L'Irlanda multa Google per 403 milioni di euro sui dati di localizzazione: prima sanzione pesante per l'azienda

Cosa ha deciso l'autorità

La multa, circa 463.000.000 di dollari, è la quarta più alta emessa dalla DPC e la prima sanzione pesante contro Google, riferisce POLITICO. Rientra in oltre 4.000.000.000 di euro di multe che la DPC ha comminato da quando il GDPR è entrato in vigore nel 2018. Nel totale c'è anche una sanzione da 1.200.000.000 di euro contro Meta, quasi il triplo di quella comminata a Google.

Oltre alla somma, la DPC ha ordinato a Google di mettere in regola il trattamento dei dati di localizzazione entro sei mesi, riferisce Reuters. La multa non potrà essere incassata finché un tribunale irlandese non la confermerà. Google potrà ricorrere alla High Court entro 28 giorni dalla notifica formale, ha precisato la DPC. L'azienda sostiene che il caso riguarda politiche storiche, aggiornate nel frattempo. Un portavoce ha detto a Reuters che Google intende ricorrere per «ottenere maggiore chiarezza giuridica su alcuni punti specifici».

Le conclusioni riguardano comportamenti cessati nel febbraio 2020.

Perché al centro c'è il targeting pubblicitario

La DPC ha accertato violazioni delle norme del GDPR sul trattamento lecito ed equo e sulla trasparenza per Web & App Activity e Location History. Ha inoltre rilevato che Google conservava i dati di localizzazione più a lungo del necessario attraverso queste due funzioni. Il vicecommissario della DPC Graham Doyle ha affermato che le persone potrebbero non essersi rese conto che la loro posizione veniva usata, per esempio, per influenzarle con annunci pubblicitari o per dedurre i loro interessi. Così, ha aggiunto, potrebbero aver perso il controllo dei propri dati personali.

Per Location Accuracy, funzione Android disponibile con o senza account Google, le conclusioni sono più limitate. Google è venuta meno agli obblighi di trasparenza e responsabilità perché non è riuscita a dimostrare che il trattamento fosse lecito, equo e trasparente.

La DPC non ha reso pubblico quale trattamento copra l'ordine di adeguamento. Ha annunciato che la decisione integrale sarà pubblicata in seguito.

Cosa dice Google di aver già cambiato

Nel maggio 2019, dentro il periodo esaminato, Google ha annunciato i controlli di cancellazione automatica per Location History e Web & App Activity. Gli utenti potevano eliminare quei dati dopo 3 o 18 mesi. Nel giugno 2020 ha reso la cancellazione automatica a 18 mesi l'impostazione predefinita per Web & App Activity sui nuovi account e per chiunque attivasse Location History per la prima volta.

Nel dicembre 2023 Google ha annunciato che Timeline, la vista di Location History in Maps, avrebbe conservato i dati sui dispositivi degli utenti. Per chi attivava Location History per la prima volta sarebbe scattata la cancellazione automatica predefinita a 3 mesi. Google ha dichiarato che dal 2019 ha modificato in modo significativo le proprie pratiche e ha lanciato strumenti per gestire i dati di localizzazione. La DPC non ha detto pubblicamente se queste modifiche bastino a soddisfare il suo ordine.

Sei anni e mezzo dall'indagine alla decisione

La DPC ha aperto l'indagine nel febbraio 2020 dopo le denunce di gruppi di consumatori europei, tra cui BEUC. Le organizzazioni aderenti a BEUC avevano presentato esposti alle autorità nazionali nel novembre 2018. Il periodo esaminato va dal 25 maggio 2018, quando è entrato in vigore il GDPR, al 4 febbraio 2020, il giorno in cui la DPC ha annunciato l'indagine.

La decisione è arrivata oltre 6,5 anni dopo l'apertura dell'indagine. Il direttore generale di BEUC Agustín Reyna l'ha accolta con favore ma ha criticato i ritardi: «Un'applicazione tardiva può essere dannosa quanto la mancata applicazione», ha detto.

Cosa succede ora

La DPC ha altre tre indagini formali aperte su Google. Riguardano il modello di intelligenza artificiale PaLM2, il sistema di pubblicità personalizzata e la procedura di registrazione degli account. L'autorità afferma che tutte e tre sono nelle fasi finali.