La Data Protection Commission irlandese ha inflitto a Google sanzioni amministrative per complessivi 403 milioni di euro al termine di un'indagine sul trattamento dei dati di posizione. L'autorità ha inoltre ordinato alla società di adeguare le proprie pratiche entro sei mesi.

L'ambito dell'indagine

L'istruttoria, avviata nel febbraio 2020 dopo le segnalazioni di organizzazioni europee per la tutela dei consumatori, ha esaminato tre funzioni: Attività web e app, Cronologia delle posizioni e Precisione della posizione. Il periodo analizzato va dall'entrata in applicazione del GDPR, il 25 maggio 2018, fino al 4 febbraio 2020.

In qualità di autorità capofila per Google Ireland, la DPC ha valutato le basi giuridiche, la trasparenza, la responsabilizzazione e i tempi di conservazione applicati a informazioni capaci di ricostruire o inferire gli spostamenti degli utenti.

Le violazioni contestate

La decisione rileva problemi di liceità e correttezza nel trattamento dei dati per Attività web e app e Cronologia delle posizioni. Per la funzione Precisione della posizione, Google non avrebbe dimostrato adeguatamente il rispetto dei principi di liceità, correttezza e trasparenza.

L'autorità ha inoltre contestato carenze informative per tutte e tre le funzioni e una conservazione non conforme dei dati raccolti tramite Attività web e app e Cronologia delle posizioni. La sanzione è accompagnata da un ordine correttivo, quindi l'impatto non si limita all'aspetto economico.

Perché i dati di posizione richiedono cautele specifiche

Le informazioni geografiche possono migliorare navigazione e servizi personalizzati, ma permettono anche di dedurre abitudini, luoghi frequentati e relazioni. Per questo le organizzazioni devono spiegare con precisione finalità, durata e base giuridica del trattamento, offrendo controlli comprensibili e coerenti.

Il provvedimento rafforza il principio secondo cui impostazioni distribuite tra più servizi non possono rendere opaco il flusso dei dati. Consenso, configurazione e cancellazione devono produrre effetti verificabili lungo l'intero ciclo di vita dell'informazione.