Google è stata multata per oltre 400 milioni di euro (circa 345 milioni di sterline) dopo che la Data Protection Commission (DPC) irlandese ha stabilito che la società ha violato il Regolamento generale sulla protezione dei dati (GDPR) nel modo in cui ha gestito i dati di localizzazione degli utenti. La sanzione, una delle più elevate mai emesse ai sensi del GDPR, segue un'indagine volta a verificare se il trattamento delle informazioni di localizzazione da parte di Google fosse lecito, equo e adeguatamente responsabile nei confronti delle persone coinvolte.

Per un'azienda che ha affrontato ripetuti controlli normativi in Europa, questa ultima multa per violazione del GDPR sottolinea un tema persistente: i dati di localizzazione sono una delle categorie più sensibili di informazioni personali raccolte dalle app e dai dispositivi di uso quotidiano, e i regolatori non sono più disposti a lasciar correre pratiche di consenso vaghe.

Cosa ha rilevato la Data Protection Commission

L'indagine della DPC si è concentrata su due questioni fondamentali. In primo luogo, la raccolta e il trattamento dei dati di localizzazione da parte di Google erano leciti ed equi secondo i principi fondamentali del GDPR? In secondo luogo, Google ha rispettato i propri obblighi di responsabilità, ovvero poteva dimostrare, con prove, che le sue pratiche sui dati erano effettivamente conformi alla legge anziché limitarsi ad affermarlo?

La responsabilità è un pilastro distinto e spesso trascurato del GDPR. Non è sufficiente che un'azienda disponga di un'informativa sulla privacy che menzioni tecnicamente la raccolta dei dati. I regolatori si aspettano che le organizzazioni mostrino il proprio operato: come è stato ottenuto il consenso, come sono stati minimizzati i dati e come le decisioni sul trattamento sono state documentate e giustificate internamente. Le conclusioni della DPC suggeriscono che Google è venuta meno su questi fronti specificamente in relazione ai dati di localizzazione, il che, come notato nella precedente copertura di questa multa, coinvolgeva cifre più vicine a 403 milioni di euro, ovvero circa 463 milioni di dollari, quando la decisione della DPC fu confermata per la prima volta.

Perché i dati di localizzazione sono diversi

I dati di localizzazione sono unici nel loro genere per quanto rivelano. A differenza di una cronologia di navigazione o di una preferenza di acquisto, un registro continuo di dove va una persona può esporre il suo indirizzo di casa, il luogo di lavoro, le visite mediche, le pratiche religiose, le relazioni e le routine quotidiane. È proprio per questo che il GDPR tratta la base giuridica per la loro raccolta con tale scrupolo, e per questo i regolatori di tutta l'UE hanno segnalato il tracciamento della posizione come un rischio ricorrente di non conformità per le principali piattaforme tecnologiche.

Come evidenziato nella precedente analisi di questa multa GDPR, il caso mette in luce un modello più ampio: le aziende che costruiscono funzionalità pubblicitarie o di personalizzazione basate sui segnali di localizzazione spesso faticano a ottenere un consenso che soddisfi lo standard rigoroso del GDPR di essere liberamente prestato, specifico, informato e inequivocabile. Caselle preselezionate, impostazioni nascoste o richieste di consenso raggruppate con autorizzazioni non correlate sono state tutte contestate dai regolatori europei in precedenti azioni esecutive.

Questa multa arriva anche nel mezzo di una più ampia conversazione globale su come le aziende tecnologiche gestiscono i dati tra le diverse giurisdizioni. La pressione normativa su Google non è stata confinata all'Europa; l'azienda ha affrontato sanzioni anche altrove per come gestisce le sue piattaforme, incluse multe legate alle politiche del suo app store in Russia, a ricordare che Google opera sotto aspettative normative profondamente diverse a seconda della regione.

Cosa significa per te

Se utilizzi dispositivi Android o servizi Google, questa sentenza per violazione del GDPR è uno spunto utile per rivedere le tue impostazioni sui dati di localizzazione, anche se la multa in sé è una questione tra Google e i regolatori. La maggior parte degli smartphone consente di rivedere e modificare le autorizzazioni di localizzazione app per app, disattivare completamente la cronologia delle posizioni o impostare l'eliminazione automatica dei dati dopo un periodo fisso.

Vale anche la pena ricordare che l'applicazione del GDPR, per quanto significativa, non cancella retroattivamente i dati già raccolti secondo le pratiche sanzionate. La multa riguarda la condotta passata e spinge le aziende verso una migliore conformità in futuro, ma gli utenti individuali conservano ancora la responsabilità di gestire attivamente le proprie impostazioni sulla privacy oggi.

Per i lettori al di fuori dell'UE, vale la pena notare che le protezioni del GDPR si applicano generalmente agli utenti all'interno dello Spazio economico europeo, sebbene molte aziende applichino controlli sulla privacy simili a livello globale per coerenza. Se non sei sicuro che la tua regione benefici di protezioni in stile GDPR, controllare il pannello regionale sulla privacy della tua app è un buon punto di partenza.

Punti chiave

Questa multa per violazione del GDPR contro Google è un forte segnale che l'applicazione delle norme sui dati di localizzazione non sta rallentando. Ecco alcuni passi pratici che vale la pena intraprendere:

  • Rivedi la cronologia delle posizioni e i controlli delle attività del tuo Account Google e disattiva il tracciamento per le app che non ne hanno bisogno.
  • Controlla regolarmente le autorizzazioni delle app sul tuo telefono, in particolare per l'accesso alla posizione in background.
  • Tratta con attenzione le richieste di consenso; non accettare autorizzazioni raggruppate senza verificare a cosa si sta specificamente acconsentendo.
  • Rimani informato sulle azioni normative in corso, poiché l'applicazione del GDPR spesso porta a cambiamenti più ampi nel modo in cui le aziende progettano i flussi di consenso.

Mentre i regolatori europei continuano a testare i limiti del GDPR contro le principali piattaforme tecnologiche, gli utenti traggono il massimo beneficio rimanendo proattivi anziché aspettare la prossima multa da prima pagina per controllare le impostazioni.