Perché l’Irlanda ha multato Google per 403 milioni di euro sui dati di localizzazione

La Data Protection Commission (DPC) irlandese, l’autorità garante della privacy che agisce come autorità capofila per Google nell’UE, ha inflitto a Google Ireland Limited sanzioni per complessivi 403 milioni di euro. Al centro dell’indagine c’era il modo in cui tre funzioni trattavano i dati sulla posizione: Web & App Activity, Location History e Location Accuracy.

L’istruttoria ha esaminato il periodo dal 25 maggio 2018, data di applicazione del GDPR, al 4 febbraio 2020. Era stata avviata nel febbraio 2020 dopo segnalazioni di varie associazioni europee di tutela dei consumatori, fra cui BEUC. 4

Il punto non era soltanto la raccolta dei dati di geolocalizzazione. Secondo la DPC, nel periodo esaminato Google non rispettava requisiti del GDPR relativi a liceità e correttezza del trattamento, trasparenza verso gli utenti, tempi di conservazione delle informazioni e capacità di dimostrare la conformità alle regole. 4

Le violazioni rilevate dalla DPC

Trattamento non lecito e non corretto

Per Web & App Activity e Location History, la DPC ha rilevato violazioni del principio secondo cui i dati personali devono essere trattati in modo lecito e corretto. 4

Si tratta di impostazioni che possono collegare le informazioni sulla posizione all’uso dei servizi Google da parte di una persona. Nell’arco temporale analizzato, l’autorità ha ritenuto che tali pratiche non soddisfacessero gli standard imposti dal GDPR. 4

Mancata accountability per Location Accuracy

Riguardo a Location Accuracy, la DPC ha contestato una violazione dell’obbligo di responsabilizzazione, o accountability. In sostanza, Google non è stata in grado di dimostrare che il trattamento rispettasse il principio GDPR di liceità, correttezza e trasparenza. 4

L’accountability non consiste semplicemente nel dichiarare di rispettare la normativa: l’organizzazione deve poter provare, con misure e documentazione adeguate, che il trattamento dei dati è conforme alle regole applicabili. 4

Informazioni insufficientemente chiare per gli utenti

La DPC ha inoltre riscontrato violazioni degli obblighi di trasparenza in tutte e tre le funzioni. Il rischio pratico, secondo il regolatore, era che gli utenti non sapessero che la loro posizione poteva essere utilizzata, per esempio, per influenzare la pubblicità mostrata o per dedurre i loro interessi. 4

Questa mancanza di chiarezza poteva ridurre il controllo delle persone su dati particolarmente sensibili: gli spostamenti e i luoghi frequentati possono infatti rivelare aspetti molto privati della vita quotidiana. 4

Conservazione dei dati oltre il necessario

L’autorità ha anche rilevato che Google conservava dati di localizzazione in Web & App Activity e Location History più a lungo del necessario. La DPC ha considerato questo aspetto un ulteriore fattore di aggravamento della perdita di controllo degli utenti su informazioni personali capaci di rivelare dettagli della loro vita privata. 4

La risposta di Google: policy cambiate dal 2019

Google ha dichiarato che il procedimento riguarda «policy storiche» che sarebbero state successivamente aggiornate. L’azienda sostiene di aver evoluto in modo significativo le proprie pratiche a partire dal 2019 e di aver introdotto strumenti per rendere più semplice la gestione dei controlli sulla localizzazione. 2

Google ha citato anche le opzioni di eliminazione automatica, che consentono agli utenti di impostare la cancellazione periodica dei dati ogni 3, 18 o 36 mesi. 2

Questi cambiamenti successivi non modificano le conclusioni della DPC sul periodo 2018-2020, ma sono al centro della posizione dell’azienda, secondo cui le pratiche oggi adottate differiscono da quelle oggetto dell’indagine. 2

Google ha sei mesi per adeguarsi

Oltre alla sanzione economica, la DPC ha ordinato a Google di rendere conforme al GDPR il trattamento contestato entro sei mesi. 4

BEUC: decisione positiva, ma applicazione troppo lenta

BEUC, l’Organizzazione europea dei consumatori, era fra i gruppi collegati ai reclami da cui è nata l’indagine. L’associazione ha accolto favorevolmente la decisione, sostenendo che confermi l’illegittimità del modo in cui Google avrebbe ottenuto il consenso all’uso dei dati di localizzazione. 24

Al tempo stesso, BEUC ha criticato la durata del procedimento, ritenendola sproporzionata. Il caso, secondo l’organizzazione, solleva quindi due questioni: se le pratiche di tracciamento rispettino effettivamente il GDPR e se l’applicazione delle norme arrivi abbastanza rapidamente da offrire ai consumatori una tutela concreta. 24

Cosa insegna il caso sui controlli di localizzazione

La vicenda mostra che, per le autorità privacy, non basta offrire un menu di impostazioni. Vengono valutati anche la base giuridica del trattamento, la comprensibilità delle informazioni fornite agli utenti, la giustificazione dei tempi di conservazione e la capacità dell’azienda di provare che progettazione e gestione dei dati rispettano il GDPR.

In questo caso, la DPC ha individuato criticità su tutti questi fronti e ha imposto una sanzione di 403 milioni di euro. 4