Forse la notizia è passata un po’ sotto silenzio, dato il periodo estivo, ma il provvedimento prescrittivo che chiude l’istruttoria avviata lo scorso anno dal Garante per la protezione dei dati personali nei confronti di Google a seguito dei cambiamenti apportati dalla multinazionale americana alla propria privacy policy è destinata a far discutere. Se non altro, anche solo per il fatto che ci troviamo di fronte al primo provvedimento, in Europa, di questo genere: l’azione intrapresa dal Garante italiano – nell’ambito di un’azione coordinata con le altre Autorità di protezione dei dati europee ed a seguito della pronuncia della Corte di Giustizia europea sul diritto all’oblio [La Corte ha stabilito che “è nel diritto dei cittadini europei richiedere ai motori di ricerca online l’eliminazione dalle loro pagine dei risultati di eventuali link che rimandino verso ‘contenuti non più rilevanti’ che li riguardano” – ndr] – infatti, non si limita a richiamare il colosso americano al rispetto dei principi della disciplina per la tutela della privacy degli utenti, ma dettaglia concretamente le misure che la società dovrà adottare per risultare conforme alla legge.
La decisione da parte del Garante è conseguente alla scelta Google di unificare tutte le regole di gestione dei dati anche se le funzionalità e i servizi usufruiti dagli utenti sono diversi: la multinazionale ha infatti operato una completa integrazione e interoperabilità dei diversi prodotti offerti – dalla posta elettronica (Gmail), al social network (GooglePlus), alla gestione dei pagamenti on line (Google Wallet), alla diffusione di filmati (YouTube), alle mappe on line (Street View), all’analisi statistica (Google Analytics) – ‘incrociando’ così i dati degli utenti relativi all’utilizzo dei differenti servizi.
Secondo il Garante, il ‘problema’ non risiede nei servizi integrati in sé ma nell’utilizzo dei dati degli utenti per una loro miglior profilazione a scopi commerciali. Il Garante stabilisce infatti che non ci si possa “limitare a considerare il semplice utilizzo del servizio come accettazione incondizionata di regole che non lasciano alcun potere decisionale agli interessati sul trattamento dei propri dati personali”. Google non potrà dunque utilizzare i dati degli utenti per questi fini se non ne avrà prima ottenuto il consenso direttamente dagli utenti dichiarando esplicitamente di svolgere questa attività a fini commerciali.
La ‘to do list’
Nel corso dell’istruttoria, iniziata lo scorso anno, sono state diverse le audizioni tra i rappresentanti di Google e l’Autorità italiana, tuttavia, nonostante la serie di misure che la stessa Google ha adottato per rendere la propria privacy policy più conforme alle norme, il Garante ha rilevato il permanere di diversi profili critici relativi alla inadeguata informativa agli utenti, alla mancata richiesta di consenso per finalità di profilazione, agli incerti tempi di conservazione dei dati e ha dettato quindi una serie di regole precise:
1) informativa: Google dovrà adottare un sistema di informativa per fornire, in un primo livello generale, le informazioni più rilevanti per l’utenza (l’indicazione dei trattamenti e dei dati oggetto di trattamento come la localizzazione dei terminali, gli indirizzi IP, ecc., nonché l’indirizzo presso il quale rivolgersi – in lingua italiana – per esercitare i propri diritti) e, in un secondo livello più di dettaglio, le specifiche informative relative ai singoli servizi offerti. La multinazionale dovrà inoltre spiegare chiaramente che i dati personali degli utenti sono monitorati e utilizzati, tra l’altro, a fini di profilazione per pubblicità mirata e che essi vengono raccolti anche con tecniche più sofisticate che non i semplici cookie, come ad esempio il fingerprinting [sistema che raccoglie informazioni sulle modalità di utilizzo del terminale da parte dell’utente e, a differenza dei cookie che vengono istallati sul pc o nello smartphone, le archivia direttamente presso i server della società].
2) consenso: per utilizzare a fini di profilazione e pubblicità comportamentale personalizzata i dati degli interessati Google dovrà acquisire il previo consenso degli utenti;
3) conservazione: Google dovrà anche definire tempi certi di conservazione dei dati sulla base delle norme del Codice sulla privacy, sia per quanto riguarda quelli mantenuti sui sistemi attivi sia quelli archiviati su sistemi di backup.
Da parte di Google, per ora, non abbiamo ottenuto riflessioni particolari rispetto alla vicenda ma una semplice dichiarazione circa la volontà dell’azienda di collaborare in modo attivo con l’Autorità.
La società ha tempo fino al 30 settembre per presentare al Garante un protocollo di verifica; una volta sottoscritto diverrà vincolante e saranno disciplinati tempi e modalità per l’attività di controllo che l’Autorità svolgerà nei confronti della multinazionale americana.
