Google è stata multata di 403 milioni di euro dalla Data Protection Commission (DPC) irlandese per la gestione dei dati di localizzazione degli utenti. L’ente regolatore ha riscontrato molteplici violazioni del GDPR riguardanti il modo in cui Google ha elaborato, spiegato e conservato le informazioni di posizione raccolte tramite diversi suoi servizi.
L’indagine ha coperto le pratiche di Google tra il 25 maggio 2018 e il 4 febbraio 2020. Ha esaminato tre funzionalità in grado di elaborare informazioni di localizzazione: Attività Web & App, Cronologia della Posizione e Accuratezza della Posizione.
La DPC irlandese ha aperto la sua indagine nel febbraio 2020 a seguito di reclami presentati da organizzazioni europee di consumatori. Poiché la sede centrale europea di Google si trova in Irlanda, l’autorità irlandese funge da principale regolatore dell’azienda per molte questioni transfrontaliere di protezione dei dati nell’Unione Europea.
Il regolatore ha individuato problemi legati alla legalità e alla correttezza del trattamento di Google tramite Web & App Activity e Location History. Ha inoltre rilevato che Google non ha dimostrato la conformità ai requisiti GDPR riguardanti i dati personali trattati tramite Location Accuracy.
La trasparenza era un altro tema centrale. Secondo il DPC, Google non forniva agli utenti informazioni sufficientemente chiare su come venivano gestiti i dati di localizzazione tra i tre servizi. I regolatori hanno anche concluso che alcune informazioni raccolte tramite Web & App Activity e Location History sono state conservate più a lungo del necessario.
Le informazioni sulla posizione possono essere particolarmente sensibili perché i registri ripetuti dei movimenti di una persona possono rivelare luoghi, routine e interessi frequentati frequentemente. Il DPC ha affermato che le pratiche di Google avrebbero potuto lasciare le persone inconsapevoli che le loro informazioni di posizione potevano essere usate per dedurre interessi o influenzare la pubblicità mostrata.
Le tre funzionalità di Google coperte dall’indagine hanno scopi diversi. Web & App Activity può salvare attività tra i servizi Google, mentre la Cronologia della Posizione registra i luoghi e i percorsi associati a un utente e può visualizzarli tramite la Timeline di Google Maps. La Precisione della Posizione utilizza segnali provenienti da più fonti per migliorare il posizionamento sui dispositivi Android.
Google contesta l’importanza delle conclusioni per i suoi servizi attuali. L’azienda afferma che il caso riguarda pratiche storiche che sono state successivamente modificate, citando misure introdotte negli ultimi anni come opzioni di cancellazione automatica, ulteriori controlli sulla privacy e informazioni più chiare sui dati di localizzazione.
Google prevede di fare ricorso contro la decisione, il che significa che la controversia potrebbe proseguire in tribunale. Oltre alla sanzione di 403 milioni di euro, la DPC ha ordinato all’azienda di adeguare il trattamento interessato ai requisiti GDPR entro sei mesi.
Il regolatore non ha ancora pubblicato la decisione completa. Una spiegazione più completa delle sue conclusioni e delle specifiche misure di conformità richieste da Google è attesa quando la sentenza finale sarà resa pubblica.