L'Irlanda multa Google per 403 milioni di euro per il tracciamento illecito della posizione

La Commissione irlandese per la protezione dei dati (DPC) ha multato Google Ireland per 403 milioni di euro per il modo in cui raccoglieva, spiegava e conservava i dati di posizione degli utenti. La decisione, annunciata il 21 settembre, chiude un'istruttoria aperta a febbraio 2020 e riguarda tre impostazioni: "Attività web e app", "Cronologia delle posizioni" e "Precisione della posizione". Google ha sei mesi per rendere il trattamento conforme al GDPR. L'azienda definisce il caso "storico" e, secondo RTE, intende fare ricorso.

Tre interruttori, una multa

Le tre funzioni lavorano in modo diverso e la DPC contesta a ciascuna qualcosa di diverso. "Attività web e app" è un'impostazione dell'account che salva ciò che fate nei servizi Google e, se è spuntata una casella aggiuntiva, anche nelle app e nei siti di terzi che usano servizi Google, posizione compresa. "Cronologia delle posizioni", oggi "Spostamenti", tiene una mappa dei luoghi in cui sono passati i dispositivi con l'accesso eseguito, anche quando nessuna app Google è aperta. "Precisione della posizione" è un'impostazione di Android che affina la posizione del telefono scansionando reti Wi-Fi e celle telefoniche; funziona con o senza account Google.

Il vicecommissario Graham Doyle ha riassunto il danno in una frase: per via di queste mancanze "le persone potevano non sapere che la loro posizione veniva usata, per esempio, per influenzarle con la pubblicità o per dedurne gli interessi, e potevano perdere il controllo sui propri dati personali. La conservazione dei dati di posizione oltre il necessario ha aggravato questa perdita di controllo". I tre commissari che firmano la decisione, Des Hogan, Dale Sunderland e Niamh Sweeney, hanno ordinato l'adeguamento entro sei mesi. Il testo integrale sarà pubblicato più avanti, quindi come i 403 milioni si dividano tra le quattro violazioni non si sa ancora.

Otto anni dal reclamo alla decisione

Il caso è nato da un rapporto, non da una fuga di dati. A novembre 2018 il Consiglio norvegese dei consumatori ha pubblicato "Every Step You Take", un'analisi passo per passo di come un telefono Android spinge un nuovo utente verso il tracciamento degli spostamenti: la configurazione iniziale insisteva su "Cronologia delle posizioni"; "Attività web e app" era attiva per impostazione predefinita e nascosta dietro clic aggiuntivi; il fatto che la posizione alimentasse la pubblicità era sepolto; chi rifiutava veniva richiesto di nuovo in Maps, nell'Assistente e in altre app; e funzioni come l'Assistente o le foto ordinate per luogo erano legate al tracciamento. Nello stesso mese, associazioni dei consumatori di otto paesi, coordinate dal BEUC, hanno presentato reclami GDPR alle rispettive autorità nazionali. Poiché la sede europea di Google è a Dublino, il fascicolo è finito alla DPC.

1. 27 novembre 2018Il Consiglio norvegese dei consumatori pubblica "Every Step You Take"; associazioni di Norvegia, Paesi Bassi, Grecia, Cechia, Slovenia, Polonia, Svezia e Danimarca presentano reclamo.
2. 4 febbraio 2020Fine del periodo esaminato dalla DPC. Nello stesso mese l'autorità apre d'ufficio un'istruttoria come autorità capofila per Google.
3. Giugno 2022Dieci associazioni dei consumatori presentano una seconda serie di reclami, sulla creazione dell'account: un clic accende tutte le impostazioni di raccolta, il percorso rispettoso della privacy richiede cinque passaggi e nove clic.
4. 21 settembre 2026La DPC annuncia la decisione: quattro violazioni, 403 milioni di euro, sei mesi per adeguarsi.
5. Entro marzo 2027Scadenza per l'adeguamento. Google farà ricorso su questioni di diritto, riferisce RTE.

Il BEUC ha accolto con favore il risultato e attaccato i tempi. Il direttore generale Agustín Reyna ha detto che la decisione "conferma l'illegalità del modo in cui il colosso tecnologico ha ottenuto il consenso all'uso dei dati di posizione delle persone", ma che "il tempo necessario per arrivare a questa conclusione è sproporzionato rispetto alla gravità della violazione" e che "un'applicazione tardiva può essere dannosa quanto nessuna applicazione". La condotta sanzionata è finita a febbraio 2020, e Google ha passato gli anni successivi a ricostruire proprio le impostazioni in questione.

Il posto nella classifica irlandese

La DPC è l'autorità capofila per la maggior parte delle piattaforme statunitensi nell'UE, quindi le sue multe fanno anche da tabellone europeo. I 403 milioni di Google si collocano appena sotto i 405 milioni inflitti a Instagram nel 2022 per gli account dei minori e sopra i 390 milioni pagati da Meta nel 2023 per aver basato la pubblicità sul contratto anziché sul consenso.

