Privacy, stangata da 403 milioni a Google: nel mirino i dati sulla posizione degli utenti
Share
Il garante irlandese accusa Google di violazioni del GDPR nella gestione della geolocalizzazione. Contestate trasparenza, correttezza, base giuridica e conservazione dei dati. Sei mesi per adeguarsi
DUBLINO, 22 settembre 2026 – Una multa da 403 milioni di euro riporta al centro del confronto europeo il rapporto tra grandi piattaforme digitali, pubblicità e tutela dei dati personali.
La Data Protection Commission (DPC) irlandese ha sanzionato Google Ireland per il trattamento dei dati di localizzazione degli utenti, al termine di un’indagine iniziata nel febbraio 2020. L’autorità ha inoltre ordinato alla società di rendere i trattamenti contestati conformi al GDPR entro sei mesi.
Una decisione importante non soltanto per l’entità della sanzione, ma soprattutto per la natura delle informazioni coinvolte. Sapere dove si trova una persona, quali luoghi frequenta e quali percorsi compie può infatti permettere di ricostruire aspetti molto dettagliati delle sue abitudini.
Ed è proprio questo uno dei punti sottolineati dal garante irlandese.
Le tre funzioni finite sotto esame
L’indagine ha riguardato il trattamento dei dati di localizzazione effettuato tra il 25 maggio 2018, data di applicazione del GDPR, e il 4 febbraio 2020.
Tre le funzionalità analizzate: Web & App Activity, Location History e Location Accuracy.
La prima può comprendere informazioni sull’attività degli utenti nei servizi Google, incluse cronologia di navigazione, ricerche e dati sulla posizione.
Location History, invece, consentiva di registrare gli spostamenti dei dispositivi associati all’utente e di ricostruire luoghi visitati, attività e percorsi.
Location Accuracy è una funzione di Android utilizzata per determinare la posizione di un dispositivo con maggiore precisione rispetto al solo GPS.
Cosa contesta il garante
La DPC ha riscontrato diverse violazioni del regolamento europeo.
Per Web & App Activity e Location History sono state contestate la liceità e la correttezza del trattamento. Per Location Accuracy l’autorità ha rilevato problemi relativi agli obblighi di accountability, cioè alla capacità dell’azienda di dimostrare la conformità ai principi di liceità, correttezza e trasparenza.
Sono state inoltre accertate violazioni degli obblighi di trasparenza per tutte e tre le funzionalità e contestata la conservazione dei dati di localizzazione in Web & App Activity e Location History.
Il punto fondamentale è quindi il controllo effettivamente esercitato dall’utente sulle proprie informazioni.
«Gli utenti potevano perdere il controllo dei propri dati»
Il vicecommissario della DPC, Graham Doyle, ha ricordato che i dati sulla posizione possono offrire servizi utili, ma contemporaneamente rivelare una quantità considerevole di informazioni personali e anche aspetti intrinsecamente privati della vita di un individuo.
Secondo l’autorità, le carenze riscontrate potevano lasciare gli utenti inconsapevoli del fatto che la loro posizione fosse utilizzata, per esempio, per influenzare la pubblicità mostrata o dedurre i loro interessi. La conservazione dei dati più a lungo del necessario avrebbe aggravato questa perdita di controllo.
Ed è qui che la vicenda assume un significato che supera Google.
La posizione geografica non è semplicemente un’informazione tecnica prodotta da uno smartphone. Se accumulata nel tempo, può contribuire a descrivere abitudini, spostamenti e preferenze di una persona.
Una multa da 403 milioni
La DPC ha quindi imposto sanzioni amministrative per complessivi 403 milioni di euro, equivalenti a circa 463 milioni di dollari, e ha ordinato a Google di adeguare i trattamenti entro sei mesi.
L’Irlanda svolge un ruolo particolarmente importante nella regolamentazione europea delle Big Tech perché numerose multinazionali tecnologiche hanno stabilito nel Paese la propria sede europea.
In virtù del meccanismo previsto dal GDPR per i trattamenti transfrontalieri, la DPC agisce quindi come autorità capofila per Google in questa materia.
La sanzione si inserisce in una lunga serie di interventi del regolatore irlandese nei confronti dei grandi gruppi tecnologici internazionali.
Google: «Politiche storiche, già modificate»
Google ha contestualizzato la decisione sottolineando che l’indagine riguarda politiche del passato successivamente modificate.
La società sostiene di avere introdotto negli anni strumenti più avanzati per consentire agli utenti di controllare i propri dati, comprese funzioni di cancellazione automatica e modifiche nella gestione delle informazioni sulla posizione.
La precisazione è rilevante: la decisione annunciata il 21 settembre 2026 riguarda infatti trattamenti compresi tra maggio 2018 e febbraio 2020 e non equivale quindi ad affermare che tutte le modalità operative contestate siano ancora oggi identiche.
Resta però la valutazione dell’autorità sulle violazioni avvenute nel periodo oggetto dell’indagine.
Un’indagine durata oltre sei anni
Il procedimento era stato aperto nel febbraio 2020, dopo che la DPC aveva ricevuto segnalazioni provenienti da diverse organizzazioni europee dei consumatori, tra cui BEUC.
Già all’apertura dell’inchiesta, il garante aveva indicato due questioni fondamentali: verificare se Google disponesse di una valida base giuridica per il trattamento dei dati di localizzazione e accertare il rispetto degli obblighi di trasparenza previsti dal GDPR.
La decisione arrivata oltre sei anni dopo mostra anche quanto possano essere complessi i procedimenti europei che coinvolgono piattaforme utilizzate contemporaneamente in numerosi Stati.
La geolocalizzazione è diventata una questione di potere digitale
Il caso Google pone però una domanda ancora più ampia.
Quanto comprende realmente un utente quando accetta che un’applicazione utilizzi la propria posizione?
Il problema non riguarda soltanto il consenso formale espresso premendo un pulsante.
Il GDPR richiede che il trattamento dei dati personali avvenga secondo principi di liceità, correttezza e trasparenza. Nel caso della localizzazione, ciò assume un’importanza particolare perché una successione di coordinate geografiche può diventare una vera rappresentazione digitale della vita quotidiana.
Casa, luogo di lavoro, negozi frequentati, viaggi e percorsi abituali possono contribuire a costruire un profilo estremamente dettagliato.
Per questo il principio della minimizzazione dei dati e quello della loro conservazione soltanto per il tempo necessario assumono un valore concreto.
Europa e Big Tech, il confronto continua
La sanzione irlandese conferma infine una tendenza ormai strutturale della politica digitale europea.
Il modello dell’Unione europea non vieta alle piattaforme di utilizzare i dati per sviluppare servizi personalizzati o modelli commerciali basati sulla pubblicità. Pretende però che ciò avvenga rispettando condizioni precise e garantendo agli utenti informazioni comprensibili e strumenti effettivi di controllo.
La partita dei prossimi anni sarà quindi sempre meno quella del semplice “consenso” e sempre più quella della consapevolezza reale dell’utente.
La multa da 403 milioni rappresenta, da questo punto di vista, un messaggio che va ben oltre Google: nell’economia digitale la posizione geografica di una persona è un dato personale di grande valore e il suo utilizzo non può trasformarsi in un meccanismo opaco.
La tecnologia può sapere dove siamo. Il GDPR impone però che siamo noi a sapere perché lo sa, come utilizza quell’informazione e per quanto tempo intende conservarla.
