Multa Google da €403m, ordine nascosto

Il 21 settembre l’autorità irlandese per la protezione dei dati ha inflitto a Google una multa di 403 milioni di euro per il modo in cui tre funzioni di localizzazione trattavano i dati personali nello Spazio economico europeo (Irish DPC, Euronews). La cifra ha conquistato i titoli, ma la Data Protection Commission non ha ancora pubblicato la decisione motivata, il calcolo della sanzione, le violazioni giuridiche precise né l’ordine di adeguamento. A quasi otto anni dalle denunce delle associazioni dei consumatori, il pubblico non può ancora stabilire se la pena e i rimedi siano proporzionati alle violazioni.

Che cosa ha annunciato la DPC e che cosa non ha pubblicato

L’indagine ha esaminato le pratiche adottate tra maggio 2018 e febbraio 2020 da tre funzioni di Google: Web & App Activity, Location History e Android’s Location Accuracy. Il punto decisivo riguarda il loro funzionamento congiunto: un utente che avesse disattivato Location History poteva comunque vedere salvate informazioni legate alla posizione attraverso Web & App Activity. Il Consumer Council norvegese aveva documentato questa lacuna in un rapporto del 2018. La questione regolamentare era capire se gli utenti potessero comprendere l’effetto combinato di controlli separati, che stabilivano dove si fossero recati, quando e con quale frequenza.

Le conclusioni sono diverse per ciascuna funzione. Web & App Activity e Location History hanno violato i principi di liceità, correttezza e trasparenza. L’annuncio della DPC elenca queste violazioni previste dalla legge, ma non chiarisce quale base giuridica avesse invocato Google né per quale ragione l’avesse ritenuta insufficiente (Irish DPC). Per Location Accuracy, invece, la DPC ha stabilito che Google non è riuscita a dimostrare la conformità, configurando una violazione del principio di accountability. La decisione non ancora pubblicata potrebbe chiarire che cosa l’autorità abbia concluso sul trattamento dei dati. Solo le prime due funzioni sono state ritenute responsabili di conservazione eccessiva.

Gran parte della copertura giornalistica ha ridotto tutto alla formula «Google tracciava gli utenti per mostrare pubblicità». Le conclusioni della DPC vanno oltre la pubblicità. Non si sa ancora come i 403 milioni siano stati ripartiti tra le violazioni né quale contributo abbia dato ciascuna funzione. La DPC afferma che pubblicherà la decisione completa «a tempo debito» (Irish DPC).

Otto anni dalla denuncia alla multa

Nel novembre 2018 le associazioni dei consumatori di otto Paesi presentarono denunce coordinate attraverso BEUC, l’organizzazione europea che riunisce le associazioni dei consumatori (BEUC, Forbrukerrådet). La DPC avviò la propria indagine nel febbraio 2020 e ne annunciò l’esito nel settembre 2026. La olandese Consumentenbond ha celebrato il risultato, sottolineando però che i consumatori hanno dovuto aspettare quasi otto anni (Consumentenbond). BEUC ha osservato che, quando l’intervento arriva dopo che i prodotti sono già cambiati, gran parte del suo effetto preventivo va perduta (BEUC).

Il meccanismo dello sportello unico previsto dal GDPR, in base al quale un’autorità nazionale guida i procedimenti riguardanti imprese attive in più Paesi, ha concentrato a Dublino il controllo del caso, poiché lì si trova lo stabilimento europeo competente di Google (GDPR, EUR-Lex). Le altre autorità potevano presentare osservazioni o obiezioni, ma l’indagine è rimasta nelle mani della DPC. L’autorità ha ringraziato le omologhe per la «cooperazione e l’assistenza», senza indicarle né rivelare se qualcuna avesse sollevato obiezioni. Nel registro dell’European Data Protection Board sulle decisioni vincolanti per la risoluzione delle controversie non compare alcun provvedimento corrispondente.

La difesa di Google e l’ordine che manca

Google sostiene che la decisione riguardi pratiche ormai superate. Nel 2019 l’azienda ha introdotto controlli per la cancellazione automatica, nel 2020 ha impostato opzioni predefinite più protettive per i nuovi utenti e in seguito ha trasferito i dati della cronologia di Maps verso la conservazione sul dispositivo (BleepingComputer). Queste riprogettazioni potrebbero ridurre gli interventi ancora necessari, ma non rendono leciti retroattivamente i trattamenti del periodo 2018-2020, così come la descrizione delle riforme fornita dall’azienda non dimostra da sola la conformità.

L’ordine di adeguamento, che concede sei mesi per intervenire, potrebbe avere un peso maggiore della multa. La DPC, però, non ha reso noto che cosa Google dovrà cambiare: se dovrà cancellare i dati storici, come verrà verificato il rispetto delle prescrizioni o da quando decorrerà il termine. La multa dovrà inoltre essere confermata da un tribunale irlandese prima di poter essere pagata, e Google potrà presentare ricorso (EUobserver).

Lo sportello unico ha dato alla decisione una portata europea: un unico provvedimento disciplina il trattamento dei dati di localizzazione di Google in tutto lo Spazio economico europeo. Non ha impedito, però, un’attesa di quasi otto anni. Finché la DPC non pubblicherà motivazioni e ordine di adeguamento, la decisione accerterà le violazioni senza consentire a osservatori esterni di valutare se pena e rimedi siano proporzionati. Sarà il provvedimento ancora segreto a chiarire se Google dovrà cancellare i dati, riprogettare i propri controlli oppure limitarsi a documentare riforme già realizzate.