La Commissione irlandese per la protezione dei dati (DPC) ha comminato a Google una multa per 403 milioni di euro a seguito di un’indagine sul trattamento dei dati di geolocalizzazione da parte del colosso del web. L’autorità ha inoltre ordinato alla società di adeguare i propri trattamenti al Regolamento generale sulla protezione dei dati (GDPR) entro sei mesi. La DPC è l’autorità capofila per Google nell’UE ai sensi del General Data Protection Regulation (GDPR).
Avviata nel febbraio 2020 dopo alcune denunce presentate da organizzazioni europee per i diritti dei consumatori, l’indagine ha esaminato il trattamento dei dati di localizzazione da parte di Google in relazione a tre funzionalità: “Attività Web & App”, “Cronologia delle posizioni” e “Precisione della posizione”, nel periodo compreso tra il 25 maggio 2018 e il 4 febbraio 2020.
Secondo la DPC, Google ha violato il GDPR per quanto riguarda la liceità e la correttezza del trattamento dei dati in “Attività Web & App” e “Cronologia delle posizioni”, gli obblighi di accountability relativi a “Precisione della posizione” e gli obblighi di trasparenza per tutte e tre le funzionalità nel periodo compreso tra la data di applicazione del GDPR, il 25 maggio 2018, e il 4 febbraio 2020. L’autorità ha inoltre contestato la conservazione dei dati di localizzazione oltre il necessario nell’ambito delle prime due funzioni.
A fronte di ciò, la DPC ha imposto sanzioni amministrative per un totale di 403 milioni di euro e ha ordinato a Google di adeguare le proprie procedure di trattamento dei dati entro sei mesi.
Multa UE da 890 milioni a Google: Bruxelles contesta Search e Play, il gruppo valuta il ricorso
“I dati di geolocalizzazione sono un tipo di dati personali elaborati tramite il tracciamento della posizione e includono i dati raccolti o elaborati da Google, che, da soli o in combinazione con altre informazioni, consentono di dedurre la posizione di un individuo”, ha commentato il vicecommissario Graham Doyle. Secondo il funzionario, i dati di geolocalizzazione possono apportare benefici, ma anche comportare rischi per gli individui: possono migliorare l’utilità dei servizi online, ma allo stesso tempo rivelare “una quantità significativa di informazioni su un individuo, comprese informazioni intrinsecamente private”.
Il GDPR garantisce un elevato livello di protezione dei dati personali in tutto lo Spazio economico europeo (SEE) e impone che il trattamento dei dati personali avvenga in modo lecito, corretto e trasparente. Secondo la DPC, a causa delle inadempienze di Google in tal senso, alcuni utenti potrebbero non essere stati consapevoli dell’utilizzo della propria posizione, ad esempio per influenzarli con annunci pubblicitari o per dedurre i loro interessi, perdendo così il controllo sui propri dati personali. “La conservazione dei dati di geolocalizzazione degli utenti per un periodo superiore al necessario ha aggravato ulteriormente questa perdita di controllo”, spiega ancora Doyle.
Google ha contestato la portata sostanziale della decisione, sottolineando che l’indagine riguarda pratiche e impostazioni utilizzate tra il 2018 e il 2020 e che, da allora, la società ha introdotto modifiche significative ai propri strumenti di gestione della localizzazione. Secondo quanto riferito a Reuters, Google sostiene di aver rafforzato i controlli a disposizione degli utenti, introdotto meccanismi di cancellazione automatica dei dati e ridotto in alcuni casi la precisione delle informazioni sulla posizione conservate.
Il Bureau Européen des Unions de Consommateurs (BEUC), l’organizzazione europea che riunisce le principali associazioni nazionali dei consumatori dei Paesi UE e di altri Paesi europei, con sede a Bruxelles, ha invece accolto positivamente la multa. Era stato proprio il BEUC, nel 2018, a coordinare una serie di reclami presentati da organizzazioni dei consumatori di otto Paesi europei.
In una nota, il direttore generale Agustín Reyna ha definito la decisione “una buona notizia per i consumatori”. L’organizzazione ha però criticato duramente i tempi dell’enforcement: quasi otto anni tra le prime denunce e la decisione finale. Per BEUC, dati di questo tipo sono particolarmente sensibili perché possono rivelare informazioni su abitudini, visite in ospedale, luoghi di culto o altri aspetti della vita privata.