Google: "politiche storiche"

In pubblico Google non contesta le conclusioni. "Questo caso ruota attorno a politiche storiche che da allora sono state aggiornate", ha detto un portavoce. "Dal 2019 abbiamo fatto evolvere in modo significativo le nostre pratiche e lanciato strumenti solidi che rendono semplice la gestione dei dati di posizione". Gli strumenti esistono davvero: l'eliminazione automatica dei dati di attività è arrivata nel 2019; a dicembre 2023 Google ha annunciato che "Spostamenti" sarebbe passato dai suoi server al telefono, con backup cifrato nel cloud ed eliminazione automatica predefinita a tre mesi invece di 18; oggi la guida di Google dice che la posizione approssimativa e l'indirizzo IP associati ad "Attività web e app" vengono eliminati dopo 30 giorni. Da maggio 2026 la stessa "Attività web e app" viene divisa in "Cronologia dei servizi di ricerca" e "Consigli personalizzati".

Due autorità fuori dall'UE sono arrivate prima a conclusioni simili e sono state pagate prima. A novembre 2022 Google ha chiuso un accordo da 391,5 milioni di dollari con 40 stati americani per lo stesso meccanismo: tra il 2014 e il 2020, chi disattivava "Cronologia delle posizioni" continuava a essere tracciato tramite "Attività web e app". Ad agosto 2022 la Corte federale australiana le ha inflitto 60 milioni di dollari australiani, su azione dell'ACCC, perché le schermate di Android presentavano "Cronologia delle posizioni" come l'unica impostazione che contasse, mentre "Attività web e app", attiva per impostazione predefinita, salvava anch'essa la posizione. L'istruttoria irlandese copre gli stessi mesi e gli stessi due interruttori; ci ha messo quattro anni in più.

Controllate il vostro account

Tutte le impostazioni della decisione esistono ancora, alcune con un nome nuovo, e i valori predefiniti sono migliorati, non spariti. Spegnere "Spostamenti" non ferma il salvataggio della posizione altrove: la pagina di assistenza di Google avverte che, con "Cronologia dei servizi di ricerca" o "Attività web e app" attivi, l'account "potrebbe comunque salvare dati di posizione". L'ordine conta, quindi procedete punto per punto.

• Account Google, "Dati e privacy", "Impostazioni cronologia": aprite "Attività web e app" (o "Cronologia dei servizi di ricerca", il nome che Google sta introducendo da maggio 2026) e decidete se tenerla. Se la lasciate, impostate l'eliminazione automatica a 3 mesi.
• Nella stessa impostazione togliete la spunta a "Includi la cronologia di Chrome e le attività su siti, app e dispositivi che usano i servizi Google". È quella casella a portare dentro attività e posizione dalle altre app.
• "Impostazioni cronologia", "Spostamenti" (o Google Maps, foto del profilo, "Spostamenti"): disattivato, oppure attivo con eliminazione automatica a 3 mesi e il backup cifrato che avete scelto voi.
• Su Android: "Impostazioni", "Geolocalizzazione", "Servizi di localizzazione", "Precisione della posizione di Google". Disattivato significa solo GPS e sensori. "Ricerca reti Wi-Fi" e "Ricerca dispositivi Bluetooth", nello stesso menu, alimentano anch'esse la localizzazione, anche a posizione spenta.
• Il mio Centro annunci (myadcenter.google.com): disattivate gli annunci personalizzati. È lì che finiscono gli "interessi dedotti" della decisione della DPC.
• myactivity.google.com: eliminate l'attività passata per periodo; in Maps eliminate "Spostamenti" per intero o per singoli giorni.

La VPN appartiene a un'altra lista. Sostituisce l'indirizzo IP che i siti, e Google, vedono, cioè l'"area approssimativa" scritta in "Attività web e app" dal lato rete. Non tocca GPS, Wi-Fi o localizzazione cellulare, né un account con l'accesso eseguito sul telefono: con gli interruttori qui sopra attivi, i server di Google ricevono attraverso il tunnel VPN gli stessi dati che riceverebbero senza. Su Android nemmeno il tunnel è a tenuta stagna, come ha mostrato questo mese il rifiuto di Google di correggere una perdita di IP fuori dalla VPN. Usate la VPN per ciò che sa fare, nascondere la posizione di rete a siti e reti, e le impostazioni dell'account per ciò per cui Google è stata multata.

C'è una seconda ragione per badare a dove stanno questi dati. È "Cronologia delle posizioni" che la polizia chiede quando vuole sapere chi si trovava vicino alla scena di un reato; a giugno la Corte suprema degli Stati Uniti ha stabilito nel caso Chatrie che queste richieste esigono un mandato. Dati che stanno solo sul telefono e scadono dopo tre mesi non si possono estrarre da nessun server.