La Data Protection Commission irlandese ha inflitto a Google sanzioni amministrative per un totale di 403 milioni di euro, contestando diverse violazioni del GDPR nel trattamento dei dati di localizzazione. Il provvedimento riguarda le funzioni Attività web e app, Cronologia delle posizioni e Precisione della geolocalizzazione e impone alla società di adeguare le proprie attività di trattamento entro sei mesi.
L’indagine della DPC era stata avviata d’ufficio nel febbraio 2020, dopo le iniziative intraprese da alcune organizzazioni europee per la tutela dei consumatori. Il caso ha avuto origine nel novembre 2018, quando otto associazioni di Norvegia, Paesi Bassi, Grecia, Repubblica Ceca, Slovenia, Polonia, Svezia e Danimarca, coordinate dall’organizzazione europea dei consumatori BEUC, presentarono denunce o segnalarono alle rispettive autorità le modalità con cui Google seguiva gli spostamenti degli utenti.
L’autorità irlandese opera come capofila per Google nell’Unione europea, poiché la sede europea della società si trova in Irlanda. L’esame ha riguardato il periodo compreso tra il 25 maggio 2018, data di applicazione del Regolamento generale sulla protezione dei dati, e il 4 febbraio 2020.
Secondo la decisione, Google ha violato i requisiti di liceità e correttezza nel trattamento dei dati di localizzazione attraverso Attività web e app e Cronologia delle posizioni. Per Precisione della geolocalizzazione, la DPC ha rilevato una violazione degli obblighi di responsabilizzazione previsti dal GDPR: Google non è stata in grado di dimostrare la conformità del trattamento ai principi di liceità, correttezza e trasparenza.
Le carenze informative interessano tutte e tre le funzioni analizzate. Per Attività web e app e Cronologia delle posizioni, l’autorità ha contestato anche la conservazione dei dati per un periodo superiore al necessario.
Le tre funzioni esaminate dalla DPC
Attività web e app è un’impostazione disponibile per chi possiede un account Google. Quando viene attivata, consente alla società di trattare informazioni sulle attività svolte nei suoi servizi, comprese la cronologia di navigazione, le ricerche e alcuni dati relativi alla posizione.
Cronologia delle posizioni registra gli spostamenti compiuti con dispositivi mobili compatibili. La funzione richiede l’attivazione da parte dell’utente e permette di ricostruire luoghi visitati, attività e percorsi. Queste informazioni alimentano Timeline, la mappa privata accessibile attraverso Google Maps che mostra gli spostamenti associati ai dispositivi collegati all’account, anche quando non si sta utilizzando direttamente un servizio Google.
Precisione della geolocalizzazione appartiene al sistema operativo Android e combina diverse fonti per determinare la posizione del dispositivo con maggiore accuratezza rispetto al solo GPS. La funzione può essere utilizzata anche da chi non possiede un account Google.
La DPC ha sottolineato che i dati raccolti direttamente o combinati con altre informazioni possono rivelare la posizione di una persona e aspetti particolarmente riservati della sua vita. Le carenze riscontrate avrebbero potuto lasciare gli utenti inconsapevoli dell’impiego della loro posizione per personalizzare la pubblicità o dedurne gli interessi, riducendo il controllo esercitabile sui dati personali. La conservazione prolungata avrebbe aggravato ulteriormente questa perdita di controllo.
BEUC osserva che la geolocalizzazione può permettere di ricavare informazioni sulle convinzioni religiose, le condizioni di salute, le opinioni politiche e l’orientamento sessuale di una persona. I luoghi frequentati possono infatti mostrare dove studiano i figli, quante volte qualcuno si reca in ospedale o se frequenta abitualmente un luogo di culto.
Le denunce contro il design delle impostazioni Google
Le iniziative del 2018 si basavano su una ricerca del Consiglio norvegese dei consumatori, secondo la quale Google impiegava interfacce ingannevoli, informazioni poco chiare e richieste ripetute per orientare gli utenti Android verso l’attivazione continua del tracciamento.
La ricerca descriveva un percorso di configurazione capace di incoraggiare l’attivazione della Cronologia delle posizioni senza rendere pienamente evidenti le conseguenze della scelta. Attività web e app risultava inoltre abilitata per impostazione predefinita e collocata dietro passaggi aggiuntivi, mentre le informazioni sull’impiego dei dati di posizione per la pubblicità erano difficili da raggiungere.
Secondo BEUC, le denunce hanno contribuito a indurre Google a modificare la propria piattaforma a livello globale. L’organizzazione e alcuni suoi membri hanno tuttavia presentato una seconda iniziativa nel 2022, dedicata al processo di creazione dell’account Google e all’impiego di scelte grafiche che rendevano più semplice accettare un trattamento esteso dei dati rispetto alla selezione delle impostazioni più rispettose della privacy.
La multa riguarda il passato, l’ordine interviene sul presente
La sanzione economica colpisce le violazioni commesse tra il 2018 e il 2020, mentre l’ordine di conformità produce effetti sui trattamenti attuali. Google avrà sei mesi per adeguare le attività contestate alle prescrizioni del GDPR. La decisione integrale, che la DPC pubblicherà successivamente, definirà nel dettaglio gli interventi richiesti e l’articolazione delle singole sanzioni che compongono il totale di 403 milioni di euro.
In una dichiarazione riportata dall’Associated Press, Google ha affermato che “il caso riguarda politiche storiche che nel frattempo sono state aggiornate”. La società ha inoltre dichiarato di avere modificato dal 2019 le proprie procedure e introdotto strumenti destinati a semplificare la gestione dei dati di localizzazione.
Per Agustín Reyna, direttore generale di BEUC, la decisione riconosce la responsabilità di Google e l’illegittimità delle modalità con cui veniva ottenuto il consenso, ma arriva dopo un intervallo sproporzionato rispetto alla gravità delle violazioni: “Un’applicazione tardiva può essere dannosa quanto la mancata applicazione. I diritti fondamentali dei consumatori devono essere tutelati più rapidamente e meglio”.
