Google multata per 403 milioni: la posizione degli utenti diventa il vero dossier GDPR

📌 In Sintesi

• La DPC irlandese multa Google per 403 milioni di euro dopo un’indagine durata oltre sei anni sul trattamento dei dati di localizzazione.
• Le contestazioni riguardano Web & App Activity, Location History e Location Accuracy tra maggio 2018 e febbraio 2020.
• Il nodo non è soltanto il consenso: posizione, pubblicità e inferenza degli interessi mostrano quanto il dato geografico possa diventare un profilo personale.

Google dovrà pagare 403 milioni di euro per violazioni del GDPR legate al trattamento dei dati di localizzazione degli utenti. La decisione della Data Protection Commission irlandese chiude un’indagine iniziata nel 2020 e riguarda tre componenti dell’ecosistema Google: Web & App Activity, Location History e Location Accuracy. L’importo attira inevitabilmente l’attenzione, ma il problema più importante è un altro: sapere dove si trova una persona permette di ricostruire abitudini, interessi, relazioni e luoghi frequentati con un livello di precisione che trasforma la geolocalizzazione in uno dei dati più potenti dell’economia digitale.

Google viene sanzionata per liceità, trasparenza e conservazione dei dati

L’indagine ha esaminato il periodo compreso tra il 25 maggio 2018 e il 4 febbraio 2020, concentrandosi sul modo in cui Google raccoglieva e trattava informazioni geografiche attraverso tre funzioni differenti. Per Web & App Activity e Location History l’autorità ha contestato liceità e correttezza del trattamento, oltre alla trasparenza verso gli utenti e alla durata della conservazione. Per Location Accuracy, funzione utilizzata da Android per migliorare la precisione della posizione combinando più segnali, la contestazione comprende anche l’incapacità di dimostrare pienamente il rispetto degli obblighi di accountability. Non è quindi una multa generica sulla privacy. La decisione colpisce precisamente il rapporto tra dato raccolto, informazione fornita all’utente e capacità della piattaforma di dimostrare perché quel trattamento fosse necessario e legittimo. Il quadro entra direttamente nel terreno descritto nella guida di Matrice Digitale al GDPR: possedere tecnicamente un dato non autorizza automaticamente a conservarlo o riutilizzarlo indefinitamente. Il titolare deve giustificare finalità, base giuridica, proporzionalità e tempi di conservazione.

Leggi anche: Cos’è il GDPR: guida completa a regole, sanzioni e privacy

La posizione può rivelare molto più di un semplice punto sulla mappa

Il dato geografico assume un valore particolare perché una sequenza di coordinate non descrive soltanto dove si trova uno smartphone. Può mostrare luogo di lavoro, abitazione, ospedali frequentati, luoghi di culto, spostamenti quotidiani, relazioni e abitudini personali. Combinata con ricerca, navigazione, app utilizzate e cronologia delle attività, la posizione può diventare una componente estremamente precisa del profilo dell’utente. Matrice Digitale aveva già evidenziato il problema osservando Webloc e il mercato della sorveglianza alimentato dai dati raccolti attraverso applicazioni mobili. Quel caso mostrava quanto informazioni apparentemente nate per pubblicità e analisi potessero essere utilizzate per individuare dispositivi e movimenti reali. La vicenda Google opera su un piano differente, regolatorio e non investigativo, ma richiama lo stesso principio: la posizione è un dato capace di produrre nuova informazione sulla persona quando viene combinato con altre fonti.

Il vero problema è la distanza tra impostazioni visibili e trattamento reale

Google ha progressivamente modificato i propri strumenti per la gestione della localizzazione, introducendo controlli più granulari, cancellazione automatica e maggiore elaborazione locale. La decisione irlandese riguarda però pratiche storiche e ricorda che offrire una schermata di impostazioni non coincide automaticamente con garantire controllo effettivo sul trattamento. Un utente può conoscere l’esistenza della cronologia della posizione senza comprendere quali altri servizi continuino a ricavare coordinate, segnali approssimativi o inferenze geografiche. La stessa tensione emerge nel modo in cui Android sta evolvendo oggi. Google ha recentemente introdotto nel sistema un controllo specifico sui metadati geografici delle fotografie condivise attraverso Photo Picker, proprio per evitare che concedere accesso a un’immagine significhi automaticamente consegnare anche il luogo dello scatto. È un miglioramento concreto, ma dimostra anche quanto la geolocalizzazione sia distribuita attraverso servizi e livelli differenti dell’ecosistema invece di dipendere da un singolo interruttore.

Sei anni di indagine mostrano anche il limite dell’enforcement europeo

La procedura è iniziata nel febbraio 2020 e arriva alla decisione finale soltanto nel settembre 2026. Google deve ora adeguare i trattamenti contestati entro sei mesi. La dimensione temporale non è secondaria: nel frattempo prodotti, impostazioni, architetture Android e politiche di conservazione sono cambiati profondamente. Il regolatore finisce quindi per sanzionare nel 2026 un modello di trattamento concentrato soprattutto tra il 2018 e il 2020. Il problema riguarda da anni l’efficacia concreta del modello europeo. Una sanzione da centinaia di milioni ha un peso economico evidente, ma una decisione che arriva dopo sei anni rischia di intervenire quando il servizio contestato è già stato modificato. La questione della forza reale delle autorità è centrale anche nel dibattito italiano, dove Matrice Digitale ha analizzato come il Garante Privacy stia tentando di concentrare le decisioni collegiali sui casi con maggiore impatto sistemico. Con le Big Tech, però, il problema resta la velocità con cui enforcement e innovazione riescono a procedere.

Continua con:

• Citizen Lab svela Webloc: 500 milioni di smartphone tracciabili attraverso le app
• Android protegge i metadati di posizione nelle fotografie condivise

La multa conta meno del patrimonio informativo costruito con la posizione

I 403 milioni di euro rappresentano una delle sanzioni più elevate imposte dalla DPC irlandese, ma leggere il caso esclusivamente attraverso il valore della multa rischia di nascondere il punto centrale. Google controlla servizi capaci di collegare ricerca, Android, Maps, pubblicità, attività web e posizione fisica. Anche quando ciascun dato appare innocuo isolatamente, la combinazione permette di costruire rappresentazioni molto dettagliate della vita quotidiana. La decisione europea riporta quindi il GDPR alla sua funzione più concreta: impedire che la disponibilità tecnica di enormi quantità di informazioni venga scambiata per un diritto automatico a trattarle. La geolocalizzazione non è soltanto una funzione dello smartphone: è una chiave capace di trasformare attività digitali sparse in un profilo coerente della persona, ed è proprio per questo che trasparenza, minimizzazione e controllo effettivo diventano molto più importanti della semplice presenza di un consenso nelle impostazioni.