraio 2020, dopo reclami presentati da diverse organizzazioni europee per la tutela dei consumatori, inclusa BEUC, l’associazione europea dei consumatori. 5

Le contestazioni della DPC

Secondo l’autorità irlandese, Google non ha rispettato alcuni principi centrali del Regolamento generale sulla protezione dei dati (GDPR).

• Il trattamento dei dati attraverso Web & App Activity e Location History non era né lecito né corretto. 5
• Per Location Accuracy, Google ha violato il dovere di responsabilizzazione: non è riuscita a dimostrare il rispetto del principio secondo cui il trattamento deve essere lecito, corretto e trasparente. 5
• In tutte e tre le funzioni sono state riscontrate violazioni degli obblighi di trasparenza. In pratica, gli utenti potevano non rendersi conto che i loro dati di posizione venivano usati, per esempio, per influenzare gli annunci pubblicitari mostrati o per ricavare informazioni sui loro interessi. 5
• I dati di localizzazione raccolti tramite Web & App Activity e Location History sono stati conservati più a lungo del necessario. Per la DPC, ciò ha aggravato la perdita di controllo degli utenti su informazioni personali capaci di rivelare aspetti particolarmente privati della loro vita. 5

La DPC ha ordinato a Google di rendere il trattamento conforme al GDPR entro sei mesi. 5

La posizione di Google

Google ha dichiarato che il caso riguarda «politiche storiche» che sarebbero state successivamente aggiornate. L’azienda afferma che dal 2019 ha modificato in modo significativo le proprie pratiche e introdotto strumenti per rendere più semplice la gestione dei controlli sui dati di posizione. 1

Tra le misure citate da Google figurano controlli di eliminazione automatica dei dati, con intervalli di tre, 18 o 36 mesi, e strumenti semplificati per la gestione della pubblicità. 1

Una delle maggiori multe della DPC

Con 403 milioni di euro, la sanzione rientra tra le più elevate mai inflitte dalla DPC irlandese: è la quarta più alta comminata dall’autorità. 2

Le critiche di BEUC sui tempi dell’enforcement

BEUC era fra le organizzazioni le cui segnalazioni hanno portato all’apertura dell’indagine. L’associazione ha sostenuto che Google non avesse ottenuto un consenso valido e liberamente prestato per l’ampio tracciamento descritto nel reclamo. Ha inoltre criticato la durata del procedimento, osservando che un’applicazione delle regole troppo lenta può essere «dannosa quanto la loro mancata applicazione» e chiedendo una tutela più rapida dei diritti dei consumatori. 56