Dove vai, quali luoghi frequenti, il percorso che fai per raggiungere il lavoro o quante volte entri in un determinato edificio: sono tutte informazioni che uno smartphone può ricostruire attraverso i dati di geolocalizzazione e che, secondo l’autorità irlandese per la privacy, Google non avrebbe trattato rispettando pienamente le regole europee. Infatti, la Data Protection Commission (Dpc) ha multato la società per 403 milioni di euro al termine di un’indagine sulla privacy degli utenti durata circa sei anni.
Perché è stata multata per 403 milioni di euro
L’indagine riguarda in particolare il periodo compreso tra il 25 maggio 2018 e il 4 febbraio 2020. Secondo la Dpc, Google ha violato i principi di liceità e correttezza nel trattamento dei dati raccolti attraverso le funzioni “Attività web e app” e “Cronologia delle posizioni”, oltre agli obblighi di trasparenza per tutte e tre le funzionalità esaminate. L’autorità contesta anche la conservazione di alcuni dati di localizzazione più a lungo del necessario.
Il problema non riguarda soltanto sapere dove si trova una persona in un preciso momento. Incrociando gli spostamenti con altre informazioni è possibile ricostruire abitudini e interessi molto più personali. La Dpc sottolinea che gli utenti potevano non essere consapevoli che la loro posizione venisse utilizzata, per esempio, per personalizzare gli annunci pubblicitari o dedurne gli interessi.
La questione era stata sollevata già nel novembre 2018, quando otto organizzazioni per la tutela dei consumatori di Norvegia, Paesi Bassi, Grecia, Repubblica Ceca, Slovenia, Polonia, Svezia e Danimarca, coordinate da BEUC, avevano presentato reclami sul sistema con cui Google tracciava gli utenti. L’organizzazione europea sostiene che i dati di posizione possano rivelare informazioni estremamente sensibili: dalla scuola frequentata dai figli alle visite in ospedale, fino alla frequentazione di luoghi di culto.
La replica di Google e le altre indagini della Dpc
Google ha richiamato la distanza tra le pratiche oggetto del procedimento e gli strumenti disponibili oggi. “Dal 2019 abbiamo modificato significativamente le nostre procedure”, ha spiegato un portavoce. La replica riguarda dunque le modifiche al trattamento dei dati introdotte dalla società rispetto al periodo esaminato dall’autorità irlandese.
Tra gli strumenti introdotti successivamente figurano la possibilità di eliminare automaticamente i dati personali, la conservazione direttamente sul dispositivo delle informazioni della cronologia degli spostamenti e i controlli più precisi sull’utilizzo della posizione per la pubblicità. Per le ricerche, Google sostiene inoltre di conservare oggi un’area geografica approssimativa anziché la posizione precisa del dispositivo.
Il provvedimento non si esaurisce nella sanzione economica: l’ordine della Dpc impone l’adeguamento del trattamento al regolamento europeo entro sei mesi. Sul fronte degli accertamenti, secondo Reuters, l’autorità irlandese ha altre tre indagini formali su Google in fase avanzata.