L’Irlanda ordina a Google di rivedere il trattamento dei dati sulla posizione dopo una sanzione GDPR di 403 milioni di euro

Google rischia una sanzione di 403 milioni di euro in Irlanda dopo che le autorità di regolamentazione hanno stabilito che la gestione dei dati sulla posizione non rispettava diversi requisiti del Regolamento generale sulla protezione dei dati dell’Unione europea.

Il provvedimento, annunciato il 21 settembre 2026, riguarda le informazioni sulla posizione trattate attraverso Web & App Activity, Location History e la funzionalità Location Accuracy di Android. La Data Protection Commission irlandese ha inoltre ordinato a Google di rendere conforme il trattamento dei dati interessato entro sei mesi.

L’indagine ha esaminato le pratiche adottate dal 25 maggio 2018 al 4 febbraio 2020. Sono emerse criticità relative a liceità, correttezza, trasparenza, responsabilizzazione e durata della conservazione di alcuni dati sulla posizione.

Si tratta di un caso relativo alla privacy e alla governance dei dati, non di una violazione della sicurezza. Non risultano coinvolti soggetti malintenzionati, accessi non autorizzati, infrastrutture esposte o vulnerabilità del software.

Le denunce hanno dato il via a un’indagine GDPR durata anni

La DPC ha aperto l’indagine nel febbraio 2020 in seguito alle denunce presentate da organizzazioni europee per la tutela dei consumatori. Era coinvolta BEUC, l’Organizzazione europea dei consumatori, mentre le associazioni aderenti avevano presentato denunce alle autorità nazionali per la protezione dei dati nel novembre 2018.

L’Irlanda ha gestito il caso transfrontaliero perché la sede europea di Google si trova a Dublino, facendo dell’autorità irlandese il principale regolatore europeo per la privacy dell’azienda. Le tutele del GDPR si applicano in tutto lo Spazio economico europeo.

La DPC ha concluso che Google non aveva spiegato né giustificato adeguatamente le modalità di raccolta, utilizzo e conservazione delle informazioni sulla posizione. Secondo l’autorità, questa carenza limitava concretamente la capacità degli utenti di controllare dati personali in grado di rivelare spostamenti, abitudini, interessi e altri dettagli sensibili.

Secondo quanto riferito, la sanzione è la quarta più elevata mai comminata dall’autorità irlandese in materia di privacy. È inoltre la prima sanzione della DPC nei confronti di Google, anche se l’autorità sta ancora conducendo altre tre indagini sulla privacy che coinvolgono l’azienda. Tra i precedenti provvedimenti rilevanti della DPC figura una sanzione di 1,2 miliardi di euro nei confronti di Meta; anche TikTok ha ricevuto multe consistenti.

La decisione completa nei confronti di Google non è ancora stata pubblicata. Di conseguenza, non sono ancora note nel dettaglio le attività di trattamento interessate dall’ordine di adeguamento entro sei mesi, né la valutazione dell’autorità sulle singole modifiche alla privacy introdotte da Google dopo il periodo esaminato.

Tre funzionalità di Google sono al centro del caso

Le conclusioni riguardano tre servizi che gestiscono le informazioni sulla posizione in modi diversi. Le relative impostazioni, i requisiti dell’account e gli utilizzi dei dati non coincidono.

Web & App Activity

Web & App Activity è un’impostazione dell’Account Google che copre le attività svolte sui servizi Google. A seconda del servizio e della configurazione, le informazioni trattate possono includere attività di navigazione, ricerche e dati relativi alla posizione.

La DPC ha stabilito che il trattamento dei dati sulla posizione effettuato tramite questa funzionalità non rispettava gli standard del GDPR in materia di liceità e correttezza. Ha inoltre rilevato una trasparenza insufficiente e concluso che le informazioni sulla posizione interessate venivano conservate più a lungo del necessario.

Attualmente Google sostiene che Web & App Activity non salva la posizione precisa di un dispositivo. L’azienda afferma invece di utilizzare un’area generale stimata.

Location History

Location History è un servizio attivabile facoltativamente sui dispositivi mobili compatibili collegati a un Account Google. Può registrare i luoghi visitati da una persona, ricostruirne percorsi e attività e presentare queste informazioni attraverso una Timeline privata di Google Maps.

La raccolta può proseguire anche quando la persona non utilizza attivamente un altro servizio Google. Questa persistenza aumenta la sensibilità del registro risultante, perché consente di ricostruire gli spostamenti nel tempo.

Per quanto riguarda Location History, la DPC ha rilevato nuovamente carenze sotto il profilo della liceità, della correttezza e della trasparenza. Ha inoltre stabilito che le informazioni raccolte erano state conservate oltre il periodo necessario.

Location Accuracy

Location Accuracy è una funzionalità di Android progettata per calcolare la posizione di un dispositivo con maggiore precisione rispetto al solo GPS. Si differenzia dagli altri due servizi perché gli utenti Android possono accedervi anche senza un Account Google.

In questo caso, le conclusioni sono state più circoscritte. Google non ha dimostrato che il trattamento effettuato tramite Location Accuracy rispettasse i requisiti del GDPR in materia di trasparenza e responsabilizzazione, compresa la prova che l’attività fosse lecita, corretta e trasparente.

La distinzione è importante. L’autorità non ha valutato soltanto ciò che Google dichiarava di fare, ma ha verificato anche se l’azienda fosse in grado di fornire prove sufficienti della propria conformità.

I registri persistenti della posizione riducono il controllo degli utenti

Le informazioni sulla posizione possono rivelare molto più di una semplice coordinata. Se associate a ricerche, cronologia di navigazione, attività delle applicazioni e dati dell’account, possono consentire di dedurre abitudini, interessi, spostamenti e circostanze potenzialmente sensibili di una persona.

