Google, stangata da 403 milioni sulla privacy: sotto accusa i dati che raccontano dove siamo e cosa facciamo

Google torna al centro dello scontro europeo sulla privacy e questa volta la questione riguarda una delle categorie di informazioni più delicate raccolte attraverso i servizi digitali: la posizione e gli spostamenti degli utenti. La sanzione ammonta a 403 milioni di euro e arriva al termine di un procedimento europeo che ha coinvolto la Data Protection Commission irlandese e, attraverso il sistema di cooperazione previsto dal GDPR, anche il Garante italiano per la protezione dei dati personali.

Al centro del procedimento ci sono i trattamenti effettuati da Google attraverso funzionalità come Web & App Activity e Location History, strumenti che possono raccogliere informazioni sull’attività degli utenti e sulla loro posizione. I dati di localizzazione assumono una particolare rilevanza perché, quando vengono raccolti nel tempo e associati ad altre informazioni, possono consentire di ricostruire con notevole precisione abitudini e spostamenti di una persona.

Il Garante italiano è intervenuto nel procedimento europeo presentando osservazioni sulla qualificazione delle violazioni, sulla gravità delle condotte contestate, sulla natura dei dati trattati, sulle misure correttive e sugli elementi da prendere in considerazione per determinare la sanzione. La decisione finale ha riguardato anche il rispetto del principio di correttezza nel trattamento dei dati relativi alla posizione e agli spostamenti degli utenti, oltre alle questioni legate alla liceità e alla trasparenza.

Il caso riguarda uno dei temi più delicati dell’economia digitale. La privacy online non si limita più alla gestione dei cookie o alla pubblicità personalizzata. Le grandi piattaforme possono trattare informazioni provenienti da ricerche, applicazioni, dispositivi, cronologie e servizi di localizzazione che, combinate tra loro, possono fornire una rappresentazione molto dettagliata delle attività di un utente.

Sapere dove si trova una persona non significa conoscere soltanto un punto su una mappa. Una sequenza di dati raccolti nel tempo può indicare gli spostamenti abituali, i luoghi frequentati e la permanenza in determinate aree. Per questo le modalità attraverso le quali queste informazioni vengono raccolte, conservate e utilizzate sono sottoposte alle regole previste dalla normativa europea sulla protezione dei dati personali.

Il procedimento contro Google mostra anche il funzionamento del sistema europeo previsto dal GDPR per le società che operano contemporaneamente in diversi Stati dell’Unione. Google Ireland ha sede in Irlanda e la Data Protection Commission irlandese svolge un ruolo centrale nella supervisione della società, mentre le altre autorità nazionali possono partecipare attraverso i meccanismi di cooperazione previsti dal regolamento.

In questo caso anche il Garante Privacy italiano ha partecipato al procedimento, presentando le proprie osservazioni alla DPC irlandese. Il meccanismo permette alle autorità dei diversi Paesi di intervenire nelle questioni che interessano utenti distribuiti in tutta l’Unione europea, anche quando la sede principale europea della società sottoposta al procedimento si trova in un altro Stato membro.

La sanzione da 403 milioni di euro riguarda quindi un tema che interessa direttamente milioni di utenti europei: la possibilità di conoscere in maniera chiara quali dati vengono raccolti, per quali finalità vengono utilizzati e quali strumenti sono disponibili per esercitare le proprie scelte.

Il tema assume una rilevanza ancora maggiore con la progressiva integrazione dell’intelligenza artificiale nei servizi digitali. Assistenti personali, motori di ricerca generativi e sistemi sempre più personalizzati possono utilizzare il contesto dell’utente per fornire risposte e servizi più pertinenti. Informazioni relative alla posizione, alle ricerche effettuate e alle attività svolte possono quindi assumere un valore crescente all’interno dei nuovi ecosistemi digitali.

Parallelamente aumenta l’importanza degli obblighi di informazione e trasparenza. Più un servizio utilizza informazioni personali per adattare il proprio funzionamento al singolo utente, maggiore diventa la necessità di rendere comprensibili le modalità con cui questi dati vengono trattati e le possibilità offerte per gestirli.

Il procedimento europeo nei confronti di Google si inserisce così in una fase nella quale il rapporto tra Big Tech, dati personali e autorità di controllo sta diventando sempre più centrale. Le piattaforme dispongono di tecnologie capaci di elaborare quantità crescenti di informazioni, mentre il sistema europeo di protezione dei dati continua ad applicare i principi di liceità, correttezza, trasparenza e controllo da parte degli interessati.

I 403 milioni di euro di sanzione rappresentano uno degli aspetti più immediatamente visibili del caso, ma il punto centrale riguarda il trattamento dei dati che possono descrivere la vita quotidiana degli utenti. Nell’ecosistema digitale contemporaneo, infatti, la posizione non rappresenta soltanto un’informazione tecnica utilizzata per mostrare una mappa: può diventare una sequenza di dati capace di raccontare dove una persona si sposta e quali luoghi frequenta.

È proprio sulla gestione di queste informazioni e sulla trasparenza nei confronti degli utenti che si concentra il nuovo intervento europeo nei confronti di Google.