Google dovrà pagare una sanzione da 403 milioni di euro, circa 463 milioni di dollari, per il modo in cui ha trattato i dati di localizzazione degli utenti europei. Il provvedimento arriva dalla Data Protection Commission irlandese, l’autorità che vigila su Google nell’Unione europea in ragione della sede europea del gruppo a Dublino. Oltre alla multa, l’azienda ha sei mesi di tempo per rendere i trattamenti contestati conformi al GDPR.
L’indagine non riguarda le impostazioni attuali in senso stretto, ma le pratiche adottate in una fase cruciale per l’applicazione del regolamento europeo: dall’entrata in vigore del GDPR nel maggio 2018 fino al febbraio 2020. Il procedimento era stato aperto nel 2020, dopo segnalazioni presentate da associazioni per la tutela dei consumatori, e ha richiesto anni per arrivare a una decisione.
Al centro del caso ci sono tre funzioni che, con modalità diverse, raccolgono o utilizzano segnali legati agli spostamenti delle persone: Web & App Activity, Location History e Location Accuracy su Android. La decisione mostra quanto il dato di posizione sia considerato sensibile nel contesto digitale: non serve soltanto a suggerire un percorso o a fornire previsioni meteorologiche locali, ma può contribuire a ricostruire luoghi frequentati, abitudini e aspetti privati della vita di un utente.
Le funzioni finite nel procedimento
Web & App Activity è l’impostazione con cui Google conserva attività svolte attraverso diversi propri servizi, comprese navigazioni e ricerche. Location History, invece, è la funzione facoltativa che può creare una cronologia dei luoghi visitati mediante il telefono. Location Accuracy, presente nell’ecosistema Android, utilizza segnali ulteriori rispetto al solo GPS per individuare con maggiore precisione la posizione di un dispositivo.
Secondo la DPC, Google non ha dimostrato di avere trattato in modo lecito ed equo i dati di posizione raccolti attraverso Web & App Activity e Location History. Per Location Accuracy, il regolatore ha rilevato carenze rispetto ai principi di liceità, correttezza e trasparenza previsti dal GDPR. L’autorità contesta inoltre il rispetto degli obblighi di trasparenza in relazione a tutte e tre le funzioni esaminate.
Il provvedimento tocca anche la conservazione delle informazioni. Per Web & App Activity e Location History, la DPC ha ritenuto violati i requisiti del regolamento relativi alla retention dei dati di posizione. È un elemento rilevante perché nel GDPR la conformità non si esaurisce nel raccogliere il consenso o nel mettere a disposizione un interruttore nelle impostazioni: chi tratta dati personali deve poter spiegare con chiarezza base giuridica, finalità, durata della conservazione e condizioni concrete del trattamento.
La localizzazione, in questo senso, pone una difficoltà particolare. Anche quando un singolo dato appare poco significativo, una sequenza di coordinate o di luoghi visitati può restituire un profilo dettagliato. Può rivelare dove una persona vive e lavora, con quale regolarità si sposta e quali luoghi frequenta. La DPC ha sottolineato che questi dati possono rendere più utili i servizi online, ma allo stesso tempo esporre informazioni intrinsecamente private.
La replica di Google e il perimetro temporale della multa
Google sostiene che il caso riguardi politiche storiche, poi aggiornate. In una dichiarazione diffusa dopo la decisione, l’azienda ha affermato di avere modificato in misura significativa le proprie pratiche a partire dal 2019 e di avere introdotto strumenti per rendere più semplice la gestione dei dati di posizione. La posizione della società è quindi che la sanzione fotografi un assetto superato, non il funzionamento presente dei suoi servizi.
Questa precisazione non cancella però gli obblighi imposti dalla decisione. L’ordine di adeguamento entro sei mesi significa che il regolatore non ha limitato il proprio intervento a una valutazione retrospettiva corredata da una sanzione economica: Google dovrà assicurare che i trattamenti presi in esame rispettino le regole europee. Non sono stati resi noti, nei materiali sulla decisione, dettagli operativi sulle modifiche specifiche che la società sarà tenuta ad apportare.
Per gli utenti, la vicenda riporta l’attenzione su impostazioni spesso racchiuse in menu diversi e con denominazioni che possono sembrare simili pur avendo effetti distinti. Web & App Activity, Location History e Location Accuracy non sono la stessa cosa: la prima riguarda l’attività nell’ecosistema Google, la seconda costruisce una cronologia degli spostamenti se abilitata, la terza determina il livello di precisione localizzativa raggiungibile dal dispositivo Android. La decisione irlandese non equivale a una richiesta di spegnere i servizi di localizzazione, ma richiama Google a spiegare e gestire questi trattamenti secondo gli standard fissati dal GDPR.
Una delle sanzioni più alte decise dall’Irlanda
La multa da 403 milioni di euro è la quarta più elevata inflitta dalla DPC dall’entrata in applicazione del GDPR. L’autorità irlandese ha già comminato sanzioni più alte a Meta e TikTok; tra i precedenti figura anche la multa da 1,2 miliardi di euro inflitta a Meta per il trasferimento dei dati degli utenti Facebook dall’Unione europea agli Stati Uniti.
Il ruolo dell’Irlanda è centrale nell’applicazione europea delle norme sulla protezione dei dati alle grandi piattaforme statunitensi. Molte aziende tecnologiche hanno infatti stabilito a Dublino le loro sedi europee e, secondo il meccanismo di cooperazione previsto dal GDPR, la DPC opera come autorità capofila nei loro casi transfrontalieri. Le sue decisioni possono quindi incidere sui servizi offerti in tutti i 27 Stati membri, non soltanto sul mercato irlandese.
Per Google non è neppure l’unico fronte regolatorio aperto in Europa. L’azienda ha affrontato negli anni procedimenti antitrust e privacy di ampia portata. La DPC ha comunicato di avere ancora tre indagini statutarie su larga scala riguardanti Google, tutte in fase avanzata. Non sono stati indicati né i tempi delle eventuali conclusioni né l’esito di quei fascicoli, ma il dato segnala che la decisione sulla localizzazione non chiude il confronto dell’azienda con il regolatore irlandese.
La portata del caso va oltre l’importo, pur rilevante, della multa. Le piattaforme costruiscono funzioni personalizzate e servizi contestuali grazie a dati che hanno utilità concreta per gli utenti, dalla navigazione alle ricerche locali. Il GDPR non vieta questo modello, ma richiede che il rapporto tra servizio, raccolta delle informazioni e diritti della persona sia comprensibile e giustificabile. Nel caso di Google, la DPC ritiene che quelle condizioni non siano state rispettate nel periodo oggetto dell’indagine.
Nei prossimi sei mesi l’attenzione sarà quindi rivolta all’adeguamento richiesto dall’autorità. Google potrà far valere il fatto di avere già aggiornato le proprie politiche e strumenti, ma dovrà comunque soddisfare le prescrizioni del provvedimento. Parallelamente, le altre inchieste ancora aperte potrebbero aggiungere nuovi capitoli al controllo europeo sulle pratiche di trattamento dati del gruppo.