La DPC ha affermato che gli utenti potrebbero non aver compreso che la loro posizione poteva contribuire a definire la pubblicità mostrata o essere utilizzata per dedurre i loro interessi. Spiegazioni poco chiare sulle modalità di trattamento possono quindi compromettere sia la consapevolezza degli utenti sia la validità delle scelte proposte attraverso le impostazioni o i flussi di consenso.

La conservazione dei dati aggiunge un ulteriore livello di rischio. Più a lungo restano disponibili informazioni collegate alla posizione, più a lungo possono essere utilizzate per la profilazione, per finalità secondarie o per altri trattamenti che gli utenti potrebbero non aspettarsi. Una conservazione prolungata aumenta inoltre le conseguenze di eventuali abusi futuri o accessi non autorizzati, anche se in questo caso non è stata segnalata alcuna compromissione.

L’autorità ha collegato la scarsa trasparenza del trattamento e la conservazione eccessiva a una più ampia perdita di controllo. Gli utenti non possono decidere consapevolmente se consentire la raccolta dei dati quando non comprendono chiaramente quale funzionalità sia attiva, quali informazioni produca o per quanto tempo restino disponibili i registri risultanti.

La questione riguarda anche la posizione dedotta. Un servizio può determinare dove si trova una persona utilizzando soltanto i segnali di posizione oppure combinandoli con altre informazioni. Gli obblighi in materia di privacy non si limitano quindi a una coordinata GPS memorizzata.

Google richiama le modifiche alla privacy introdotte dopo il periodo esaminato

Google sostiene che il caso riguardi pratiche storiche che nel frattempo sono state modificate. L’azienda ha iniziato ad aggiungere controlli per la cancellazione automatica nel maggio 2019, consentendo agli utenti di eliminare i dati di Web & App Activity e Location History dopo tre o 18 mesi.

Nel giugno 2020, Google ha impostato la cancellazione dopo 18 mesi come opzione predefinita per Web & App Activity sui nuovi account e per le persone che attivano Location History per la prima volta.

Ulteriori modifiche sono state introdotte nel dicembre 2023. Google ha annunciato che le informazioni della Timeline di Maps sarebbero state trasferite sul dispositivo e che agli utenti che attivano Location History per la prima volta sarebbe stata proposta una cancellazione predefinita dopo tre mesi. Secondo quanto riferito, i dati della Timeline vengono ora conservati localmente ed eliminati automaticamente quando hanno più di tre mesi.

Google ha inoltre introdotto controlli che consentono agli utenti di scegliere i periodi di cancellazione automatica delle informazioni dell’account. Queste modifiche possono ridurre la conservazione centralizzata e offrire agli utenti un controllo più diretto, ma la DPC non ha confermato pubblicamente se siano sufficienti a soddisfare pienamente il nuovo ordine.

Non è inoltre chiaro se Google esegua ancora ogni tipo di trattamento oggetto delle conclusioni dell’indagine. La pubblicazione della decisione completa dovrebbe chiarire cosa deve cambiare e se i controlli già esistenti possano essere considerati parte delle misure di conformità.

La sanzione è ancora soggetta alle procedure giudiziarie irlandesi

La sanzione non è immediatamente esigibile. Una multa della DPC diventa pagabile dopo la convalida da parte di un tribunale irlandese e Google può presentare ricorso all’Alta Corte irlandese entro 28 giorni dalla ricezione della notifica formale della decisione.

L’azienda ha sei mesi di tempo per correggere il trattamento oggetto dell’ordine. Poiché la DPC non ne ha reso noto l’ambito preciso, organizzazioni e utenti non possono ancora stabilire quali impostazioni, informative, regole di conservazione o flussi tecnici Google debba modificare.

I dettagli ancora irrisolti sono rilevanti. Comprendono le precise misure di conformità richieste per ciascuna funzionalità e la misura in cui le successive modifiche ai prodotti di Google affrontino le violazioni.

Utenti e organizzazioni possono verificare subito la conservazione dei dati sulla posizione

Gli utenti Google non devono attendere la pubblicazione della decisione completa per ridurre la quantità di informazioni collegate alla posizione conservate attraverso i propri account e dispositivi. Tra le misure pratiche rientrano:

• Esaminare Web & App Activity e valutare se sia opportuno lasciarla attiva.
• Controllare Location History e disattivarla se non è necessario conservare un registro permanente degli spostamenti.
• Selezionare il periodo di cancellazione automatica più breve adatto alle proprie esigenze, scegliendo tra le opzioni disponibili di tre o 18 mesi.
• Controllare le impostazioni della Timeline di Google Maps e verificare dove vengono conservate le relative informazioni.
• Esaminare separatamente Android Location Accuracy, poiché può funzionare anche senza un Account Google.
• Controllare sia i dispositivi sia le impostazioni a livello di account, senza presumere che una sola impostazione governi tutte le funzionalità.

Le organizzazioni che gestiscono account Google o dispositivi Android dovrebbero verificare se i controlli e le impostazioni predefinite aziendali differiscano da quelli utilizzati per gli account consumer. Dovrebbero inoltre documentare informative, processi di consenso, finalità del trattamento, meccanismi di cancellazione e periodi di conservazione.

Questa documentazione è essenziale ai fini della responsabilizzazione. Le conclusioni della DPC dimostrano che rendere disponibili i controlli sulla privacy non è sufficiente se un’organizzazione non è in grado di dimostrare la liceità del trattamento, fornire spiegazioni comprensibili e giustificare per quanto tempo conserva informazioni sensibili.