Google multato 403 milioni: la svolta della privacy europea

La Commissione irlandese per la protezione dei dati (DPC) ha inflitto a Google una sanzione record di 403 milioni di euro, confermando la crescente determinazione dell’Unione Europea nel far rispettare il GDPR. La multa, la quarta più alta mai emessa dall’autorità irlandese, chiude un’inchiesta iniziata nel 2020 su presunte violazioni legate alla raccolta e conservazione dei dati di posizione degli utenti. Il caso rappresenta il primo colpo di pistola significativo contro il colosso della ricerca, ma ne annuncia altri, con ulteriori indagini su IA, pubblicità personalizzata e processi di registrazione degli account.

Il contesto normativo e l’indagine irlandese

Il GDPR, entrato in vigore nel 2018, ha posto le basi per un regime di protezione dei dati personali più rigoroso rispetto a qualsiasi precedente legislazione globale. L’Irlanda, grazie alla presenza della sede europea di numerosi colossi tecnologici, è diventata il punto di riferimento per l’applicazione di queste norme. La DPC, dotata di poteri di indagine e sanzionatori, ha avviato nel 2020 un’indagine su Google a seguito di numerose denunce presentate da associazioni dei consumatori europee. Le autorità hanno esaminato le pratiche legate a “Web & App Activity”, “Location History” e “Location Accuracy”, verificando se gli utenti fossero stati adeguatamente informati e avessero fornito un consenso libero, specifico e informato. La durata dell’indagine, quasi quattro anni, ha evidenziato la complessità di raccogliere prove tecniche su sistemi distribuiti e la difficoltà di valutare pratiche di design che possono influenzare il comportamento degli utenti.

Le violazioni: dati di posizione, trasparenza e pratiche scorrette

La DPC ha rilevato quattro violazioni specifiche del GDPR. Prima, la raccolta sistematica di dati di posizione, anche quando gli utenti non avevano attivato esplicitamente le funzioni di tracciamento, violava il principio di minimizzazione dei dati. Seconda, la conservazione dei dati per periodi indefiniti, senza una chiara giustificazione, infrangeva l’obbligo di limitazione della conservazione. Terza, la mancanza di trasparenza: le informative erano vaghe, nascoste in lunghi termini di servizio, impedendo agli utenti di comprendere pienamente le finalità del trattamento. Quarta, l’uso di “dark patterns” – interfacce ingannevoli progettate per spingere gli utenti a consentire la condivisione della loro posizione – è stato giudicato una pratica ingiusta ai sensi dell’articolo 5(1)(a) del GDPR. Le autorità hanno sottolineato che il consenso ottenuto in tali condizioni non può essere considerato valido, poiché non è stato espresso liberamente né informato. Google ha risposto affermando che le politiche in vigore nel 2019 sono state successivamente riviste, ma la DPC ha ritenuto che le violazioni fossero avvenute durante il periodo di riferimento dell’indagine.

Implicazioni per il futuro della regolamentazione tech in Europa

La multa di 403 milioni di euro segna un punto di svolta nella capacità dell’UE di far rispettare il GDPR contro le grandi piattaforme. Essa invia un segnale forte a tutti gli attori del settore: la conformità non è più un’opzione, ma un obbligo con conseguenze finanziarie tangibili. Inoltre, la decisione apre la strada a ulteriori azioni nei confronti di Google, con tre indagini ancora aperte su AI (PaLM2), pubblicità personalizzata e processi di registrazione degli account. Queste indagini potrebbero generare ulteriori sanzioni, consolidando un approccio più integrato della DPC verso l’intero ecosistema digitale. Sul piano più ampio, la sentenza alimenta il dibattito sulla necessità di armonizzare le autorità di protezione dei dati a livello europeo, riducendo la frammentazione normativa e garantendo una risposta più rapida alle violazioni. Organizzazioni di consumatori, come il BEUC, hanno già chiesto una accelerazione dei procedimenti, evidenziando che la durata di quattro anni è sproporzionata rispetto alla gravità delle infrazioni. Infine, la multa potrebbe incentivare le aziende a investire maggiormente in strumenti di gestione della privacy, come dashboard di controllo dei dati e meccanismi di consenso più chiari, contribuendo a una cultura della responsabilità digitale più radicata nell’ecosistema europeo.