Google muss 403 Millionen Dollar Strafe wegen Datenschutzverstößen zahlen: Was das Unternehmen daraus lernen
Dort Data Protection Commission irlandese ha sanzionato Google per 403 milioni di euro per violazioni del GDPR legate al trattamento dei dati di posizione. Il caso riguarda pratiche tra il 2018 e il 2020, ma richiama un problema attuale anche per le imprese: sapere dove finiscono i dati dopo averli raccolti.
Dort Data Protection Commission (DPC) irlandese ha inflitto a Google Ireland sanzioni amministrative per complessivi 403 milioni di euro al termine di un’indagine sul trattamento dei dati di posizione.
La decisione, annunciata il 21 settembre 2026, riguarda tre funzionalità Google: Web & App Activity, Location History e Location Accuracy. Il periodo esaminato va dal 25 maggio 2018 al 4 febbraio 2020.
L’autorità ha inoltre ordinato a Google di adeguare i trattamenti contestati entro sei mesi.
Il caso riguarda una piattaforma e una quantità di dati difficilmente paragonabili a quelle di una PMI. Il principio pratico, però, è molto più vicino: raccogliere un dato significa anche sapere perché viene raccolto, dove viene trasferito e per quanto tempo rimane disponibile.
Perché Google è stata multata per la privacy
L’indagine della DPC era stata avviata nel febbraio 2020 dopo alcune segnalazioni provenienti da organizzazioni europee per la tutela dei consumatori.
Secondo la decisione dell’autorità, Google ha violato diversi obblighi previsti dal GDPR.
Le contestazioni riguardano:
- liceità e correttezza del trattamento dei dati di posizione attraverso Web & App Activity e Location History;
- obblighi di accountability relativi a Location Accuracy;
- trasparenza del trattamento per tutte e tre le funzionalità;
- conservazione dei dati di posizione attraverso Web & App Activity e Location History.
L 'Rechenschaftspflicht, nel GDPR, indica la capacità del titolare di dimostrare concretamente che il trattamento dei dati avviene nel rispetto delle regole applicabili.
Non basta quindi stabilire internamente una procedura: bisogna anche essere in grado di documentarla.
Perché i dati di posizione richiedono particolare attenzione
Un singolo dato geografico può sembrare poco significativo.
Una sequenza di posizioni raccolte nel tempo può invece ricostruire spostamenti, luoghi frequentati e abitudini della persona.
La DPC sottolinea che i dati di posizione possono fornire informazioni molto dettagliate sulla vita di un individuo e che, nel caso analizzato, gli utenti potevano non comprendere pienamente come quelle informazioni venissero utilizzate, anche per influenzare la pubblicità mostrata o dedurre interessi.
È proprio il collegamento tra dati diversi a rendere importante la mappatura dei trattamenti.
Lo stesso principio vale, in scala molto più ridotta, per gli strumenti utilizzati quotidianamente da un’azienda.
Dopo il modulo contatti il percorso del dato continua
Sul sito un utente compila tre campi:
nome, email, telefono.
Premendo “Invia” vede comparire un messaggio di conferma.
Dal suo punto di vista l’operazione è terminata.
Dal punto di vista tecnico può essere appena iniziata.
La richiesta potrebbe arrivare via email, essere registrata nel CRM, passare attraverso un’automazione, entrare in un gestionale o essere trasferita verso una piattaforma di marketing.
Sono attività perfettamente normali quando esiste una ragione per svolgerle e vengono gestite correttamente.
Il problema nasce quando nessuno riesce più a ricostruire il percorso completo.
Un sito cambia più velocemente della sua documentazione
Un sito aziendale raramente rimane identico per anni.
Viene aggiunta una chat. Cambia il sistema per le newsletter. Si installa un nuovo modulo. Arriva un CRM. Parte una campagna con una landing page dedicata. Viene collegato un sistema per prenotazioni o assistenza.
Ogni intervento può introdurre nuovi passaggi nella gestione delle informazioni.
Con il tempo può quindi crearsi una distanza tra quello che l’azienda pensa di utilizzare e quello che tecnicamente è ancora collegato.
Un’integrazione nata per una vecchia campagna potrebbe essere ancora attiva. Un form può continuare a salvare informazioni nel database del sito. Una piattaforma che non viene più utilizzata potrebbe ricevere ancora dati.
Questo non significa automaticamente che esista una violazione.
Significa che, prima di poterlo stabilire, occorre conoscere il funzionamento reale del sistema.
Privacy policy e funzionamento tecnico devono corrispondere
La presenza di una privacy policy non basta, da sola, a descrivere il trattamento reale dei dati.
Se nel tempo vengono aggiunti strumenti, integrazioni e piattaforme, anche la documentazione deve essere verificata rispetto alla configurazione effettiva.
Serve quindi un confronto tra due livelli:
ciò che il sito dichiara ist ciò che il sito fa realmente.
La valutazione giuridica spetta ai professionisti che seguono la materia privacy. Il lavoro tecnico deve però fornire informazioni affidabili su moduli, cookie, piattaforme, database, integrazioni e servizi effettivamente utilizzati.
Senza questa mappa anche una valutazione normativa parte da informazioni incomplete.
Come verificare il percorso dei dati sul proprio sito
Un primo controllo può partire da un’operazione molto semplice: compilare realmente uno dei moduli del sito e seguire cosa succede.
Bisogna chiedersi:
- dove viene inviata la richiesta;
- se i dati vengono salvati anche nel sito;
- se entrano automaticamente nel CRM;
- se vengono trasferiti a piattaforme di marketing;
- quali utenti possono consultarli;
- se esistono esportazioni o automazioni;
- se sono ancora presenti vecchie integrazioni;
- quanto a lungo le informazioni vengono conservate.
Questo esercizio non sostituisce una verifica GDPR.
Serve a costruire la base tecnica necessaria per farla correttamente.
Was das für Ihr Unternehmen bedeutet
La sanzione a Google non significa che ogni raccolta di dati sia problematica. Mostra però quanto sia importante conoscere il ciclo completo dell’informazione.
Per una PMI le prime verifiche possono essere molto concrete:
- mappare moduli, CRM, newsletter e piattaforme collegate;
- controllare se esistono integrazioni non più necessarie;
- confrontare la configurazione tecnica con la documentazione privacy attuale.
La domanda utile non è soltanto “quali dati raccogliamo?”, aber auch “cosa succede dopo?”.
Quando DigiFe interviene sulla realizzazione o ristrutturazione di un sito web, l’analisi non riguarda soltanto ciò che vede l’utente: comprende anche integrazioni, moduli e strumenti che fanno funzionare il progetto dietro l’interfaccia.
