L'autorità irlandese per la protezione dei dati personali multa Google per 403 milioni di euro per violazione delle norme tracdella posizione

La Commissione irlandese per la protezione dei dati (DPC) ha multato Google per 403 milioni di euro (463 milioni di dollari) per la gestione dei dati di geolocalizzazione degli utenti di Android e degli account Google, dopo aver scoperto che il colosso tecnologico non disponeva di alcuna base giuridica per il trattamento delle informazioni e che agli utenti non era stata fornita sufficiente chiarezza in merito a ciò a cui stavano acconsentendo.

Il DPC ha riscontrato che Google non ha elaborato i dati di geolocalizzazione in modo lecito, corretto e trasparente in relazione a tre prodotti: Attività Web e App, Cronologia delle Posizioni e Precisione della Posizione. I primi due prodotti possono tracl'attività di navigazione e di ricerca, nonché i luoghi visitati in precedenza dal dispositivo dell'utente, mentre la Precisione della Posizione è semplicemente un'impostazione di Android.

L'autorità di regolamentazione irlandese ha inoltre sottolineato gli ingenti rischi per la privacy derivanti dal tracdella posizione. Il vice commissario Graham Doyle ha affermato che i dati di geolocalizzazione possono rendere i servizi online più utili, ma possono anche rivelare informazioni altamente private e sensibili su una persona.

Secondo il Guardian, il commissario ha affermato che gli utenti potrebbero non essere stati consapevoli del fatto che la loro posizione venisse utilizzata per indirizzare la pubblicità o per dedurre quali potessero essere i loro interessi. Conservare le informazioni più a lungo del necessario, ha aggiunto, riduce ulteriormente il controllo degli utenti sui propri dati.

L'indagine dell'autorità di controllo irlandese è iniziata dalla data di entrata in vigore del Regolamento generale sulla protezione dei dati (GDPR), il 25 maggio 2018, e si è protratta per quasi due anni, fino al 4 febbraio 2020.

Una denuncia proveniente dalla Norvegia

La vicenda ha avuto inizio con le denunce di sette organizzazioni europee di consumatori, che accusavano Google di tracgli utenti durante la loro vita quotidiana. Le loro preoccupazioni si basavano su una ricerca del 2018 condotta dall'agenzia norvegese per la tutela dei consumatori, Forbrukerrådet, secondo la quale Google utilizzava "vari stratagemmi" per mantenere attive la Cronologia delle posizioni e l'Attività web e app.

La ricerca ha inoltre spiegato come e perché tracdella posizione possa rivelare molto più dei semplici luoghi geografici visitati da una persona. Le visite ai luoghi di culto possono rivelare le convinzioni religiose, la partecipazione a manifestazioni può indicare le opinioni politiche, le visite in ospedale possono fornire informazioni sulle condizioni di salute, mentre i luoghi frequentati possono rivelare l'orientamento sessuale di una persona.

Finn Myrstad, direttore delle politiche digitali presso il Consiglio norvegese dei consumatori, ha definito la sentenza una pietra miliare. Secondo il Guardian, Myrstad ha affermato che le persone dovrebbero essere in grado di comprendere a cosa stanno acconsentendo, senza essere indotte in errore o spinte a fare scelte che altrimenti non farebbero.

Anche l'Organizzazione europea dei consumatori, nota come BEUC, ha descritto la geolocalizzazione come una delle forme più invasive di sorveglianza dei consumatori.

Sei anni dopo l'inizio dell'indagine

Pur accogliendo con favore la decisione, il direttore generale del BEUC, Agustín Reyna, ha criticato i tempi necessari per giungervi. Ha definito il ritardo "sproporzionato rispetto alla gravità dell'infrazione" e ha avvertito che "un'applicazione tardiva può essere dannosa quanto la mancata applicazione della legge"

Per contestualizzare, il DPC ha avviato la sua indagine sei anni fa.

Google, dal canto suo, ha sottolineato i cambiamenti che l'azienda afferma di aver apportato dal periodo oggetto dell'indagine. Un portavoce ha dichiarato che il caso riguarda politiche storiche che sono state successivamente aggiornate, aggiungendo che l'azienda ha modificato in modo significativo le proprie pratiche a partire dal 2019 e ha introdotto strumenti per semplificare la gestione dei dati di geolocalizzazione.

Il DPC ha inoltre concesso a Google sei mesi di tempo per adeguare le proprie pratiche di trattamento dei dati al GDPR.

Perché l'Irlanda è all'avanguardia in questo campo

La sede europea di Google si trova a Dublino, il che rende l'autorità di controllo irlandese il suo principale organo di vigilanza nell'UE a 27 Stati membri. La DPC svolge lo stesso ruolo per la maggior parte delle principali aziende tecnologiche statunitensi con sede europea in Irlanda.

La sanzione di 403 milioni di euro è la quarta più alta mai inflitta dalla commissione di regolamentazione irlandese. Secondo il Guardian, la DPC ha precedentemente multato Meta per 1,2 miliardi di euro, TikTok per 530 milioni di euro e Instagram 405 milioni di euro.

Quest'ultima decisione potrebbe non essere l'ultima azione intrapresa dall'autorità di regolamentazione contro Google quest'anno, dato che altre tre indagini sulla società sono già in fase avanzata.